WordPress乗っ取り・改ざんの復旧費用と業者選び｜緊急対処手順も解説【2026年版】
- WordPress
- 保守管理・運用
最終更新日：2026年07月17日
WordPress乗っ取り・改ざん被害からの復旧費用は、被害規模と業者選びで5万円〜100万円超まで大きく変わります。早期対応で軽度に抑えれば5万〜15万円で済みますが、初動を誤るとフルリビルドで数十万円規模になり、Google検索の警告が長期化するとブランド毀損まで発生します。
本記事では、1998年創業・実績4,000件超のファーストネットジャパンが、復旧費用の相場・業者選びのポイント・緊急対処手順・再発防止策を一気通貫で解説します。「復旧業者を探している」「費用感を確認したい」「まず何をすべきか判断したい」――どの段階の方にも判断材料としてお使いいただける内容です。
ホームページの保守・管理にお困りではありませんか？
ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。
WordPress復旧サービスの費用相場と業者選びのポイント
被害を受けた企業サイトの担当者がまず知りたいのは、「いくらかかるか」「どこに頼めばよいか」の2点です。ここでは復旧サービスの費用相場・業者選定基準・依頼時の確認事項を先にまとめます。
復旧費用の相場（被害規模別）
| 被害規模 | 費用目安 | 主な対応内容 |
| 軽度（管理画面ログイン不能・限定的な改ざん） | 5万円〜15万円 | パスワードリセット・改ざん箇所修復・基本セキュリティ設定 |
| 中度（マルウェア感染・複数ファイル改ざん） | 15万円〜40万円 | マルウェア除去・全ファイル精査・データベース修復・Search Console対応 |
| 重度（フルリビルドが必要） | 40万円〜100万円超 | サイト再構築・データ移行・全環境再構築・継続監視 |
| 復旧後の月額保守 | 月額1万円〜5万円 | 定期更新・バックアップ・脆弱性監視・障害対応 |
復旧費用は被害規模だけで決まるものではなく、「侵入経路の特定にかかる時間」と「データの整合性確認の範囲」で大きく変動します。被害発見から動き出すまでの時間が短いほど、費用は下振れします。
なぜ業者によって復旧費用が違うのか
同じ「マルウェア感染からの復旧」でも、業者によって10万円と40万円で見積が分かれることは珍しくありません。差が出る主な要因は以下の4点です。
- 侵入経路の特定範囲：改ざんファイルだけ消して終わる業者と、侵入経路を特定して塞ぐまで対応する業者では工数が2〜3倍違います
- 対応スピード：24時間以内着手か、1週間後着手かで被害拡大レベルが変わり、結果的に総費用に反映されます
- 復旧後の監視・保守の有無：復旧単体で終わる契約と、再発防止のための監視まで含む契約では価格帯が異なります
- SEO評価の回復対応：Search Consoleの再審査リクエスト、インデックス回復までフォローするかどうかで実質価値が変わります
WordPress復旧業者を選ぶ5つのポイント
被害発生時は焦って業者を決めがちですが、以下の5点を確認することで失敗を避けられます。
1. WordPressの復旧実績が明示されているか
汎用のシステム保守業者ではなく、WordPress特化の実績を持つ業者を選びます。WordPress固有のディレクトリ構造・データベーステーブル・プラグインエコシステムを理解していないと、復旧後に不具合を残しやすくなります。
2. 見積〜着手までのスピード
問い合わせから見積提示まで24時間以内、着手までさらに24〜48時間以内に対応できる体制があるかを確認します。「来週対応可能」レベルの業者は、被害拡大リスクが大きい重篤ケースには向きません。
3. 復旧後の保守プランが用意されているか
復旧単体で終わる契約だと、再侵入されて再度費用が発生するリスクがあります。月額保守プランで継続監視まで対応してくれる業者を選ぶと、トータルコストを抑えられます。
4. 見積の透明性と追加費用の条件
「一式◯◯万円」ではなく、調査費・除去費・修復費・監視費など内訳を明示できる業者が望ましい。侵入経路の想定と、追加費用が発生する条件を事前に文書で提示できるかを確認してください。
5. Search Console対応・SEO評価回復の知見
復旧が完了しても、Googleの警告が消えるまで数日〜数週間かかることがあります。Search Consoleでの再審査リクエスト、インデックス回復までフォローできる業者を選ぶと、営業機会の損失を最小化できます。
依頼時に確認すべき4項目
- 復旧作業のスコープ（どこまで復旧するのか、どこは対象外か）
- 追加費用が発生する条件（想定外の被害を発見した場合等）
- 復旧後の再発防止策の内容（プラグイン設定・監視体制の具体）
- 作業保証の期間（納品後◯日以内の再発は無償対応、等）
