Webサイト改ざんとは？報告が2倍に増えた2026年の手口と「自分では気づけない」理由・検知と復旧の実務【中小企業向け】
自社のホームページを開いてみる。トップページも会社概要も、いつもどおり正常に表示されている。デザインも崩れていない。——それでも、そのサイトはすでに改ざんされていて、訪問者にマルウェアを配り続けていることがあります。
先に結論をお伝えします。いまのWebサイト改ざんは、画面が書き換えられて「見た目でわかる」ものではありません。攻撃者にとって改ざんは、そのサイトを目立たせるための行為ではなく、そのサイトを黙って使い続けて稼ぐための行為に変わったからです。目立てば管理者に気づかれて塞がれてしまうので、攻撃者はむしろ気づかれないように改ざんします。
そのうえで、もう1点お伝えしたいことがあります。JPCERT/CCが2026年7月16日に公表した四半期レポートによると、2026年4月〜6月に報告されたWebサイト改ざんは181件で、前四半期の90件から101％、つまり2倍以上に増えました。そして報告された事例は、いずれも国内の「正規のWebサイト」が舞台です。
本記事では、中小企業の経営者・情報システム担当者の方に向けて、いまの改ざんの目的と実例／なぜ自分では気づけないのか／自社が「加害者」になるとどうなるか／侵入経路／気づき方／復旧の手順／対策の優先順位と費用までを、JPCERT/CCなどの一次情報にもとづいて整理します。
なお、Webサイトを守る道具であるWAF（Webアプリケーションファイアウォール）そのものの比較・費用相場については、別記事で詳しく解説しています。本記事は「攻撃そのもの」を扱います。
▶ 関連記事：WAF（Web Application Firewall）とは？費用相場と法人向けクラウド型WAFの選び方・製品比較
Webサイト改ざんとは？何をされることなのか
Webサイト改ざんとは、自社が運営するWebサイトの中身を、管理者の知らないところで攻撃者に書き換えられてしまうことです。JPCERT/CCは「攻撃者もしくはマルウェアによって、Webサイトのコンテンツが書き換えられた（管理者が意図したものではないスクリプトの埋め込みを含む）サイト」と定義しています。
ここで大事なのは、かっこの中の「管理者が意図したものではないスクリプトの埋め込みを含む」という部分です。ページの文章や画像が変えられていなくても、見えないところに数行のコードを足されただけで「改ざん」です。そして実際の被害の大半は、こちらのタイプです。
JPCERT/CCは、Webサイト改ざんを次のように分類しています。
- 攻撃者やマルウェア等により、悪意のあるスクリプトやiframe等が埋め込まれたサイト
- SQLインジェクション攻撃により情報が改ざんされたサイト
よくある誤解：「トップページが乗っ取られて犯行声明が出る」というイメージは、いまや例外です。そうした見た目でわかる改ざんは、攻撃者にとって「すぐ気づかれて塞がれる」ので割に合いません。本当に多いのは、ページの見た目はまったく変わらないまま、裏で不正な処理が動いているタイプです。
なぜ2026年になって報告が2倍に増えたのか？
JPCERT/CCは四半期ごとにインシデント報告の件数を公表しています。直近5四半期のWebサイト改ざんの報告件数は次のとおりです。
| 期間 | Webサイト改ざんの報告件数 | 前四半期からの増減 |
|---|---|---|
| 2025年7月〜9月 | 319件 | — |
| 2025年10月〜12月 | 105件 | 67％減 |
| 2026年1月〜3月 | 90件 | 14％減 |
| 2026年4月〜6月 | 181件 | 101％増 |
| 内訳（2026年4月〜6月） | 4月46件／5月55件／6月80件 | 月を追って増加 |
出典：JPCERT/CC 四半期レポート（2026年7月16日公表ほか）。ご覧のとおり、減り続けていた報告が2026年に入って反転し、直近の四半期で2倍以上に跳ね上がっています。しかも月別に見ると4月46件→5月55件→6月80件と、期間中も一貫して増え続けています。
件数そのものは「年間数百件」と小さく見えるかもしれません。ただし、これはJPCERT/CCに報告が寄せられた件数であって、被害の総数ではありません。後述するとおり改ざんは自社では気づきにくいため、報告に至っていない改ざんが相当数あると考えるのが自然です。件数の小ささを安心材料にしてはいけない、というのがこの数字の読み方です。
改ざんの目的は何が変わった？──「いたずら」から「収益化」へ
