WordPress乗っ取りの復旧方法・費用｜改ざん・マルウェア対応と業者選び【2026年版】

WordPress
保守管理・運用

最終更新日：2026年08月10日

この記事の監修者

齊藤真也

株式会社ファーストネットジャパン代表取締役

1998 年創業時からアプリ開発・Web マーケティング・フルリモート SES・ホームページ制作・翻訳・グラフィックデザインなど幅広い IT／クリエイティブ領域を手がけ、4,000 件超のプロジェクトを統括。セキュリティ対策・SEO・システム開発から中小企業のWeb戦略支援まで、技術とデザインの両面でクライアントの課題解決を27年以上にわたり支援してきた。
大阪本社・東京オフィスの2拠点体制で、全国の企業のデジタル化をサポート。
高松市出身。座右の銘は「圧倒的努力」。

WordPressが乗っ取られた、ページが改ざんされた、マルウェアに感染した場合は、被害を広げないための隔離と状況保全を優先し、その後に侵入経路の特定・復旧・再発防止を進めます。復旧費用の目安は、軽度なら5万円〜15万円、中度なら15万円〜40万円、再構築が必要な重度では40万円〜100万円超になることがあります。

特に重要なのは、慌てて不審ファイルを削除したり、最新バックアップで上書きしたりする前に、現在のファイル・データベース・サーバーログを保全することです。原因を残したまま表面上だけ直すと、復旧後に再侵入される可能性があります。

本記事では、1998年創業・4,000件超の制作実績を持つファーストネットジャパンが、WordPress乗っ取りの復旧方法、改ざん・マルウェア被害の費用相場、復旧業者の選び方、緊急対処手順、再発防止策を実務目線で解説します。

ホームページの保守・管理にお困りではありませんか？

ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。

ホームページの保守・乗り換えをご検討なら

WordPress乗っ取り・改ざんの復旧費用相場

復旧費用は、改ざんされた範囲、侵入経路の特定に必要な調査、正常なバックアップの有無、データベースへの影響、Google Search Consoleへの対応範囲などで変わります。まずは被害規模ごとの目安を確認してください。

被害規模	費用目安	主な対応内容
軽度	5万円〜15万円	ログイン復旧、限定的な改ざん修復、認証情報変更、基本的なセキュリティ設定
中度	15万円〜40万円	マルウェア調査・除去、複数ファイルの精査、データベース確認、侵入経路調査
重度	40万円〜100万円超	WordPress再構築、クリーン環境へのデータ移行、サーバー環境再設定、復旧後の監視
復旧後の月額保守	月額1万円〜5万円程度	更新、バックアップ、稼働監視、脆弱性対策、障害時の対応

上記は一般的な目安であり、実際の費用はサイト規模や被害状況によって変動します。特に、バックアップがない場合や、複数サイトが同一サーバー上で侵害されている場合は調査範囲が広がるため、費用も増えやすくなります。

復旧費用が業者によって違う理由

同じ「WordPressの復旧」でも、改ざん箇所だけを削除する作業と、侵入経路を調査して再発防止まで行う作業では必要な工数が異なります。見積もりを比較するときは金額だけでなく、以下の範囲が含まれているかを確認してください。

被害範囲の調査
侵入経路の特定
マルウェア・不正ファイルの除去
データベースの確認
WordPress本体・テーマ・プラグインの更新
認証情報の変更
Google Search Consoleのセキュリティ問題への対応
復旧後の監視・バックアップ・保守

WordPress復旧業者を選ぶ5つのポイント

1. WordPressの構造を理解しているか

WordPress本体だけでなく、テーマ、プラグイン、データベース、サーバー設定まで確認できる業者を選びます。改ざんファイルだけを削除しても、侵入経路やバックドアが残っていれば再発する可能性があります。

2. 調査と復旧の範囲が明確か

「復旧一式」だけではなく、初期調査、マルウェア除去、データベース確認、再発防止、Search Console対応など、作業範囲を確認します。

3. 緊急時の対応体制があるか

企業サイトでは、公開停止が長引くほど問い合わせや営業機会への影響が大きくなります。問い合わせ後の初動、調査開始までの流れ、営業時間外に障害を検知した場合の対応方針を事前に確認しておきましょう。

4. 追加費用が発生する条件が明確か

調査後に想定以上の感染範囲が見つかることもあります。追加調査や再構築が必要になった場合の料金条件を、作業開始前に確認することが重要です。

5. 復旧後の保守まで相談できるか

復旧直後は、同じ侵入経路が残っていないか、再度改ざんされていないかを継続的に確認する必要があります。更新・バックアップ・監視まで一貫して相談できる業者であれば、復旧後の運用も整理しやすくなります。

