何が問題になるか
場面
自社のウェブサイトに、見覚えのない文言やリンクが表示されていると連絡を受けることがあります。改ざんは表示の書き換えにとどまらず、閲覧者の端末にマルウェアを配布する仕掛けが埋め込まれている場合があります。問い合わせフォームや会員登録の画面が書き換えられると、入力された氏名や連絡先が外部に送られることもあります。画面に変化がなくても情報が抜き取られている場合があります。その確認は会員サイト・予約システムから顧客情報が抜き取られたと指摘されました。画面は何も変わっていません。何を確認すべきですかをご覧ください。
法律の整理
改ざんが分かったら、公開を止めてメンテナンス表示に切り替えます。閲覧者にマルウェアを配布している場合があるため、復旧が終わる前に再公開しません。入力フォームが改ざんされ、個人情報が窃取された可能性があれば、規則の改正により漏えい等の報告の対象になります。いわゆるウェブスキミングです。
個人情報保護委員会は、報告が必要な場合の一つに「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ」の漏えい等を挙げています。この個人データには、事業者が「取得し、又は取得しようとしている個人情報」で、個人データとして扱う予定のものも含まれます。例として「ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合」が示されています。不正な目的で行われたおそれがある場合の報告の期限は、「発覚日から、60日以内」です。
公開を止めて、メンテナンス表示に切り替える
会社が備えること
確認すること
- 原因が、CMSやプラグインの脆弱性、管理者アカウントの乗っ取り、委託先の管理不備のどれにあるか
- 入力フォームが書き換えられ、入力内容が外部に送られた形跡があるか
- 改ざん前の時点のバックアップが残っているか
- 委託契約で、監視・更新・復旧の責任分担がどう定められているか
- 管理画面・API・設定ファイルやバックアップファイルが、インターネットから誰でも届く状態になっていないか
対応
公開を止めたうえで、原因を特定します。管理画面やサーバーを含め、全パスワードを変更し、CMSやプラグインを更新します。そのうえで、改ざん前のバックアップから戻します。
フォームから個人情報が窃取された可能性があれば、委員会への報告を準備します。委員会は、2026年10月1日以降、「その他サイバー攻撃等事案」の共通様式による報告も受け付けています。技術的な相談先として、情報処理推進機構は「企業/組織向けサイバーセキュリティ相談窓口」を案内しています。
制作・保守を委託している場合は、契約上の責任分担を確認します。そのうえで、委託先と対応の範囲をすり合わせます。
原因を特定してから、バックアップから戻す
ご相談で伺うこと
次の事項を伺います。
- 改ざんに気付いた経緯と日時、公開を止めた時点
- 入力フォームの有無と、入力される情報の種類
- 制作・保守の委託契約書と、監視・更新・復旧の定め
- 原因調査の進み具合と、外部への送信の形跡
- 委員会への報告の準備状況