解説 / 2026-10-22 時点の情報

WordPress の改ざん・乗っ取りを外から確かめる方法

1. Google の site: 検索で見覚えのないページを探す

Google の検索窓に site:example.jp (自分のドメイン) と入れて検索します。ブランド品・薬・賭け事・外国語のページなど、作った覚えのないページが出たら、乗っ取られて別のページを作られているしるしです。

2. スマホで、検索結果から開く

改ざんの中には、パソコンや直接アドレスを打った人には普通のページを見せ、スマホで検索から来た人だけを別のサイトへ飛ばすものがあります。スマホで自分の会社名を検索し、検索結果から開いて確かめます。

3. セーフブラウジングの判定を見る

Google のセーフブラウジングのサイトの状態にアドレスを入れると、危険なサイトとして判定されていないかが分かります。ブラウザで開いたときに赤い警告の画面が出る場合も同じです。

4. ページの中の見覚えのないスクリプト

ページを開いて右クリックの「ページのソースを表示」で、知らない外部のアドレスから読み込んでいる <script> や、見えない位置に置かれたリンクが無いかを見ます。慣れていないと見分けにくいので、無料チェックでもお調べします。

見つけたときの順番

1. 慌ててページを消さない。いつ、何を見たかを画面の写真で残す。
2. サーバー会社に連絡する。共用のレンタルサーバーなら、調べてくれることがあります。
3. WordPress・サーバー・FTP・ドメインのパスワードを変える (分かるものだけでも)。
4. サーバーの中の調べと復旧は、サーバーに入れる専門の会社に頼む。
5. 直した後、PHP と WordPress を更新し続けられる人がいなければ、PHP を使わない静的サイトにして、狙われる場所そのものを無くすことも考える。

PHP そのものの脆弱性についてはPHP2Shell の解説をご覧ください。