自社対応が可能なケースと外部依頼を推奨するケース

自社対応を検討できるケース

侵害前と確認できる正常なバックアップが残っている
FTP/SFTP、データベース、サーバーログを扱える担当者がいる
不審ファイルやマルウェアスキャン結果を判断できる技術者がいる
復旧後の更新・監視まで自社で継続できる

外部依頼を推奨するケース

バックアップがない、または正常なバックアップか判断できない
管理画面にログインできない
改ざん範囲や侵入経路が分からない
顧客情報・会員情報・決済関連情報を扱っている
Google検索やブラウザでセキュリティ警告が表示されている
復旧しても再び改ざんされる
複数サイトやサーバー全体への影響が疑われる

WordPressの乗っ取り・改ざん・ハッキングの違い

「乗っ取り」「改ざん」「ハッキング」は同じ意味で使われることもありますが、実務上は被害の状態を分けて考えると対応しやすくなります。

用語	主な状態	想定される侵入経路
乗っ取り	管理者権限を奪われる、ログインできない、不正な管理者が追加される	パスワード漏洩、ブルートフォース攻撃、脆弱性悪用など
改ざん	ページ書き換え、不正リダイレクト、スパムページ生成、不審コードの挿入	プラグイン・テーマ・本体・独自機能などの脆弱性
マルウェア感染	不正PHP、バックドア、スパム送信、不正プログラムなどが設置される	脆弱性悪用、認証情報漏洩、感染済みファイルのアップロードなど
ハッキング	上記を含む不正アクセスや侵害行為の総称	認証情報・ソフトウェア・サーバー設定など複数要因

WordPressが乗っ取られたときに見られる症状

次の症状がある場合は、WordPressが侵害されている可能性があります。1つの症状だけで断定はできませんが、複数該当する場合や、サーバー会社・Search Consoleから警告が届いている場合は早めの確認が必要です。

管理画面に突然ログインできなくなった
見覚えのない管理者アカウントが追加されている
サイトを開くと別サイトへリダイレクトされる
ページ本文やタイトルが勝手に書き換えられている
検索結果に身に覚えのないページが大量に表示される
Google Search Consoleの「セキュリティの問題」に警告が出ている
wp-content/uploads配下などに見覚えのないPHPファイルがある
サーバー会社から不正アクセス・不正利用の通知が届いた
サイトから大量の不正メールが送信されている
復旧したはずなのに数時間〜数日後に再び改ざんされる

WordPress乗っ取り被害の復旧方法8ステップ

復旧作業では、単にサイトを表示できる状態へ戻すだけでは不十分です。被害の拡大を止め、証拠を保全し、侵入経路を塞いだうえで公開を再開します。

STEP1：サイトを隔離・一時停止する

不正リダイレクトやマルウェア配布が疑われる場合は、まず外部への公開を止めます。メンテナンスモード、アクセス制限、サーバー側での公開停止など、状況に応じて隔離します。

STEP2：現状のファイル・データベース・ログを保全する

復旧作業を始める前に、現在のWebファイル、データベース、アクセスログ、エラーログなどを保存します。ここで不審ファイルをすぐ削除してしまうと、侵入経路や被害範囲を調査する材料を失う場合があります。

STEP3：認証情報を変更する

WordPress管理者、サーバー管理画面、FTP/SFTP、データベース、関連メールなど、侵害の影響が考えられる認証情報を変更します。パスワードは他サービスと使い回さず、管理者アカウントには2段階認証も検討します。

STEP4：不審ファイル・不正ユーザー・改ざん箇所を特定する

WordPress本体との差分、テーマ・プラグインのファイル、最近更新されたファイル、データベース内の不審なコード、見覚えのない管理者ユーザーなどを調査します。セキュリティスキャンは補助として利用し、スキャン結果だけで安全と判断しないことが重要です。

STEP5：侵害前の正常なバックアップから復元する

侵害前と確認できるバックアップがある場合は、クリーンな環境へ復元します。被害発生時期が分からないバックアップをそのまま戻すと、不正ファイルやバックドアまで復元する可能性があるため注意が必要です。

STEP6：WordPress本体・テーマ・プラグインを更新する

復旧後はWordPress本体、利用中のテーマ、プラグインを確認し、サポートされているバージョンへ更新します。利用していないプラグインやテーマ、更新が停止しているものは削除または代替を検討します。