ここが本記事のいちばん重要な部分です。JPCERT/CCが直近1年の四半期レポートで公開している実際の改ざん事例を並べると、攻撃者の狙いがはっきり見えてきます。いずれも国内の正規のWebサイトで確認された事例です。
| 確認時期 | 何をされたか | 攻撃者の狙い | 被害を受けるのは誰か |
|---|---|---|---|
| 2025年 10〜12月 |
正規サイトに偽のログイン画面と入力フォームが設置された。フォームに不正なJavaScriptが仕込まれ、入力欄からフォーカスが外れた瞬間に、入力内容がTelegramのAPI経由で攻撃者へ送信されていた | 訪問者の個人情報・認証情報の窃取 | サイトを見に来た顧客 |
| 2025年 10〜12月 |
正規サイトにCloudflareの認証画面に見せかけた偽のチェックボックスが設置された。クリックすると「Windowsキー＋R→Ctrl＋V→Enter」を促され、そのとおり操作すると、あらかじめクリップボードに仕込まれたコマンドが実行され外部から不正なコードがダウンロードされる（ClickFixと呼ばれる手口） | 訪問者のパソコンをマルウェアに感染させる | サイトを見に来た顧客 |
| 2026年 1〜3月 |
国内の複数の正規サイトに同じWebシェル（遠隔でコマンドを実行できる不正なプログラム）が設置されていた | サーバーを乗っ取り、いつでも自由に操作・改ざんできる状態を維持する | 自社のサーバーそのもの |
| 2026年 1〜3月 |
WordPressで構築された国内の複数サイトが改ざんされ、暗号資産を狙うトロイの木馬「Efimer」の配布拠点にされていた | 自社サイトをマルウェアのばらまき場所として利用する | サイトを見に来た顧客 |
| 2026年 4〜6月 |
国内の複数の正規サイトが改ざんされ、検索エンジンのクローラー（Googlebot）でアクセスしたときだけ、海外オンラインカジノのコンテンツが表示される状態にされていた（SEOポイズニング） | 海外カジノサイトを検索結果の上位に押し上げる | 自社の検索評価・ブランド |
| 2026年 4〜6月 |
正規サイトに不審なログインページと遠隔操作ツールが設置された。このサイトはボイスフィッシング（電話を使った詐欺）の誘導先として報告されており、ネットバンキングの認証情報を盗む目的とみられる | 訪問者のネットバンキング認証情報の窃取＋遠隔操作 | サイトを見に来た顧客 |
出典：JPCERT/CC 四半期レポート（2025年度第3四半期〜2026年度第1四半期）。
6件を並べると、共通点がはっきりします。どれも「自社のサイトを壊す」ことが目的ではありません。攻撃者は、あなたの会社のサイトを壊したいのではなく、「他人の攻撃に使える、信用のある土地」として借りたいのです。だからこそ、サイトは正常に動き続けたほうが攻撃者にとって都合がよいのです。
もう一つ注目したいのは、被害を受けるのが「自社」ではなく「サイトを見に来た顧客」であるケースが6件中4件を占める点です。つまり改ざんは、自社が被害者であると同時に、顧客に対する加害者になってしまう攻撃だということです。これは後述する報告義務の話に直結します。
なお、このように信頼されている正規のサイトを改ざんしておき、そこを訪れた人を感染させる攻撃には「水飲み場型攻撃」という呼び名があります。動物が必ず水を飲みに来る水場で待ち伏せする、という比喩です。特定の業界の人だけが見るような、専門的なサイトほど狙われやすいのが特徴で、「うちのサイトはアクセス数が少ないから狙われない」という考え方は通用しません。攻撃者にとって重要なのはアクセス数ではなく、「誰が来るサイトか」だからです。
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策
なぜ自分では気づけないのか？
「毎日自社サイトを見ているから、おかしくなればすぐわかる」——これがいちばん危険な思い込みです。前章の実例は、いずれも管理者が自分のブラウザで自社サイトを開いても、異常が見えないように作られています。理由は次のとおりです。
| なぜ見えないのか | 何が起きているか | 自分の目で見て気づけるか |
|---|---|---|
| 相手を見て出し分けている | 2026年4〜6月の事例では、Googlebotでアクセスしたときだけカジノのコンテンツが表示された。管理者が普通のブラウザで見ても正常なページが返る | 気づけない |
| 見た目を一切変えない | ページに数行のスクリプトが足されただけ。文章もデザインも画像もそのまま。変わったのは裏で動く処理だけ | 気づけない |
