「ホームページを開いたら、見覚えのない内容が表示されていた」
「Googleから『このサイトは危険です』という警告が出るようになった」
「ハッキングされたかもしれないが、何をすればいいかわからない」
ウェブ担さんへのご相談でも、WordPressのハッキング被害についてのお悩みをお聞きすることがあります。
結論から言うと、ハッキングに気づいたら、まず被害範囲の確認とバックアップからの復元を並行して進める必要があります。この記事では、実際にあった事例とあわせて、ハッキングの原因・症状・復旧の流れを解説します。
更新日：2026年9月11日
サイト改ざんに気づいてから復旧までの48時間——A社様の実例
これはウェブ担さんにご相談いただいた、A社様（仮名）の実例です。
ある朝、トップページが全く別の内容に変わっていた
A社様では、ある朝担当の方がホームページを開いたところ、見覚えのない海外のサイトのような内容に書き換えられていることに気づきました。「まさかうちみたいな会社が狙われるとは思わなかった」というのが、率直な感想だったそうです。
原因は、長期間放置されていたプラグインだった
調査したところ、何年も更新されずに放置されていたプラグインの脆弱性が、侵入の入り口になっていたことがわかりました。WordPress保守代行を依頼しておらず、更新作業自体が長らく行われていなかったことが、根本的な原因でした。
バックアップから復元し、保守代行への切り替えを決めた
幸い直近のバックアップが残っていたため、そこから復元し、あわせてプラグインの整理とセキュリティ対策を実施しました。復旧までにかかった時間は約48時間。以降はWordPress運用代行に切り替え、更新とセキュリティ対策を継続的に任せる体制にされています。
WordPressがハッキングされる主な原因
プラグイン・テーマの更新放置
A社様のケースのように、古いバージョンのまま放置されたプラグインは、既知の脆弱性を突かれる典型的な原因です。
ログインパスワードの単純さ
推測されやすい単純なパスワードを使い続けていると、不正なログイン試行によって突破されるリスクが高まります。
管理者アカウントの管理不足
過去の担当者のアカウントが削除されずに残っている、複数人でパスワードを使い回しているといった状態も、リスクを高める要因です。
ハッキングに気づくきっかけ・症状
| 症状 | 考えられる状況 |
| トップページの内容が変わっている | サイトが改ざんされている状態 |
| ブラウザ・検索結果に警告が表示される | Googleなどにマルウェアを含むサイトと判定されている状態 |
| 見知らぬ管理者アカウントが存在する | 不正にログインされ、アカウントが作成された状態 |
A社様も、トップページの見た目の変化で最初に異変に気づいたそうです。
お問い合わせから12時間以内に担当者からご連絡！
ハッキングかどうか、今すぐ確認してもらう
復旧の基本的な流れ
①被害範囲を確認する
どのファイル・データが改ざんされているかを確認します。専門的な調査が必要な場合も多く、自己判断で作業を進めると被害が広がることもあります。
②バックアップから復元する
被害前の状態のバックアップがあれば、そこから復元するのが最も確実な方法です。
③原因を特定し、対策を行う
復元しただけでは同じ原因で再度被害に遭う可能性があるため、脆弱性の元になったプラグインの更新やパスワードの見直しまで行う必要があります。
復旧後にやるべきセキュリティ対策
・管理者アカウントのパスワードを複雑なものに変更する
・使っていない管理者アカウントを削除する
・定期的なバックアップの仕組みを作るA社様のように、これらを継続的に対応する体制がなかったことが原因になっているケースは多く、一度きりの対応で終わらせず、継続的な保守として仕組み化することが重要です。
自分での対応が難しい場合
月額5,000円〜保守管理をお任せ！
ウェブ担さんJr.に相談する
よくある質問
Q. バックアップがない場合、復旧はできますか？
A. バックアップがない場合でも、被害範囲によっては部分的な復旧が可能なケースがあります。まずは現状をご相談ください。
Q. 復旧にはどれくらいの時間がかかりますか？
A. 被害の程度によって異なりますが、バックアップがある場合は比較的短時間で復旧できることが多いです。
Q. 一度復旧すれば、もう安心ですか？
A. 原因を特定し対策をしなければ、再発するリスクがあります。復旧とあわせて、継続的な保守体制を整えることをおすすめします。
まとめ
最後に、この記事のポイントを整理します。
・WordPressのハッキングは、プラグインの更新放置やパスワードの単純さが主な原因になりやすい
・トップページの改ざんや警告表示など、症状に気づいたら早急に被害範囲を確認する
・バックアップからの復元と、原因の特定・対策をあわせて行うことが重要
・一度きりの対応で終わらせず、継続的なWordPress保守代行として仕組み化することが再発防止につながる
お問い合わせから12時間以内に担当者からご連絡！
WordPressのセキュリティ対策を相談する
■ Web運用代行・ホームページ運用代行なら「ウェブ担さん」
・お問い合わせはこちら
・資料請求はこちら
・ウェブ担さんJr.（小規模プラン）はこちら
・ホームページ無料診断はこちら
・運営会社（株式会社アイデアランプ）はこちら
この記事の執筆者
藤田 真季｜ウェブ担さん・マーケティング担当
国立大学卒業後、某大手アパレルメーカーの総合職として店舗運営を経験後、EC業界に転身。顧客視点に立ちながらCVR改善やCRMなど幅広く経験し、実績を積む。その後株式会社アイデアランプに参画し、「定額制Web運用代行サービス｜ウェブ担さん」のディレクター兼マーケターに就任。コストを抑えながら高品質なWeb運用支援を提供し、多くの企業のマーケティング課題やWeb業務効率化に向けて支援している。