STEP7：侵入経路を塞いでから公開を再開する

パスワード変更、2段階認証、更新、不要アカウント削除、WAF、ファイル権限、管理者権限などを確認します。原因が分からないまま公開すると再侵入につながるため、可能な限り侵入経路を特定してから公開します。

STEP8：Search Console確認と復旧後の監視を行う

Google Search Consoleに「セキュリティの問題」が表示されている場合は、問題を修正したことを確認してから審査を申請します。公開再開後も、ファイル変更、ログイン試行、稼働状況、検索結果の異常などを継続的に確認します。

ホームページの保守・管理にお困りではありませんか？

ホームページの保守・乗り換えをご検討なら

WordPress乗っ取り・改ざんが起こる主な原因

1. パスワード漏洩・使い回し

管理者パスワードが漏洩した場合、WordPress本体に脆弱性がなくても管理画面へ侵入される可能性があります。管理者アカウントでは、強固で固有のパスワードと2段階認証を組み合わせることが有効です。

2. WordPress本体・プラグイン・テーマの更新不足

公開済みの脆弱性が修正された後も古いバージョンを使い続けると、既知の攻撃手法を受けるリスクが高まります。更新前にはバックアップと動作確認を行い、長期間更新されていないプラグインは見直します。

3. 不要なプラグイン・テーマの放置

無効化していてもサーバー上にファイルが残っていれば、脆弱性の影響を受ける可能性があります。使用していないものは削除し、必要なソフトウェアだけに絞ります。

4. 管理者権限の過剰付与

日常の更新作業だけを行う担当者に管理者権限を与える必要はありません。権限は業務に必要な最小限にし、退職者や外部委託終了後のアカウントは速やかに停止・削除します。

5. 独自フォーム・自作プラグインなどの脆弱性

独自開発したフォームやプラグインで入力値の検証・エスケープ・権限確認が不十分だと、SQLインジェクションやXSSなどの攻撃につながる場合があります。独自機能もWordPress本体と同様に継続的な保守が必要です。

6. サーバー・WAF・ファイル権限などの設定不備

WordPressだけでなく、サーバー設定、PHP、ファイル権限、WAF、HTTPSなどもセキュリティに関係します。サイト単体ではなく、運用環境全体で確認することが重要です。

復旧時にやってはいけないこと

ファーストネットジャパンがWeb制作・保守の現場で特に注意しているのは、「表示が戻った＝復旧完了」と判断しないことです。次の対応は、原因調査を難しくしたり、再発につながったりするため注意してください。

不審ファイルを確認せず大量削除する：原因調査に必要な情報まで失う可能性があります。
被害時期が不明なバックアップで上書きする：感染済みの状態へ戻してしまう可能性があります。
改ざんされたページだけ直して公開する：バックドアや不正ユーザーが残っていると再発します。
パスワードを1つだけ変更して終える：FTPやサーバー管理画面など別経路の認証情報が漏洩している可能性があります。
セキュリティプラグインを複数入れて安心する：機能重複や設定競合が起こることがあるため、役割を整理して導入します。
原因不明のまま通常運用へ戻す：復旧後の監視期間を設け、再改ざんや不審アクセスがないか確認します。

WordPressの再発防止策8つ

1. WordPress本体・テーマ・プラグインを継続的に更新する

WordPressのセキュリティ対策では、ソフトウェアを最新の状態に保つことが基本です。更新前にバックアップを取得し、重要サイトでは検証環境で確認してから本番へ反映します。

2. 強固で使い回さないパスワードを使用する

管理者、サーバー、FTP/SFTP、データベースなどで同じパスワードを使い回さず、パスワードマネージャーなどを活用して十分な長さの固有パスワードを設定します。

3. 管理者アカウントに2段階認証を導入する

パスワードが漏洩した場合に備え、管理者アカウントには2段階認証を導入します。WordPressではプラグインや認証基盤を利用して追加できます。

4. ログイン試行を制限する

WAFやサーバー側の制限、セキュリティ機能などを利用し、短時間の大量ログイン試行を制限します。ログインURL変更は自動攻撃を減らす補助策にはなりますが、それだけに依存せず、2段階認証やアクセス制御と組み合わせます。

5. 不要なテーマ・プラグイン・アカウントを削除する

運用に必要なものだけを残すことで、攻撃対象となる範囲を減らせます。外部委託先へ付与したアカウントも、案件終了時に棚卸しします。

6. バックアップを自動化し、別環境にも保管する

Webファイルとデータベースを定期的にバックアップし、可能であれば本番サーバーとは別の保存先にも保管します。更新頻度が高いサイトほどバックアップ間隔を短くし、復元できることも定期的に確認します。