| 管理画面には何も出ない | Webシェルや不正なファイルはサーバー上に直接置かれるため、CMSの管理画面の投稿一覧には現れないことがある | 気づけない |
| 特定の条件でしか発動しない | スマートフォンから来た訪問者だけ、特定の国から来た訪問者だけ、初回訪問だけ——といった条件付きで動作させる手口がある | 気づけない |
ここが落とし穴：「自社サイトを見たら普通だった」は、改ざんされていない証拠にはまったくなりません。むしろ攻撃者は、管理者に見つからないことを最優先に設計しています。「目視で確認する」は、改ざんの検知手段としては最も弱い方法だと考えてください。
では何で気づくのか。実際に多くの企業が改ざんに気づくきっかけは、自社の内部ではなく外部からの指摘です。Googleからの警告、閲覧者からの「ウイルス警告が出た」という連絡、取引先からの通報、レンタルサーバー会社からの通知——といった経路です。この点は「改ざんに気づくにはどうすればいいか」の章で詳しく扱います。
改ざんされると、会社は何を失う？
改ざんの怖さは、サイトが表示されなくなることではありません。止まらないまま損失が積み上がっていくことです。
| 失うもの | 具体的に何が起きるか |
|---|---|
| 検索結果からの信頼 | Googleに「ハッキングされたコンテンツ」と判定されると、検索結果に警告ラベルが付く、あるいは検索結果に表示されなくなる。ブラウザでアクセスしようとすると赤い警告画面（インタースティシャル）が出る |
| 顧客の安全 | サイトを見に来た顧客のパソコンがマルウェアに感染する。入力フォームに打ち込んだ個人情報やパスワードが攻撃者に送信される |
| 法令上の立場 | 訪問者の個人情報が盗まれた場合、個人情報保護委員会への報告義務は「自社」に発生する（詳細は次章） |
| 取引先との関係 | 「あの会社のサイトを開いたら警告が出た」という話は取引先に伝わる。セキュリティ体制の確認を求められたり、取引条件の見直しにつながることがある |
| 復旧までの時間と費用 | 原因の特定、不正ファイルの除去、脆弱性の修正、Googleへの審査リクエストと再審査待ち。Googleの再審査は数日から数週間かかるため、その間は検索経由の集客が止まる |
| 広告・営業の成果 | Web広告のリンク先が警告対象になれば広告は止まる。問い合わせフォームが使えなければ新規の引き合いも止まる |
特に見落とされやすいのが最後の2つです。改ざんそのものは技術的に直せても、Googleの再審査が終わるまで検索結果は元に戻りません。「直したのにアクセスが戻らない」という期間が、数日から数週間続きます。
自社サイトが「加害者」になると、報告義務はどうなる？
前章の実例のうち、入力フォームが改ざんされて訪問者の入力内容が攻撃者に送信されていたケースを考えてみてください。盗まれたのは自社の情報ではなく、自社サイトに情報を入力した顧客の情報です。
この場合、個人情報保護法上の報告義務を負うのはその個人情報を取り扱っていた自社です。攻撃を受けた側だから免除される、ということはありません。
| 項目 | 内容 |
|---|---|
| 報告が必要になる場合 | 不正の目的による行為によって個人データが漏えいした（またはそのおそれがある）とき。改ざんによる情報窃取はこれに該当する |
| 何人分から対象か | 1人分でも報告対象。件数の下限はない |
| 期限 | 速報＝速やかに（おおむね3〜5日以内）／確報＝60日以内（不正の目的による行為の場合） |
| 本人への通知 | 本人への通知も必要。困難な場合は公表などの代替措置 |
要注意：「おそれ」の段階でも報告対象です。改ざんされたフォームから何人分の情報が送信されたか特定できない場合、「漏えいしたおそれがある」として報告が必要になり得ます。そして何人分が送信されたかを後から特定できるかどうかは、Webサーバーのアクセスログが残っているかで決まります。ログが無ければ「特定できない」という結論しか出せません。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較
攻撃者はどこから入ってくる？
改ざんの入口は、大きく次の5つです。優先度は「中小企業でよく使われている構成において、実際に狙われやすいか」で付けています。
| 侵入経路 | 具体的なやり方 | 効く対策 | 優先度 |
|---|---|---|---|
| CMS・プラグイン・テーマの脆弱性 | WordPressなどのCMS本体や、追加したプラグイン・テーマの脆弱性を突いて不正なコードを書き込む。プラグインの脆弱性は毎週数十件のペースで報告され続けている | 本体・プラグイン・テーマの更新／使っていないプラグインの削除／WAF | 最優先 |