自社対応が可能なケース／外部依頼を推奨するケース
自社対応が可能なケース
- 被害発生から24時間以内に正常なバックアップが残っている
- WordPressの基本操作・FTP・データベース操作に習熟した担当者がいる
- マルウェアスキャン結果を読み解ける技術者がいる
外部依頼を推奨するケース
- バックアップがない、または被害発生後のバックアップしか残っていない
- 復旧作業中に再侵入される懸念がある
- 顧客情報・決済情報を扱うサイトで二次被害リスクが高い
- Google検索結果に警告が出ており、早期に再審査を通したい
- 復旧後の継続的な監視・保守を含めて任せたい
WordPressの乗っ取り・改ざん・ハッキングの違いと共通点
「乗っ取り」「改ざん」「ハッキング」はWebサイト運用の現場では混同して使われがちですが、被害の性質と対処の優先順位が異なります。
| 用語 | 主な被害内容 | 典型的な侵入経路 |
| 乗っ取り（ハイジャック） | 管理者権限の奪取・ログイン不能・新規管理者ユーザーの追加 | ID/パスワード窃取・ブルートフォース攻撃 |
| 改ざん | ページ書き換え・不正リダイレクト・スパムページ大量生成・マルウェア混入 | プラグイン/テーマの脆弱性・古いWordPress本体 |
| ハッキング | 上記を含む不正アクセス全般 | 複合的（人的要因＋脆弱性） |
共通するのは、いずれも「外部から正規外の操作が行われている」という点です。検出した時点で、被害がサイト内部だけにとどまらず、顧客情報・サーバー権限・関連ドメインまで波及していると想定して動く必要があります。
被害発生時のサイン（症状チェックリスト）
以下の症状が一つでも該当する場合、WordPressが侵害されている可能性が高い状態です。
- 管理画面にログインできない・パスワードが拒否される
- 「ユーザー一覧」に見覚えのない管理者アカウントが存在する
- サイトを開くと海外サイトや出会い系・薬機法違反サイトへリダイレクトされる
- トップページ・記事本文の内容が書き換えられている
- Google検索結果に「このサイトはハッキングされている可能性があります」と表示される
- Search Consoleに「セキュリティの問題」が報告される
- 身に覚えのないURL（/wp-content/uploads/配下のPHPファイル等）が大量に生成されている
- サーバー会社から「不正利用が確認されました」とアラートが届く
- 管理画面の動作が異常に重い・PHPメモリエラーが頻発する
- サイトから不正メールが送信されている
これらのサインは、放置するほどGoogleのインデックスからの除外・ブラウザ警告表示・サーバー強制停止といった二次被害につながります。1つでも該当した場合は即時の対応が必要です。
被害時の緊急対処手順（復旧フロー）
被害を確認した時点で、以下の手順で対処します。順序を間違えると証拠が消えたり、復旧後に再侵入を許す可能性があるため、慎重に進めてください。
STEP1：サイトを停止する
マルウェアが訪問者のPCに感染する・スパムページがインデックスされ続けるリスクを止めるため、まずサイトをメンテナンスモードまたは一時停止状態にします。サーバーの.htaccessでアクセス制限をかける、サーバー側で公開停止する、といった方法があります。
STEP2：認証情報をすべて変更する
WordPress管理者パスワード、FTP/SFTPパスワード、データベースパスワード、サーバーコントロールパネル、関連するメールアカウント――関係するすべてのパスワードを変更します。同時に、見覚えのない管理者ユーザーは削除します。
STEP3：被害状況を保全する
復旧前に、現在のサイト・データベース・サーバーログを必ずバックアップします。これは後の原因究明と、必要に応じた法的対応のための証拠保全です。バックアップ前にファイルを削除すると、侵入経路が特定できなくなります。
STEP4：マルウェアスキャンと不審ファイルの特定
Wordfence、Sucuri、iThemes Security、All-In-One Securityなどのセキュリティプラグインでサイト全体をスキャンします。並行して、サーバー上で更新日時が不自然なPHPファイル、見覚えのないファイル、wp-content/uploads配下のPHPファイル（本来は画像のみ）を確認します。
STEP5：バックアップから復元する
被害発生前の正常なバックアップが残っている場合は、そこから復元するのが最も確実な方法です。バックアップがない・古すぎる場合は、WordPress本体の再インストール＋クリーンなテーマ・プラグインの再導入＋データベースの精査という流れになります。
STEP6：本体・プラグイン・テーマを最新化
復元後、WordPress本体・プラグイン・テーマをすべて最新バージョンに更新します。サポートが終了しているプラグイン・テーマは、この機会に同等機能の現行プラグインへ置き換えます。
