WordPressサイトを放置する危険性。ホームページの改ざん・異常を確認する3つの方法

ホームページを作ってから5年間、一度もWordPressにログインしておらず、IDもパスワードも分からない。
そんな状況で、知り合いの企業や店舗のホームページが改ざんされたと聞くと、「我が社のホームページは大丈夫だろうか」と不安になるかもしれません。

確認方法を調べても、WordPressへのログインが必要な手順ばかりでは、何から始めればよいか分からず困ってしまいます。

この記事では、ログインせずに確認できることから、再びログインできるようにするための手順まで、順番に紹介します。
ホームページに異常の兆候がないかを確認し、その結果に応じて次に何をすればよいかを説明します。

長く管理していないホームページで注意したい3つのこと

WordPressや契約の状態を何年も確認していない場合は、内容の改ざん、表示の不具合、ドメインの失効に注意が必要です。それぞれ、どのような問題が起こるのかを説明します。

ホームページの内容を勝手に書き換えられる

「改ざん」とは、第三者がホームページの文章やプログラムなどを無断で書き換えることです。
WordPressやプラグインを古いまま使い続けると、修正されていない安全上の弱点を悪用されるおそれがあります。
プラグインは、WordPressに機能を追加するための仕組みです。

JPCERT/CCが受けたWebサイト改ざんの報告は、2026年4〜6月に181件ありました。前の3か月間の90件と比べて、約2倍になっています。ただし、WordPressだけを対象にした数字ではなく、実際に起きた被害のすべてを表すものでもありません。

当社にご相談いただいたホームページでも、長期間管理されていないサーバー内に、制作者が置いた覚えのない不審なファイルが見つかったことがあります。また、改ざんは確認されなくても、古いプラグインが数多く残り、安全性の確認が必要な状態だったこともありました。

ホームページが正しく表示されなくなる

WordPressは、サーバー上の「PHP」というプログラムの実行環境を使って動いています。WordPressとPHPには、正常に動作する組み合わせがあります。

古いWordPressやプラグインを使ったままPHPのバージョンが変わると、対応できずにエラーが出たり、ページが表示されなくなったりする場合があります。一方、古いPHPを使い続けることにも問題があります。サポートが終了すると、安全上の問題が見つかっても、公式の修正を受けられなくなるためです。

ホームページを維持するには、WordPressだけでなく、プラグインやPHPの状態も確認する必要があります。

ドメインの更新を忘れ、同じアドレスを使えなくなる

ドメインとは、ホームページの住所にあたる「〇〇.jp」などの部分です。
WordPressの更新とは別に、ドメインの契約も継続する必要があります。

更新手続きや支払いが行われず、ドメインが失効すると、ホームページや、そのドメインを使ったメールが利用できなくなることがあります。更新期限を過ぎたあとの扱いや、復旧できる期間は、ドメインの種類や契約先によって異なります。

廃止後に再登録できる状態になると、第三者が同じドメインを取得する可能性もあります。
以前のホームページへのリンクなどを悪用し、偽サイトや詐欺サイトへ誘導されるおそれがあります。

（参考：JPRS「ドメイン名の廃止にあたっての注意」）

ただし、何年もログインしていないからといって、すべてが当時のままとは限りません。
自動更新や管理担当者による対応が行われている場合もあるため、まずは現在の状態を確認しましょう。

自動更新されていても、すべてが新しい状態とは限らない

WordPressには自動更新の機能があります。
そのため、何年もログインしていなくても、一部が更新されている場合があります。ただし、どこまで自動で更新されるかは、導入した時期や設定によって異なります。

WordPress本体は、大きな更新も自動で行われる場合がある

WordPress本体では、安全上の問題や不具合を修正する更新が、通常は自動で行われます。

また、WordPress 5.6以降を新しくインストールした場合は、初期設定で大きなバージョンアップも自動更新の対象になります。それ以前から使っているサイトでは、小さな修正だけが自動で入る設定のままの場合もあります。

つまり、「5年間ログインしていないから、本体も5年前のまま」とは限りません。反対に、「自動更新があるから、すべて最新になっている」とも言い切れません。

プラグインやテーマが、古いまま残ることがある

WordPressに機能を追加するプラグインや、見た目を決めるテーマは、本体とは別に更新を管理します。通常は自動更新を有効にする設定が必要なため、本体だけが更新され、プラグインやテーマは古いまま残っている場合があります。

セキュリティ企業Patchstackの報告では、2025年に新しく報告されたWordPress関連の安全上の弱点のうち、91％がプラグインで見つかりました。本体で報告されたものは6件で、同社はいずれも対応の優先度が低いものとしています。

これは被害件数の割合ではありませんが、本体だけでなく、プラグインやテーマの状態も確認する必要があることが分かります。

自動更新そのものが止められている場合もある

設定によっては、WordPress本体の自動更新も無効になっています。

当社が以前、他社から引き継いだサイトでも、自動更新機能が止められていたことがありました。
更新による表示崩れを避けるためだったようです。
ただし、自動更新を止めたあとに手動でも更新していなければ、古い状態のまま使い続けることになります。