| 管理画面のパスワードが弱い | 管理画面に総当たりでログインを試す。前述のEfimerの事例では、WordPressのXML-RPC機能（metaWeblog.newPost）を悪用して41通りのIDとパスワードの組み合わせを繰り返し試行していた。さらに/wp-json/wp/v2/users にアクセスして利用者アカウント名を事前に収集していた | 長く複雑なパスワード／多要素認証／使わないXML-RPCの無効化／管理画面のIP制限 | 最優先 |
| 管理者のパソコンがマルウェアに感染 | サイト管理者の端末が感染し、ブラウザに保存されたFTPや管理画面のIDとパスワードを盗まれる。攻撃者は正規の手段でログインして改ざんするので、サーバー側からは正常な操作に見える | EDR（端末の監視）／ブラウザにパスワードを保存しない／パスワード管理ツール | 高 |
| Webアプリケーションの脆弱性 | 自社開発の問い合わせフォームや会員機能などに、SQLインジェクションやクロスサイトスクリプティングの脆弱性がある | WAF／脆弱性診断／改修 | 高 |
| サーバー・ミドルウェアの脆弱性／設定不備 | OSやPHP、Webサーバーのバージョンが古い。ディレクトリの権限設定が緩い。テスト用のページや古いサイトが公開されたまま残っている | パッチ適用／公開資産の棚卸し（EASM）／不要な公開の停止 | 中 |
| 使っていない・忘れられたサイト | 数年前のキャンペーンサイト、旧コーポレートサイト、テスト環境などが更新されないまま公開され続け、そこから侵入される | 公開資産の棚卸し（EASM）／不要なサイトの閉鎖 | 中 |
特に強調しておきたいのは3番目の「管理者のパソコンがマルウェアに感染」です。この経路では、攻撃者は正しいIDとパスワードで正規にログインして書き換えるため、WAFでも防げませんし、サーバーのログを見ても不審な点が出ません。Webサイトを守る対策と、社内のパソコンを守る対策は切り離せないということです。
▶ 関連記事：インフォスティーラー（情報窃取型マルウェア）とは？ブラウザ保存のパスワードとCookieが盗まれる手口・多要素認証が突破される理由と対策
WordPressを使っているなら、まず何を確認すればいい？
国内の中小企業のコーポレートサイトは、WordPressで構築されているケースが多数を占めます。制作会社に任せきりで、公開後は誰も更新していない、という状態も珍しくありません。次の順番で確認してください。
- WordPress本体・プラグイン・テーマの更新が止まっていないかを管理画面で確認する。更新の通知が何十件も溜まっているなら、それがそのまま侵入口です
- 使っていないプラグイン・テーマを削除する。停止（無効化）しただけではファイルはサーバーに残り、脆弱性は突かれます。削除まで行ってください
- 管理者アカウントの棚卸しをする。制作会社や退職者のアカウント、テスト用に作ったアカウントが残っていないか。不要なものは削除する
- パスワードを長く複雑なものに変更し、可能なら多要素認証を追加する
- XML-RPC機能を使っていないなら無効化する。前述のEfimerの事例で悪用された機能です
- 身に覚えのない投稿・固定ページ・ファイルがないか確認する。公開日が古い日付に設定されて一覧の下のほうに紛れ込んでいることがあります
▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性
改ざんに気づくにはどうすればいい？
目視が当てにならない以上、気づく仕組みを外側に持つしかありません。中小企業が現実的に取れる方法を、効果の順に整理します。
| 気づき方 | できること | 限界 |
|---|---|---|
| Google Search Consoleの 「セキュリティの問題」 |
Googleがハッキングを検出すると、コンテンツの挿入・コードの挿入・URLの挿入・マルウェア・フィッシングなどの種類とともに通知される。無料で、いますぐ設定できる | Googleが検出してから通知されるため、検出時点ですでに検索結果に警告が出ていることがある |
| 改ざん検知サービス （ファイル変更の監視） |
サーバー上のファイルが書き換わったことを検知して通知する。見た目が変わらない改ざんにも反応できる | 正規の更新でも通知が出るため、運用ルールが必要 |
| 外部公開資産の 継続監視（EASM） |
