ホームページのセキュリティ対策｜小さな会社が確認したい10項目と改ざん時の対応手順
「うちのような小さな会社のホームページが狙われるはずがない」。そう考えている経営者の方は少なくありません。ところが乗っ取りや改ざんの多くは、特定の会社を狙ったものではなく、古いまま放置された仕組みを機械的に探して入り込むものです。
この記事では、専門知識がなくても確認できるホームページのセキュリティ対策を、10項目のチェックリストと、制作会社への質問、万一のときの手順に分けて整理します。
- 小さな会社のサイトが狙われる理由と、起きる被害
- 経営者が確認したいセキュリティ対策10項目
- 制作会社・保守担当に聞く質問と、答えの見分け方
- 乗っ取り・改ざんに気づいたときの手順
目次
小さな会社のホームページが狙われる理由と被害
攻撃の多くは、プログラムが自動でサイトを巡回し、更新されていないシステムや推測しやすいパスワードを見つけて入り込む、という流れです。「知名度があるから狙われる」のではなく「入りやすいから入られる」のが実情です。
とくにWordPressのような更新型のシステムは、本体やプラグイン（追加機能）を長く更新しないと、公表済みの弱点がそのまま残ります。被害に遭うと、次のようなことが起こります。
- トップページが別のサイトへ転送される
- 見覚えのない広告やページが追加される
- フォームが迷惑メールの送信に悪用される
- 検索結果やブラウザに警告が表示され、お客様が開けなくなる
ホームページのセキュリティ対策｜確認したい10項目
技術的な作業は制作会社や保守担当に任せて構いません。ただ、どこまで対策されているかを経営者が把握しておくことは大切です。次の表を確認用のチェックリストとして使ってください。
セキュリティ対策の3つの柱
- POINT 1古いままにしない本体・テーマ・プラグインを更新する
- POINT 2入口を固めるパスワード・二段階認証・権限の整理
- POINT 3戻せるようにするサイトの外にバックアップを保存
| 確認項目 | 見るポイント |
|---|---|
| 1. SSL（https化） | アドレスが https:// で始まり、「保護されていない通信」と出ないか |
| 2. システムの更新 | WordPress本体・テーマ・プラグインを誰が、どのくらいの頻度で更新しているか |
| 3. 使っていない機能 | 停止したまま残っているプラグインや、試しに入れた機能がないか |
| 4. ログイン情報 | 推測しやすいユーザー名や、使い回しのパスワードになっていないか |
| 5. 二段階認証 | 管理画面やサーバーのログインに二段階認証を設定しているか |
| 6. アカウントの棚卸し | 退職者や以前の外注先のアカウントが残っていないか |
| 7. バックアップ | 自動で取られているか、サイトと別の場所に保存し、何日前まで戻せるか |
| 8. フォームの迷惑送信対策 | 機械的な大量送信を防ぐ仕組み（reCAPTCHA等）が入っているか |
| 9. ドメインとサーバーの名義 | 自社の名義か、更新の連絡が自社に届くか |
| 10. 緊急時の連絡先 | 異常に気づいたとき、誰にどう連絡するか決まっているか |
制作会社・保守担当に聞く質問と、答えの見分け方
「保守に入っているので大丈夫です」という返事だけでは、実際に何をしているか分かりません。日付や実績で答えられる質問をすると、状況が見えてきます。
| 質問 | 安心できる答えの例 | 確認が必要な答えの例 |
|---|---|---|
| 最後にプラグインを更新したのはいつですか？ | 具体的な日付と、更新の頻度が答えられる | 「必要なときにやっています」 |
| バックアップはどこに保存していますか？ | サイトとは別の場所に、何日分かが答えられる | 「サーバーに入っています」だけ |
| バックアップから戻したことはありますか？ | 戻す手順と、かかる時間の目安が答えられる | 「やったことはない」 |