7. HTTPS・WAF・適切なファイル権限を設定する

HTTPSで管理画面を含む通信を暗号化し、WAFで既知の攻撃パターンを軽減します。また、wp-config.phpを含む重要ファイルやディレクトリの権限設定も確認します。

8. 稼働・ログイン・ファイル変更を監視する

障害監視だけでなく、不審なログイン試行、管理者追加、ファイル変更などを早期に検知できる仕組みを整えます。セキュリティは「防ぐ」だけでなく「早く気づく」体制が重要です。

ファーストネットジャパンのWordPress復旧・保守サポート

ファーストネットジャパンは、1998年創業・大阪市中央区に拠点を置くWeb制作会社です。4,000件超の制作実績をもとに、WordPressを含むホームページの制作・保守・運用改善をサポートしています。

WordPressで乗っ取り・改ざん・マルウェア感染が疑われる場合は、サイトの状況を確認し、必要な調査・復旧範囲を整理したうえで対応方法をご提案します。復旧後は、本体・プラグインの更新、バックアップ、稼働監視、セキュリティ対策など、継続運用についてもご相談いただけます。

「乗っ取られたか判断できない」「突然ログインできなくなった」「復旧したが再発が心配」といった段階でも構いません。まずはお気軽にご相談ください。

会社名	株式会社ファーストネットジャパン
所在地	大阪市中央区南久宝寺町1-7-10 シャンクレール南久宝寺201
設立	2004年12月（1998年8月創業）
URL	https://gelatocms.com/

よくある質問

Q. WordPress乗っ取りの復旧費用はいくらですか？

被害規模によって異なりますが、軽度なら5万円〜15万円、中度なら15万円〜40万円、再構築が必要な重度では40万円〜100万円超になることがあります。実際の費用は、改ざん範囲、正常なバックアップの有無、データベースへの影響、侵入経路の調査範囲などで変わります。

Q. WordPressが乗っ取られたら最初に何をすればよいですか？

まず被害拡大を防ぐためサイトを隔離・一時停止し、現在のファイル、データベース、サーバーログを保全します。その後、WordPress管理者、サーバー、FTP/SFTPなどの認証情報を変更し、被害範囲と侵入経路を調査します。

Q. バックアップがなくてもWordPressを復旧できますか？

バックアップがなくても復旧できる場合はあります。WordPress本体やテーマ、プラグインをクリーンな状態へ戻し、データベースやアップロードファイルを精査して再構築します。ただし、正常なバックアップがある場合より調査・復旧工数が増える可能性があります。

Q. WordPressの改ざん復旧には何日かかりますか？

軽度で正常なバックアップがある場合は1〜2営業日、中度のマルウェア感染では3〜7営業日、再構築が必要な重度では2〜4週間程度が一つの目安です。ただし、サイト規模や被害範囲、サーバーの状態によって変動します。

Q. Google検索にセキュリティ警告が出た場合はどうしますか？

まずマルウェア、不正ページ、改ざん箇所、侵入経路などの問題を修正します。そのうえでGoogle Search Consoleの「セキュリティの問題」を確認し、問題が解消していることを確認してから審査を申請します。審査には数日から数週間かかる場合があります。

Q. WordPressの保守契約をすれば乗っ取りを完全に防げますか？

保守契約をしても不正アクセスを100％防げるとは限りません。ただし、WordPress本体・テーマ・プラグインの更新、バックアップ、監視、2段階認証、WAFなどを継続的に運用することで、侵害リスクの低減と早期発見・早期復旧につながります。

まとめ

WordPressの乗っ取り・改ざん・マルウェア被害では、サイトを表示できる状態へ戻すだけではなく、被害拡大の停止、状況保全、侵入経路の調査、復旧、再発防止、復旧後の監視までを一連の作業として考える必要があります。

復旧費用は、軽度なら5万円〜15万円、中度なら15万円〜40万円、再構築が必要な重度では40万円〜100万円超が一つの目安です。業者へ依頼する場合は、価格だけではなく、侵入経路の調査範囲、追加費用の条件、Search Console対応、復旧後の保守まで確認しましょう。

ファーストネットジャパンは、1998年創業・4,000件超の制作実績をもとに、WordPressを含むホームページの制作・保守・運用改善をサポートしています。被害が発生しているか判断できない段階でも構いません。まずはお気軽にご相談ください。

ホームページの保守・管理にお困りではありませんか？

ホームページの保守・乗り換えをご検討なら

この記事の監修者

齊藤真也

株式会社ファーストネットジャパン代表取締役