自社ドメインから公開されているサイト・サーバーを自動で洗い出し、脆弱性や設定不備を継続的にスキャンする。忘れられた古いサイトも見つかる | 改ざんそのものではなく「改ざんされる前の弱点」を見つける対策 |
| WAFの管理画面・月次レポート | どこから、どんな攻撃が、何件来ているかが見える。攻撃が急増していれば狙われている兆候として先回りできる | WAFを導入していることが前提 |
| アクセス解析の異常 | 直帰率の急変、身に覚えのないページへの流入、検索経由の流入の急減など | 間接的な兆候にとどまり、原因の特定はできない |
2番目の「改ざん検知サービス」は、Webサイトの改ざん検知に特化した専用サービスが国内にも複数あります（gred Web改ざんチェック、SiteLock、WebARGUSなど）。これらは当社の取扱製品ではありませんが、「サイトの中身が書き換わったこと自体を検知したい」というご要望であれば選択肢になります。一方、そもそも改ざんされないようにする（WAF）／改ざんされる原因となる弱点を先に潰す（脆弱性管理）ほうが優先度は高い、というのが当社の考え方です。検知は「起きたあとに気づく」対策であり、気づいた時点ですでに顧客に被害が出ている可能性があるためです。
費用をかけずに今日すぐできるのは、1番目のGoogle Search Consoleです。まだ登録していないのであれば、それが最初の一歩になります。ただしSearch Consoleは「Googleが気づいたら教えてくれる」仕組みであって、Googleより先に気づく仕組みではありません。気づいた時点ですでに検索結果に警告が出ている可能性があるという前提で使ってください。
▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方｜脆弱性診断とマネージド脆弱性管理の違い
改ざんが見つかったら、何をすればいい？
あわてて元のファイルを上書きするのがいちばんまずい対応です。証拠が消え、原因がわからなくなり、同じ穴からまた入られます。次の順番で進めてください。
- サイトを一時的に公開停止する（メンテナンス表示に切り替える）。公開したままでは、対応している間も訪問者に被害が広がり続けます
- 証拠を保全する。サーバーのアクセスログ、改ざんされたファイル、CMSの更新履歴を、消したり上書きしたりする前にコピーして保管する
- 被害範囲を調べる。いつから改ざんされていたか、どのファイルが書き換えられたか、入力フォームから情報が送信されていないか、他のサイトやサーバーに波及していないか
- 侵入経路を特定して塞ぐ。脆弱性の修正、パスワードの全変更、不要なアカウントの削除。Webシェルやバックドアが残っていないかを必ず確認する
- 不正なファイルを除去し、サイトを復旧する。可能ならクリーンな状態のバックアップから戻す
- 関係先に報告する。個人情報が関わるなら個人情報保護委員会と本人へ。取引先、必要に応じて警察やJPCERT/CCへ
- Google Search Consoleから「審査をリクエスト」する。修正内容を記入して送信する。再審査には数日から数週間かかるため、結果が出るまで再送信はしないこと
いちばん多い失敗：「バックアップから戻したから解決した」と考えてしまうことです。バックアップから戻すと、改ざんは消えますが、改ざんを許した脆弱性も一緒に戻ってきます。しかも、改ざんされた時点よりも前からバックドアが仕掛けられていた場合は、バックドアごと復元してしまいます。復旧とは「元に戻すこと」ではなく、「原因を塞いだ状態にすること」です。
3番と4番——いつから、どこまで、何が起きたのかを確定する作業は、社内だけで完結させるのが最も難しい部分です。とくに管理者のパソコンが感染していた場合、パソコン側を調べないと侵入経路は判明しません。ここは専門の調査サービスを使うのが現実的です。
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト
▶ 関連記事：情報漏洩が発覚したら？取引先・顧客への報告手順と注意点
対策は何から手をつければいい？
Webサイトを守る対策は、「入らせない」「弱点を見つける」「気づく」「戻せるようにする」の4つの層に分かれます。すべてを一度に揃える必要はありません。優先順位をつけて積み上げてください。
| 優先度 | やること | どの層か | 費用の目安（税別） |
|---|---|---|---|
| 1 | CMS・プラグイン・テーマを最新に保ち、使っていないものを削除する | 入らせない | 0円（運用の手間のみ） |
| 2 | 管理画面のパスワード強化・不要アカウント削除・多要素認証 | 入らせない | 0円〜／パスワード管理は1人月1,250円前後 |
