ホームページが改ざんされた時の対処：クリニックが最初にやること

まず落ち着いて、改ざんかどうかを確かめる

改ざんとは、持ち主の知らないうちにホームページの中身が書き換えられることです。ただ、「いつもと違う画面が出た」原因は改ざんだけではありません。サーバー（ホームページの置き場所）の契約切れや、証明書の期限切れでも、見慣れない画面が出ることがあります。

改ざん以外の原因が疑われる場合は、ホームページが表示されない時の原因と確認順や、SSL証明書の期限切れで起きることと対処も参考にしてください。どちらか分からない時は、改ざんかもしれないという前提で、次の手順へ進んで構いません。

最初の1時間でやること

改ざんの可能性があると分かったら、次の順に進めます。院長おひとりで抱えず、事務長やスタッフと手分けするのがおすすめです。

1. 画面を記録するおかしな画面の写真やスクリーンショットを撮り、見つけた日時、開いたアドレス、使った端末をメモします。後で原因を調べたり、各所に説明したりする時の大切な材料になります。
2. 管理している会社に連絡する制作会社・保守会社のうち、ホームページを管理している先へ、記録した内容を添えて連絡します。夜間や休日は、緊急の連絡先があるかを確認しましょう。
3. サーバー会社に知らせるサーバーの契約者が院の場合は、サーバー会社の問い合わせ窓口にも連絡します。契約者が制作会社の場合は、制作会社から連絡してもらいます。
4. ホームページを一時的に止めるか相談する見た人に被害が及ぶおそれがある場合は、メンテナンス中の表示に切り替えるなど、一時的に公開を止めることを管理している会社と相談します。
5. 院内に共有する受付のスタッフに状況を伝え、患者さんから問い合わせがあった時の答え方を揃えます。

誰に連絡するか：連絡先の一覧

改ざんの対応では、いくつかの相手に連絡することになります。慌てないよう、平時のうちに院内の連絡先一覧を作っておくと安心です。

警察の相談窓口は、各都道府県の警察に設けられています。IPA（情報処理推進機構）にも、情報セキュリティについての相談窓口があります。どちらも、改ざんに気づいた時に「どう動けばよいか」を相談できる公的な窓口です。

問い合わせや予約のフォームから患者さんの情報が漏れた可能性がある場合、どこへ報告や連絡が必要になるかは状況によって異なります。院だけで判断せず、弁護士など専門家にご確認ください。

元に戻すまでの流れ

初動が済んだら、管理している会社と一緒に、元の状態へ戻していきます。院として流れを知っておくと、説明を受けた時に判断しやすくなります。

1. 入り込まれた原因を調べる古いPHPやWordPress、プラグイン、漏れたパスワードなど、どこから入られたかを調べます。原因をふさがずに元へ戻すと、同じことが繰り返されるおそれがあります。
2. パスワードを変える管理画面、サーバーの管理画面、ファイルを置く時に使う接続のパスワードなどを変更します。作業に使うパソコンが不審な状態でないかも確かめてから行います。
3. きれいな状態に戻す改ざんされる前の控え（バックアップ）から戻すか、書き換えられた部分を取り除きます。どの時点の控えが安全かは、原因の調査とあわせて判断します。
4. 仕組みを新しい版に更新するPHP、WordPress、プラグインを修正版に更新し、使っていないものは整理します。
5. 公開を再開し、しばらく見守る複数の端末で表示を確かめてから公開を戻し、検索結果や表示に変化がないか、しばらく注意して見ます。

Googleの検索結果で警告が付いてしまった場合は、元に戻した後に解除を申し出る手続きが必要になることがあります。その流れはGoogleで「危険なサイト」と表示された時の原因と解除の流れで解説しています。

患者さんへの説明と、院内の記録

改ざんに気づいた後、患者さんへどう伝えるかも大切です。根拠のない説明や、不安をあおる伝え方は避け、分かっている事実を落ち着いてお伝えします。

• 受付や電話では「ホームページに不具合があり、現在確認中です。ご予約はお電話で承ります」など、案内を統一する
• ホームページを止めている間は、院内の掲示や予約の電話で代わりの手段を案内する
• 患者さんの情報が関わる可能性がある場合の案内文は、専門家と相談してから出す
• いつ、誰が、何をしたかを時系列で記録し、管理している会社の報告書と一緒に保管する

ホームページを止めている間に、休診日や診療時間の変更が重なることもあります。そうした時のために、院の電話の留守番案内や、院の入口の掲示など、ホームページ以外でお知らせを出す方法を決めておくと慌てずに済みます。ふだんからお知らせをすぐ出せる体制のつくり方は、休診・診療時間変更のお知らせを、すぐホームページに出せる体制のつくり方でも紹介しています。

記録は、同じことを防ぐための見直しにも、後で関係する方々へ説明する時にも役立ちます。

再発を防ぐために、平時に整えておくこと

改ざんの対応で時間がかかるのは、「誰が管理しているか分からない」「控えがない」「連絡先がすぐ出てこない」といった平時の準備の不足が原因であることが多いです。次の点を整えておくと、万一の時の動きがずっと楽になります。

• ドメイン・サーバー・ホームページの管理者と連絡先を一覧にしておく
• バックアップ（控え）を定期的に取り、院の外にも保管する
• PHP、WordPress、プラグインを修正版が出たら更新する
• 管理画面のパスワードを使い回さず、二段階の認証を使う
• 夜間や休日にも連絡がつく窓口を決めておく

日頃の見え方の点検については、ホームページが乗っ取られていないか確認する方法もあわせてご覧ください。

HPドクターは、クリニックのホームページの保守を担当制でお引き受けしているサービスです。更新や点検に加えて、改ざんなどの緊急時は24時間受け付けています。今の制作会社との契約はそのままで、月額10,000円〜30,000円（税別）、初期費用0円です。いま改ざんが疑われる状態の方も、備えを見直したい方も、無料セカンドオピニオンからご相談ください。