何が更新され、何が古いままなのかは、ホームページの見た目だけでは判断できません。詳しい確認には管理画面などを見る必要がありますが、すでに表れている異常の一部は、WordPressにログインできなくても確認できます。

WordPressにログインせずに確認できる3つのこと

WordPressにログインできなくても、ホームページの表示、Googleの検索結果、ドメインの登録情報は確認できます。

これだけで安全かどうかを判断することはできませんが、異常に気づく手がかりになります。当社でも、長期間管理されていないホームページのご相談を受けたときは、まず表示と検索結果を確認しています。

スマートフォンとパソコンでホームページを開く

まず、普段ホームページを見るときと同じように、企業や店舗のホームページを開いてください。可能であれば、スマートフォンとパソコンの両方で、次の点を確認します。

• 文字や画像の配置が大きく崩れていないか
• 警告画面や「安全ではありません」などの表示が出ていないか
• 勝手に別のホームページへ移動しないか

警告が出た場合は、無理に先へ進まず、表示された内容を記録してください。なお、通信の安全性に関する警告だけで、改ざんされているとは判断できません。

反対に、普段どおり表示されても、安全とは限りません。アクセスする相手によって、異なる内容を見せる改ざんもあるためです。

JPCERT/CCは、Googleの巡回プログラムを装ったアクセスに対して、海外のオンラインカジノの内容を表示する改ざんを報告しています。持ち主が普通に開くだけでは、こうした異常を見落とす可能性があります。

Googleで「site:」を使い、見覚えのないページを探す

次に、Googleの検索窓に「site:」とホームページのドメインを続けて入力します。たとえば、アドレスが「https://example.jp」であれば、次のように検索します。

site:example.jp

「site:」とドメインの間にスペースは入れません。この書き方で、そのドメインと配下のサブドメインに絞って検索できます。

検索結果のタイトルや説明文を見て、次のようなものがないか確認しましょう。

• 作った覚えのないページ
• 掲載した覚えのない外国語の文章
• 薬、カジノ、ブランド品の安売りなど、事業と関係のない内容

不審な結果があれば、改ざんの可能性があります。
むやみにリンクを開かず、検索結果の画面や表示されたURLを記録し、制作会社やサーバー会社へ相談してください。

ただし、この検索ですべてのページが表示されるわけではありません。不審なページが見つからなくても、それだけで安全とは判断できません。

ドメインの有効期限と登録者を確認する

最後に、ホームページで使っているドメインの有効期限と登録者を確認します。

ドメインの登録情報を調べる仕組みのひとつが「WHOIS（フーイズ）」です。「.jp」で終わるドメインは、JPRS WHOISで検索できます。

確認したいのは、有効期限と登録者名です。ただし、ドメインの種類や公開設定によって、表示される項目は異なります。登録者名が非表示になっていたり、連絡先が代行サービスの情報になっていたりする場合もあります。

また、WHOISだけでは、次回の更新料金が支払われているかまでは分かりません。契約先からの更新案内や請求書も確認しましょう。

登録者名が以前の制作会社になっている場合は、契約内容と現在の管理状況を確認し、必要に応じて登録者の変更を相談してください。公開連絡先に制作会社の名前があるだけで、その会社の名義だと決めつけないことも大切です。

WordPressにログインできるようにするための確認手順

ホームページの表示や検索結果を確認したら、次はログインに必要な情報を探します。
異常が見つからなかった場合も、管理画面に入れるようにしておくと、更新や不具合への対応を進めやすくなります。

確認する順番は、次のとおりです。

1. 制作時に受け取った書類やメールを探す
2. 以前の制作会社へ問い合わせる
3. サーバー会社へ、契約者の確認手続きを相談する

管理画面とは、ホームページの内容や設定を変更するための画面です。
その入口となるWordpressのログイン画面は、デフォルトでは、「ホームページのアドレス/wp-login.php」や「ホームページのアドレス/wp-admin」になります。ただし、設置場所や設定によって、別のアドレスになっている場合もあります。

制作時の書類やメールを探す

まずは、ホームページを制作したときに受け取った書類やメールを確認しましょう。
探したいのは、ログイン画面のアドレス、ユーザー名、パスワードです。

制作会社からのメールに加えて、サーバー会社やドメイン管理会社から届いた契約時のメールも探してください。WordPressのログイン情報とは別ですが、契約先や管理者を確認する手がかりになります。

当社では、納品時にログイン情報を紙1枚とメール1通にまとめてお渡ししています。制作を依頼した際にも、同じように情報をまとめた案内が届いているかもしれません。

パスワードの再設定メールを受け取れるか確認する

ユーザー名または登録メールアドレスが分かり、そのメールを受信できる場合は、パスワードを再設定できます。ログイン画面の「パスワードをお忘れですか？」から手続きをすると、そのアカウントに登録されたメールアドレスへ案内が届きます。