| 3 | Google Search Consoleに登録し、セキュリティの問題の通知を受け取る | 気づく | 0円 |
| 4 | WAFを導入して、Webアプリケーション層の攻撃を自動で遮断する | 入らせない | 1サイト 初期20万円＋月1万円〜 |
| 5 | 管理者のパソコンをEDRで守る（認証情報を盗ませない） | 入らせない | 1台 月1,000円〜 |
| 6 | サイトとデータのバックアップを、サーバーとは別の場所に取る | 戻せるようにする | 100GB 月3,000円〜 |
| 7 | 公開資産の棚卸しと脆弱性の継続監視（EASM）を行う | 弱点を見つける | 要見積り |
1〜3は費用をかけずに今週から着手できるものです。まずここを埋めてから、4以降を予算と相談しながら積んでいくのが、中小企業にとって最も無駄の少ない進め方です。
中小企業が使える製品にはどんなものがある？
先ほどの4つの層に対応する、当社で取り扱っている製品・サービスを横に並べます。どれか1つを選ぶのではなく、どの層が空いているかを確認するために使ってください。
| 項目 | 攻撃遮断くん | Sophos Cyber Risk Management | データお守り隊（SentinelOne） | クラウドバックアップ（Acronis） | マルウェア感染調査 |
|---|---|---|---|---|---|
| どの層か | 入らせない | 弱点を見つける | 入らせない（端末側） | 戻せるようにする | 起きた後に調べる |
| 種類 | クラウド型WAF | マネージド脆弱性管理 （EASM／IASM） |
EDR＋SOC監視 | クラウドバックアップ | スポット調査サービス |
| 守る対象 | Webサイト・Webサーバー | インターネット公開資産 社内ネットワーク資産 |
社内のパソコン・サーバー | PC／サーバー／NAS／ Microsoft 365など |
社内のパソコン全台 |
| 主な機能 | 攻撃の自動検知・遮断 防御ルールの自動更新 攻撃元IP・国・種別の可視化 |
公開資産の自動発見 脆弱性の継続スキャン AIによる優先順位付け（VPR） |
AIによる24時間365日監視 不正プロセスの停止・隔離 ワンクリック復旧 |
OS丸ごと／フォルダ単位の 自動バックアップ バックアップ側も攻撃から保護 |
全台にEDRを導入して調査 横展開の範囲を確定 レポート提出 |
| 導入方法 | DNS切替のみ （レンタルサーバーも可） |
クラウド（Sophos Central） | 各端末にインストール （SOCが支援） |
各端末にインストール | 各端末にインストール |
| 体制 | 24時間365日 国内スタッフが日本語対応 |
Sophos専門アナリストが 24時間365日監視 |
SOCが24時間365日監視 | — | 専門チームが実施 |
| 料金（税別） | 1サイトプラン 初期200,000円／サイト 月10,000円〜 （ピーク時トラフィック別） |
要見積り （資産数・ユーザー数による） |
初期0円 1台 月1,000円 （上位プラン1,100／1,660円） |
100GB 月3,000円 年36,200円 端末数は無制限 |
300台まで298,000円 500台まで498,000円 詳細レポートは別途500,000円 |
| 特記事項 | 導入20,000サイト以上 10Gbps以上のDDoS・ゼロデイに 最大1,000万円のサイバー保険 |
Tenableの技術を採用 忘れられた公開資産や シャドーITも洗い出す |
サイバー保険 最大50万円 | 30日間の無料評価版あり | 17時までの注文で翌日対応 監視5営業日〜 終了後3営業日でレポート |
| 詳しく見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
Webサイトの改ざん対策として最初に検討したいのはWAFです。攻撃遮断くんはDNSを切り替えるだけで導入でき、レンタルサーバーで運用しているサイトにも対応できるため、サーバーの構成に手を入れられない中小企業でも導入しやすいのが特長です。一方で、初期費用が20万円かかる点は正直にお伝えしておきます。まずは優先度1〜3の無料でできる対策を終えてから検討しても遅くはありません。
忘れられがちな点：WAFはWebサイトへの攻撃を防ぎますが、管理者のパソコンが乗っ取られて「正しいIDとパスワード」で改ざんされる経路は防げません。Webサイト側の対策と、社内のパソコン側の対策は両方そろって初めて意味を持ちます。