STEP7：Google Search Consoleで再審査リクエスト
Google検索で警告が表示されていた場合は、Search Consoleの「セキュリティの問題」から再審査リクエストを送信します。承認されるまで数日〜数週間かかるため、復旧作業と並行して対応します。
STEP8：監視体制の構築
復旧後、再度同じ手口で侵入されるリスクが高いため、ログイン試行の監視・ファイル変更の監視・定期マルウェアスキャンを導入します。
ホームページの保守・管理にお困りではありませんか？
ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。
乗っ取り被害の主な原因
乗っ取り（管理者権限の奪取）は、技術的脆弱性ではなく「認証情報の管理不備」が主因です。
1. 弱いパスワード
「admin」「123456」「会社名＋年号」といった推測可能なパスワードは、自動化されたブルートフォース攻撃で数時間〜数日で破られます。
2. ログインURLの放置
初期設定のままだと管理画面は誰でも「サイトURL/wp-admin/」「サイトURL/wp-login.php」でアクセスできます。攻撃者は世界中のWordPressに対し、この既知のURLへ自動攻撃を仕掛けています。
3. 漏洩済みパスワードの使い回し
他サービスから流出したID・パスワードを使ったクレデンシャルスタッフィング攻撃が増えています。同じパスワードを複数サービスで使うリスクが高まっています。
4. 2段階認証の未設定
ID・パスワード単体での認証のみだと、漏洩した瞬間に侵入を許します。2段階認証（2FA）を設定していれば、パスワードが破られても不正ログインを防げます。
改ざん被害の主な原因
改ざんは「ソフトウェアの脆弱性」を突かれるケースが大半です。
1. プラグインの脆弱性
WordPressの被害事例で最も多いのがプラグイン由来です。更新が止まっているプラグイン、利用者の少ないプラグイン、海外無料サイトから入手したプラグインはリスクが高くなります。
2. テーマの脆弱性
特にnulled（クラック版・違法配布版）の有料テーマには、最初からバックドアが仕込まれているケースが報告されています。費用を抑える目的で導入したテーマが、結果的に数十万円の復旧費用を招きます。
3. WordPress本体の旧バージョン放置
WordPress本体は定期的に脆弱性パッチを含むマイナーアップデートが配信されます。自動更新を無効にしたまま放置しているサイトは、既知の脆弱性をそのまま晒している状態です。
4. サーバー側の設定不備
wp-config.phpのパーミッション設定、ディレクトリリスティングの放置、SSL未設定、ファイルアップロード制限の甘さなど、サーバー側の設定が侵入経路になることもあります。
5. SQLインジェクション・XSS
独自開発のカスタムフォーム・自作プラグインに脆弱性があると、入力フォーム経由でデータベースまで侵入されます。
再発防止策（プラグイン・運用ルール）
復旧後に同じ被害を繰り返さないための具体策です。
1. WordPress本体・プラグイン・テーマの自動更新を有効化
マイナーアップデートは自動更新、メジャーアップデートは検証後に手動更新、という運用が現実的です。
2. ログインURLの変更
WPS Hide LoginやSiteGuard WP Pluginなどで、/wp-admin/・/wp-login.phpを別URLに変更します。これだけで自動攻撃の大半を遮断できます。
3. 2段階認証の導入
Google Authenticator・Wordfence Loginなどで2FAを必須化します。管理者全員に適用することが重要です。
4. セキュリティプラグインの導入
Wordfence Security、SiteGuard WP Plugin、All-In-One Security、Sucuri Securityなどから1つを選定して導入します。複数併用はかえって動作不安定になるため避けます。
5. 定期バックアップの自動化
サーバー側のバックアップに加え、外部ストレージ（Amazon S3・Google Drive等）への自動バックアップを最低でも週1回設定します。バックアップが同じサーバー内のみだと、サーバーごと侵害された際に意味をなしません。
6. 不要プラグイン・テーマの削除
無効化したまま放置しているプラグイン・テーマも脆弱性の侵入経路になります。使わないものは「停止」ではなく「削除」します。
7. 管理者アカウントの最小化
管理者権限は本当に必要な人物のみ、編集権限・投稿者権限で十分な担当者にはそちらを付与します。退職者・関係者外のアカウントは即削除します。
8. SSL/HTTPS化とWAF導入