ここで困りやすいのが、登録先が以前の制作会社のメールアドレスになっている場合です。手続きをしても、案内は制作会社へ届くため、依頼した企業や店舗の担当者だけでは再設定を進められません。

当社が引き継ぎのご相談を受けた際にも、このようなケースがありました。そのときは以前の制作会社と連絡が取れたため、登録メールアドレスをお客様のものへ変更してもらいました。

また、設定変更などを行える「管理者権限」を持つアカウントが、以前の制作会社のものしかない場合もあります。連絡が取れるうちに、企業や店舗の担当者が管理できるアカウントも用意してもらいましょう。

以前の制作会社と連絡が取れない場合は、サーバーの契約を確認する

以前の制作会社が廃業し、連絡が取れなかったケースもあります。その場合は、手元のメールや書類からサーバーの契約先を探し、契約者本人として確認するための手続きを問い合わせます。

必要な書類や日数は、契約先と契約状況によって異なります。以前の制作会社が契約者になっている場合は、ホームページの運営者であっても、そのまま手続きを進められるとは限りません。

なお、サーバーの契約確認と、WordPressのパスワード再設定は別の手続きです。サーバー会社がどこまで対応できるかも、あわせて確認してください。

サーバー内のデータを操作してパスワードを再設定する方法もありますが、操作を誤るとデータを壊すおそれがあります。操作に慣れていない場合は、引き継ぎに対応できる制作会社へ相談しましょう。

当社でも、他社で制作されたホームページの引き継ぎについてご相談を受けています。

確認した結果に応じて、次の対応を決める

ここまでの確認で、見覚えのないページや警告が見つかった場合と、異常が見つからなかった場合では、次に行うことが異なります。それぞれの対応と、ログインできたあとに気をつけたいことを説明します。

見覚えのないページや警告があれば、削除する前に相談する

異常が見つかった場合は、画面やURL、気づいた日時を記録し、制作会社やサーバー会社へ相談してください。
原因が分からないままファイルを削除すると、調査に必要な情報まで失うおそれがあります。

改ざんへの対応では、専門家がファイルやデータベース、アクセス記録を保存し、被害の状況を確認します。閲覧者に被害が及ぶおそれがあれば、公開の一時停止も検討します。そのうえで、不正な内容の除去や正規ファイルへの入れ替え、侵入原因の対策、パスワードの変更などを進めます。

不審なファイルだけを消せば解決するとは限りません。Patchstackの報告では、正常なファイルに不正なプログラムが混ぜられたり、削除した不正な内容が再び書き込まれたりする例も紹介されています。

復旧については、以前の制作会社や、改ざん対応を引き受けている保守会社へ相談しましょう。当社でも、ホームページの状態確認や保守についてご相談を受けています。

不正アクセスなどの被害が疑われる場合は、警察にも相談できます。

異常が見つからなくても、管理に必要な情報をそろえる

見た目や検索結果に異常がなくても、それだけで安全とは言い切れません。まずは、次の情報を企業や店舗の担当者が確認できるようにしておきましょう。

• WordPressのログイン情報
• サーバーの契約先と契約者、管理画面のログイン情報
• ドメインの契約先と登録者名、更新期限

当社が確認したホームページでも、長期間管理されていなかったものの、異常が見つからなかったケースがありました。その場合も、必要な情報をお客様の手元にそろえていただき、その後の状態を確認できるようにしました。

情報がそろっていれば、更新状況の確認や、問題が起きたときの相談を進めやすくなります。

ログインできても、たまった更新を一度に実行しない

久しぶりにログインすると、更新の通知が数多く表示されることがあります。ただし、長期間更新していなかったホームページでは、まとめて実行する前に、バックアップや動作確認の方法を検討する必要があります。

実際に、他社で制作されたホームページで、お客様が更新を一度に実行し、レイアウトが崩れたことがありました。バックアップは、問題が起きたときに元へ戻せる状態で残しておくことが大切です。

当社では、こうした表示への影響を減らすため、見た目の調整だけを目的とするプラグインは、できるだけ使わないようにしています。

更新作業に不安がある場合は、制作会社へ相談しましょう。

まとめ

長期間管理していないWordPressでは、本体だけでなく、古いまま残っているプラグインにも注意が必要です。
また、ホームページが普段どおりに表示されても、改ざんされていないとは限りません。

ログインできない場合は、まず次の3つを確認しましょう。

• スマートフォンとパソコンで開き、表示の崩れや警告がないかを見る
• Googleで「site:ドメイン名」と検索し、見覚えのないページがないかを見る
• WHOISで、確認できる範囲のドメインの有効期限と登録者情報を調べる

見覚えのないページなどが見つかった場合は、画面やURLを記録し、自分で削除する前に制作会社などへ相談してください。

異常が見つからなかった場合も、WordPressのログイン情報、サーバーの契約情報、ドメインの登録者や更新期限を確認しておきましょう。
企業や店舗の担当者がこれらの情報を確認できれば、問題が起きたときに、相談や復旧の手続きを進めやすくなります。