費用はどれくらいかかる？
従業員30名・コーポレートサイト1つ・管理端末を含めてPC30台という前提で、年間費用の目安を出します。
| 項目 | 年間費用の目安（税別） |
|---|---|
| CMS・プラグインの更新／アカウント整理／Search Console登録 | 0円（社内の運用のみ） |
| WAF（攻撃遮断くん・1サイトプラン） | 初年度 320,000円（初期200,000円＋月10,000円×12） 次年度以降 120,000円 |
| EDR（データお守り隊・30台） | 360,000円（1台 月1,000円×30台×12） |
| クラウドバックアップ（Acronis・100GB） | 36,200円 |
| 合計（初年度） | 約716,000円／月あたり約60,000円 |
| 参考：改ざんされてから調べる場合 | マルウェア感染調査 298,000円〜（300台まで）＋詳細レポートが必要なら別途500,000円 ＋サイト復旧の作業費＋検索結果が戻るまでの機会損失 |
ここで比べてほしいのは金額の大小だけではありません。予防に使う費用は「起きないようにするため」の費用ですが、事後の調査費用は「何が起きたのかを知るため」の費用にすぎないということです。298,000円を払って調査しても、盗まれた顧客情報が戻ってくるわけでも、下がった検索評価が戻るわけでもありません。
さらに、アクセスログが残っていなければ、調査しても「何人分の情報が送信されたか特定できない」という結論しか出せません。報告義務を果たすためにも、平時のログ保全が効いてきます。
▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方
▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安と補助金で抑える方法
補助金で費用を抑えられる？
WAFやEDR、バックアップといったセキュリティ製品の導入費用は、「デジタル化・AI導入補助金」の対象になる場合があります（旧「IT導入補助金」から名称が変わっています）。
- 補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件を満たせば最大4分の5）
- 申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要
- 対象となるITツールは、あらかじめ事務局に登録されたものに限られる
注意：補助金は交付決定前に発注・契約したものは対象外です。「先に導入して、あとから申請する」ことはできません。また、補助率・上限額・対象要件は年度や公募回によって変わります。導入を検討される際は、最新の公募要領をご確認いただくか、専門家にご相談ください。当社はデジタル化・AI導入補助金の支援事業者として、対象になるかどうかの確認からお手伝いできます。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・補助金の申請要件
よくある質問
Q. 小さな会社のホームページでも狙われますか？
A. 狙われます。攻撃者は「この会社の情報が欲しい」と思って選んでいるわけではなく、脆弱性のあるサイトを自動的に探して回っているからです。JPCERT/CCが公表している事例も、特定の大企業ではなく「国内の複数の正規Webサイト」という形で報告されています。むしろ、更新が止まりやすく監視の目が少ない中小企業のサイトは、攻撃者にとって「長く使える土地」として好都合です。
Q. 自社サイトを見ても何も変わっていません。それでも改ざんされている可能性はありますか？
A. あります。2026年4〜6月にJPCERT/CCが確認した事例では、検索エンジンのクローラーでアクセスしたときだけ別のコンテンツが表示される状態になっていました。管理者が普通のブラウザで見ても正常なページが返ります。「見た目が正常」は改ざんされていない証拠にはなりません。Google Search Consoleの「セキュリティの問題」を確認することから始めてください。
Q. ホームページは制作会社に任せています。改ざんされたら責任は制作会社にありますか？
A. 契約内容によります。「制作」だけの契約なのか、「保守・運用」まで含む契約なのかで、更新やセキュリティ対応の責任範囲が変わります。まず確認していただきたいのは、(1)CMSやプラグインの更新は誰が行うことになっているか、(2)改ざんが起きたときの一次対応は誰が行うか、(3)サーバーのアクセスログは何日分保存されているかの3点です。実際には「作って納品して終わり」の契約のまま何年も経っている、というケースが少なくありません。なお、顧客の個人情報に関する個人情報保護委員会への報告義務は、契約内容にかかわらず自社に生じます。