SSLは必須、加えてサーバー提供のWAF（Web Application Firewall）またはCloudflareなどの外部WAFを利用すると、既知の攻撃パターンを通信段階で遮断できます。
ファーストネットジャパンのWordPress復旧・保守サービス
ファーストネットジャパンは、1998年創業・実績4,000件超のWeb制作会社として、WordPressの緊急復旧から再発防止のための運用保守までを一貫してサポートします。
WordPress復旧では、被害状況の調査・侵入経路の特定・マルウェア除去・改ざん箇所の修復・Search Console対応までを一括で対応します。復旧後は月額保守プランで、本体・プラグインの定期更新、脆弱性監視、外部ストレージへの自動バックアップ、24時間の障害監視を継続提供しています。
「被害が出ているかもしれない」「正常か判断がつかない」という段階でも構いません。状況のヒアリングから初期診断までは無料で対応しています。お気軽にご相談ください。
| 会社名 | 株式会社ファーストネットジャパン |
| 所在地 | 大阪市中央区南久宝寺町1-7-10 シャンクレール南久宝寺201 |
| 設立 | 2004年12月（1998年8月創業） |
| URL | https://gelatocms.com/ |
関連記事
【関連記事】
ホームページの保守・管理サービス
WordPress保守の費用相場と内容
ホームページ保守の重要性と費用
WordPressバックアップの取り方
よくある質問
Q. WordPress復旧の費用相場はいくらですか？
被害規模により幅があります。軽度の改ざん・管理画面ログイン不能なら5万円〜15万円、マルウェア感染を伴う中度の被害で15万円〜40万円、フルリビルドが必要な重度なら40万円〜100万円超が目安です。復旧後の月額保守は1万円〜5万円が一般的です。ファーストネットジャパンでは初期診断を無料で実施しており、状況を確認してからお見積りをお出しします。
Q. WordPress復旧業者はどう選べばよいですか？
WordPress特化の復旧実績が明示されていること、見積〜着手までのスピード、復旧後の保守プランの有無、見積の透明性、Search Console対応の知見の5点を確認してください。汎用のシステム保守業者ではなく、WordPress固有のディレクトリ構造・プラグインエコシステムを理解している業者を選ぶことがトラブル回避のポイントです。
Q. 改ざん被害から復旧するのにどれくらい時間がかかりますか？
被害規模によって異なります。軽度の改ざんで正常なバックアップが残っている場合は1〜2営業日、マルウェア感染を伴う中度の被害で3〜7営業日、フルリビルドが必要な重度の場合は2〜4週間が目安です。早期に着手するほど短期間で復旧できます。
Q. バックアップがない状態でも復旧できますか？
復旧可能です。WordPress本体を再インストールし、データベースから記事・固定ページ・ユーザー情報などのコンテンツを抽出してクリーンな環境に移行する手法を取ります。ただし通常の復旧より工数がかかるため、費用と期間は増加します。日頃から外部ストレージへの自動バックアップを設定しておくことを推奨します。
Q. Google検索結果に警告が表示されています。どう対処すればよいですか？
マルウェアやスパムページを完全に除去した上で、Google Search Consoleの「セキュリティの問題」から再審査リクエストを送信します。承認までは通常数日〜数週間です。警告が表示されている期間は検索流入とCV機会を失い続けるため、復旧作業と並行して早期に申請することが重要です。
Q. 保守契約をしておけば被害は完全に防げますか？
残念ながら100%防ぐことは技術的に不可能です。ただし、定期的なアップデート・監視・バックアップを継続することで、被害発生確率は大幅に下げられます。また、万一の被害発生時にも早期発見・短期復旧が可能になり、結果的に総コストを抑えられます。
まとめ
WordPressの乗っ取り・改ざん・ハッキングは、発見から対応までのスピードと業者選びで復旧費用が数倍変わります。本記事のチェックリストで該当する症状があれば、即時にサイト停止・パスワード変更・バックアップ保全の3点を実施してください。復旧業者を検討する際は、WordPress特化の実績・対応スピード・保守プランの3点を必ず確認しましょう。
自社対応で復旧の見通しが立たない場合、Search Consoleに警告が出てしまった場合、復旧後の運用体制をプロに任せたい場合は、ファーストネットジャパンへご相談ください。1998年創業・実績4,000件超の知見をもとに、復旧から再発防止までを一気通貫でサポートします。
ホームページの保守・管理にお困りではありませんか？
ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。
