ホームページが乗っ取られたら？検索・メール・取引先

ホームページが乗っ取られると、何が変わるのか？

画面より先に、会社の外とのつながりが変わります。検索の結果、会社のメール、取引先の判断、顧客の情報です。

ホームページは、会社が眠っている夜も働く社員です。お客さまを迎え、検索エンジンに会社を紹介し、お問い合わせを受け付けておきます。その社員が見知らぬ人の言葉を代わりに伝えはじめたら、お客さまはそれを会社の言葉だと受け取ります。

1. 検索：Googleの検索結果で、うちの会社の名前の下にハッキングの警告が付くことがある
2. メール：サーバーが迷惑メールの送信に使われると、うちの会社のメールまで受け取る側で拒否されることがある
3. 取引先：取引先がセキュリティの不備を理由に取引を見直すことがある
4. 顧客情報：お問い合わせフォームの個人情報が漏れると、報告の義務が生じることがある

4つの場面はどれも「〜ことがある」です。必ず起きるという意味ではなく、公式の文書が実際に扱っている場面だという意味です。

画面より先に、外が変わります。

ヤンのまとめホームページは名刺ですが、その名刺は今日も人の手に渡っています。そこに何が書かれているかが、会社の顔です。

検索では、何が見えるのか？

Googleがハッキングを疑うと、検索結果のサイト名の下に「このサイトは第三者によってハッキングされている可能性があります」という警告が付くことがあります。¹

Googleはこの警告を、ハッカーが既存のページを書き換えたり、迷惑なページを新しく加えたりしたと判断したときに表示すると説明しています。開くと迷惑なサイトや悪意のあるサイトに移るおそれがあるので、警告が消えるまで開かないよう勧めています。¹ 会社の名前を検索したお客さまが最初に目にするのが、この一文かもしれません。

警告はひとりでには消えません。持ち主が、Google Search Console（Googleにうちのサイトを登録して状態を見る無料の道具）の「セキュリティの問題」レポートで原因を直し、審査を依頼する必要があります。Googleは、一部のページだけを直しても検索結果は変わらないとしています。²

ヤンのまとめ看板に落書きがされたら、お客さまは店の中を見る前に引き返します。検索結果は、今の時代の看板です。

メールには、どんなことが起きるのか？

サーバーが迷惑メールの送信に使われると、受け取る側でうちの会社のメールが迷惑メールの送り元と見なされ、拒否されることがあります。見積書や請求書が相手に届かないことが起きます。

エックスサーバーは、ログインの情報が漏れると、迷惑メールの送信やホームページの改ざんといった次の攻撃の「踏み台として利用されてしまう恐れ」があると案内しています。³ 同じ会社は、お問い合わせフォームが迷惑メールの送信に悪用された例で、お客さまのメールアドレスが迷惑メールの送り元と判定される、お客さまが送るメールが受け取りを拒否される、送信の上限にかかってメールを送れなくなる、といった被害を挙げました。⁴ 乗っ取りとは別の経路ですが、メールの信用がどう崩れるかを示す例です。

サーバー会社がサイトを止めることもあります。さくらインターネットは、不正なファイルの設置がくり返されると、セキュリティのために「サービスを一時停止する場合があります」としています。⁵

ヤンのまとめメールは、送る側ではなく受け取る側に信じてもらえて、はじめて届きます。一度失った信用は、取り戻すのに時間がかかります。

取引先は、どう見ているのか？

取引先は、セキュリティの不備を理由に取引を見直すことがあります。ところが、取引が減った側は、その理由を知らないまま過ごしがちです。

大企業（従業員1,000人以上）と中小企業の442社を対象にした調査では、大企業の66.8%が、取引先のセキュリティの不備を理由に契約の停止や改善の要求といった取引の見直しをしたと答えました。契約の更新を見送ったり止めたりしたのが40.0%、新しい取引の提案・見積もりを断ったのが26.4%でした。⁶

一方、取引を打ち切られた経験のある中小企業が挙げた理由は「景気の悪化」15.6%、「価格競争」11.8%で、「セキュリティ」はわずか4.3%でした。⁶ 取引先は、離れていく理由をいつも教えてくれるわけではありません。

取引先は、扉を閉めて出ていくときに理由を残しません。だから理由は、前もって消しておく必要があります。

ヤンのまとめ逆に言えば、セキュリティに気を配っている会社は、それだけで取引先に安心を渡せます。備えはコストではなく、信用です。

お問い合わせフォームの顧客情報が漏れたら、どうなるのか？

会社が報告しなければならないことがあります。個人情報保護委員会は、不正の目的をもって行われたおそれがある漏えいなどを、委員会への報告の対象として案内しています。

委員会の案内によれば、報告の対象は、要配慮個人情報が含まれる漏えい等、財産的な被害が生じるおそれがある漏えい等、「不正の目的をもって行われたおそれがある」漏えい等、「本人の数が1,000人を超える」漏えい等です。速報は発覚日から「3〜5日以内」、確報は「30日以内」（不正な目的で行われたおそれがある場合は60日以内）です（2026年10月25日時点）。⁷ あわせて、本人への通知も必要になります。⁸

会社紹介のホームページでも、お問い合わせフォームで名前、電話番号、メールアドレスを受け取っています。そのサーバーが乗っ取られると、この基準を確かめなければならない立場になるかもしれません。実際に当てはまるかどうかは法的な判断なので、委員会の案内を確かめるか、専門家にご相談ください。

ヤンのまとめお客さまがフォームに残した連絡先は、私たちを信じて預けてくれた鍵です。鍵は必要な分だけ預かるのが礼儀です。

元に戻すのにどれくらいかかり、今日は何をすればいいのか？

元に戻すには、思ったより時間がかかります。だから、乗っ取られたあとより前にやることのほうが、ずっと軽く済みます。

Googleのハッキングの審査には、数日から数週間かかることがあります。² 警察庁が2026年上半期にランサムウェア（ファイルを使えなくしてお金を要求する攻撃）の被害企業に聞いたところ、復旧に合計1,000万円以上かかった組織が全体の6割で、復旧まで1か月未満だった組織は5割弱でした。⁹ ホームページの乗っ取り全般の数字ではありませんが、一度崩れたものを立て直すのにかかる時間とお金をうかがわせます。

1. Google Search Consoleに登録：うちのサイトを登録し、所有権を確認しておけば、「セキュリティの問題」レポートをいつでも見られます。^1·2
2. サーバー会社のお知らせを確認：今回のPHPの修正をサーバー会社が入れたかを確かめます。「1分判定表」で当てはまるかから見られます。
3. パスワードを替える：サーバーの管理画面、WordPressの管理者、データベースのパスワードを、それぞれ別のものに替えます。

ヤンのまとめ事故のあとの1か月より、事故の前の1時間のほうが安く済みます。今日の1時間が、いちばん安い保険です。