Q. WAFを入れれば改ざんは防げますか？
A. WAFはWebアプリケーション層への攻撃を遮断するため、脆弱性を突く侵入に対しては非常に有効です。ただし万能ではありません。とくに、管理者のパソコンがマルウェアに感染してIDとパスワードを盗まれ、攻撃者が正規にログインして書き換える経路は、WAFでは防げません。この経路はサーバーから見れば「正しい管理者の操作」だからです。WAFに加えて、管理端末の保護（EDR）と多要素認証をセットで考えてください。
Q. 改ざんされたことを、お客様に公表しなければいけませんか？
A. 訪問者の個人情報が漏えいした（またはそのおそれがある）場合は、本人への通知が必要です。通知が困難な場合は公表などの代替措置を取ります。個人情報が関わらない改ざん（マルウェア配布のみなど）については法律上の公表義務はありませんが、訪問者がマルウェアに感染した可能性がある以上、注意喚起を出すのが実務上の対応です。「黙っていれば気づかれない」と考えるのは危険で、Googleの警告表示は誰の目にも見えます。
Q. バックアップから戻せば、それで解決ではないのですか？
A. 解決しません。バックアップから戻すと改ざんされたファイルは消えますが、改ざんを許した脆弱性も同時に元通りになります。そのまま公開すれば、同じ手口でまた改ざんされます。さらに、改ざんが見つかるより前からバックドアが仕込まれていた場合、バックドアごと復元してしまいます。復旧の前に、必ず侵入経路の特定と修正、パスワードの全変更、不正なファイルが残っていないかの確認を行ってください。
Q. 社内にIT担当者がいなくても対策できますか？
A. できます。優先度1〜3（CMSの更新・アカウント整理・Google Search Consoleへの登録）は、専門知識がなくても対応可能です。それ以上の部分については、WAFのように「DNSを切り替えるだけで導入できて、運用は提供元が行う」タイプの製品や、24時間365日の監視を外部に任せられるサービスを選ぶことで、担当者不在でも守れる状態を作れます。何から手をつけるべきかの整理からご相談いただけます。
まとめ
Webサイト改ざんは、いまや「見た目が壊される攻撃」ではなく「気づかれないまま使われ続ける攻撃」に変わりました。
JPCERT/CCへの報告件数は2026年4〜6月に181件と、前四半期の90件から2倍以上に増えています。
そして報告された6つの実例は、いずれも国内の正規のWebサイトで確認されたものであり、その6件中4件は、被害を受けるのが自社ではなくサイトを訪れた顧客でした。
改ざんは、自社が被害者であると同時に、顧客に対する加害者になってしまう攻撃だという点が、従来のイメージとの最大の違いです。
いちばん危険な思い込みは「自社サイトを見たら普通だったから大丈夫」です。
攻撃者は管理者に見つからないことを最優先に設計しており、実際に検索エンジンのクローラーにだけ別の内容を見せる手口が確認されています。
まず取り組むべきは、CMSとプラグインの更新、管理アカウントの整理、Google Search Consoleへの登録——この3つです。いずれも費用はかかりません。
そのうえで、WAFで入口を塞ぎ、EDRで管理者のパソコンを守り、バックアップで戻せる状態を作るという順に積み上げていくのが現実的です。
費用は、30名規模で初年度およそ70万円台が目安です。改ざんされてから調べるだけでも298,000円からかかり、しかもその費用は「何が起きたかを知るため」の費用にすぎません。
これらの導入費用はデジタル化・AI導入補助金の対象になる場合があります。ただし交付決定前の発注は対象外ですので、順番にはご注意ください。
「自社のサイトが今どういう状態か分からない」「何から手をつけるべきか整理したい」という段階からで構いません。当社は補助金の支援事業者として、現状の確認から、優先順位づけ、製品の選定、補助金の申請まで一貫してお手伝いできます。お気軽にご相談ください。
▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？
▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策
▶ 関連記事：サポート詐欺（偽警告）とは？業務パソコンに「ウイルスに感染しました」と出たときの対処法と、会社が取るべき予防策
▶ 関連記事：バックアップの基本「3-2-1ルール」とは