| 管理画面に入れるのは誰ですか？ | アカウントの一覧を出せる | 「分からない」 |
保守契約の中身や月額の考え方は、次の記事で詳しくまとめています。
あわせて読みたいホームページの維持費の相場｜月額・年間の目安と内訳、削ってはいけない費用保守費用に含まれるものと、削ってはいけない費用2026.08.11
今日から社内でできる安全対策
専門的な作業をしなくても、社内の運用を少し変えるだけで防げることがあります。
- 管理画面のパスワードを長く、他と使い回さないものに変える
- 管理画面の二段階認証を有効にする
- ログイン情報を個人のメモではなく社内で管理する
- 担当者が替わったら古いアカウントを削除する
- 月に1回、自社サイトをスマホとパソコンで開いて異常がないか見る
見落としやすいのが人の入れ替わりです。以前の担当者や外注先がログインできる状態のままになっている例は珍しくありません。誰が管理画面に入れるのかを一覧にしておくだけでも、リスクは下がります。
乗っ取り・改ざんに気づいたときの手順
見覚えのない表示や転送に気づいたら、自分で慌てて削除や修正をする前に、次の順で動くと被害を抑えやすくなります。
改ざんに気づいたときの手順
- STEP 1記録する画面を保存
- STEP 2連絡する保守・サーバー
- STEP 3入口を閉じるパスワード変更
- STEP 4復旧・審査警告を解除
- 画面の状態をスクリーンショットで残す
- 制作会社・保守担当・サーバー会社に連絡する
- 管理画面とサーバーのパスワードを変更する
- バックアップから復旧できるか確認する
- 復旧後、サーチコンソールの「セキュリティの問題」レポートを確認する
レポートに問題が出ていた場合は、サイト全体を修正したうえで「審査をリクエスト」を選び、何をどう直したかを書いて送ります。Googleのヘルプでは、再審査には数日から数週間かかるとされています（2026年9月時点）。
入られた原因をふさがずに元へ戻すだけでは、同じ経路から再び入られることがあります。復旧と同時に「どこから入られたのか」を確認し、更新やアカウントの見直しまで行うことが大切です。
よくある質問
SSL（https）にしていれば、ホームページは安全ですか？
SSLは、閲覧者とサイトの間の通信を暗号化するための仕組みです。システムの更新やパスワードの管理ができていなければ、httpsでも乗っ取りは起こり得ます。10項目のうちの1つと考えてください。
保守契約に入っていれば安心ですか？
契約の中身によります。更新の頻度、バックアップの保存場所、トラブル時の対応範囲が書かれているかを確認し、「最後に更新したのはいつですか」と日付で聞いてみると実態が分かります。
WordPressは危ないのでしょうか？
WordPressそのものが危ないわけではありません。本体やプラグインを長く更新しないと、公表済みの弱点が残ることが問題です。更新を続けられる体制があれば、安全に使えます。
バックアップは、どのくらいの頻度で取ればいいですか？
サイトを更新する頻度に合わせるのが目安です。ブログやお知らせを毎週書くなら毎日から毎週、ほとんど更新しないなら更新のたびに取っておくと、戻せる範囲が広がります。
制作会社が廃業したら、更新や復旧は誰がするのですか？
ドメインとサーバーが自社の名義で、管理画面のログイン情報を受け取っていれば、別の会社に引き継げます。名義とログイン情報の確認は、平常時のうちに済ませておきましょう。
改ざんされると、検索結果はどうなりますか？
検索結果に警告が表示されたり、ブラウザで警告画面が出たりすることがあります。修正したら、サーチコンソールの「セキュリティの問題」レポートから審査をリクエストします。
公開後の更新・保守まで、WEB PREPAにご相談ください
制作だけでなく、公開後の更新や保守まで含めてホームページをお作りしています。「古いまま放置されていて不安」という段階のご相談も歓迎です。まずは無料でデザイン案をご覧いただけます。