ホームページの乗っ取りを確認する方法：見た目では分からないサイン

乗っ取られても、見た目は変わらないことが多い

ホームページの乗っ取りというと、トップページが見知らぬ画面に書き換えられる様子を思い浮かべるかもしれません。しかし実際には、持ち主が毎日見る画面はそのままにして、裏側で別の目的に使われるほうが一般的です。

たとえるなら、院の建物の外観も受付もいつもどおりなのに、夜の間に知らない人が裏口の合鍵で出入りしている、というような状態です。院内から見るだけでは気づきにくく、外から見た時の様子や、管理の記録に手がかりが残ります。

院内で確認できる、乗っ取りのサイン

次のような変化は、乗っ取りのサインである可能性があります。ひとつでも当てはまれば、すぐに乗っ取りと決まるわけではありませんが、詳しく調べる価値があります。

このうち、院の方がいちばん気づきやすいのは「検索結果」と「患者さんからの声」です。受付で「ホームページを開いたら別の画面になった」「検索したら変な言葉が出てきた」といった話を聞いたら、聞き流さずに、どの端末で、どこから開いたかを伺っておいてください。その一言が、早く気づくための大切な手がかりになります。

院のパソコンからは普通に見えても、初めて訪れた人や、スマートフォンで検索から来た人にだけ違う画面を見せる、という場合もあります。院内の端末だけで判断しないことが大切です。

確認の手順：今日からできる4つのチェック

専門の道具がなくても、次の手順で確認できます。15分ほどの時間を取って、上から順に進めてみてください。

1. 検索結果で院のページを一覧にする検索窓に「site:」に続けて院のドメイン（例：site:example-clinic.jp）を入れて検索すると、検索エンジンが把握している院のページが一覧で出ます。作った覚えのないページや、無関係な題名がないかを見ます。
2. スマートフォンで検索から開いてみるスタッフの個人のスマートフォンなど、ふだん院のホームページを見ない端末で院の名前を検索し、検索結果から開いてみます。正しいページが表示されるかを確かめます。
3. 管理画面の利用者とプラグインを見るWordPressで作ったホームページなら、管理画面の「ユーザー」で、管理者の権限を持つ人が知っている人だけかを確認します。「プラグイン」の一覧に、入れた覚えのないものがないかも見ます。
4. サーバー会社やGoogleからの連絡を探すサーバーの契約者のメールや、Googleの「サーチコンソール」（検索での見え方を確認する無料の管理画面）を使っている場合はその通知に、不審な状態についての連絡が届いていないかを探します。

ご自身での確認が難しい場合は、アドレスを入れるだけの無料の自動診断もご利用ください。外から見える範囲で、使われている仕組みの古さや暗号化の状態などを確認できます。

気になるサインが見つかった時に、最初にやること

サインが見つかった時は、次の順に落ち着いて進めます。大切なのは、院だけで解決しようとせず、早めに管理している人へ知らせることです。

• 見つけた画面を写真に撮り、日時とアドレスをメモする
• 制作会社・保守会社・サーバー会社のうち、管理している先へ連絡する
• 問い合わせや予約のフォームがある場合は、その旨も伝える
• 管理画面やサーバーのパスワードの変更は、管理している会社と相談して進める
• 院内の誰が、いつ、何を見たかを記録しておく

書き換えが目に見える形で起きている、患者さんから連絡が来ている、という場合は、より踏み込んだ対応が必要になります。その流れはホームページが改ざんされた時、クリニックが最初にやることで詳しくご説明しています。

乗っ取られにくい状態を保つために

乗っ取りの多くは、古いままの仕組みや、使い回されたパスワードなど、管理のすき間から起きます。日頃から次の点を整えておくと、入り込まれにくくなります。

• PHP、WordPress、プラグインを、修正版が出たら更新する
• 使っていないプラグインや、退職した方の管理者の登録を整理する
• 管理画面のパスワードを長く複雑にし、他のサービスと使い回さない
• ログインの時に確認コードを入れる仕組み（二段階の認証）を使う
• バックアップ（控え）を定期的に取り、院の外にも保管する
• サーバー会社からの連絡が、院のメールにも届くようにする

なかでも、PHPやWordPressの更新は「動かなくなったら困るから」と後回しにされがちです。確かに、更新の前には動作の確認やバックアップが必要です。ただ、多くの場合は手順を踏んで更新すれば直せるもので、ホームページを作り直す必要まではありません。気になる時は、今のPHPの版を確かめるところから始めてみてください。

プラグインの点検の仕方はWordPressのプラグインの弱点を確認する方法と、減らし方にまとめています。

定期的な点検を任せたい時は

乗っ取りのサインは、一度確認すれば終わりではなく、定期的に見ていくことで気づけるものです。とはいえ、診療の合間に検索結果や管理画面を見続けるのは現実的ではありません。

HPドクターは、クリニックのホームページの保守を担当制でお引き受けしています。PHPやWordPressの更新、利用者やプラグインの点検、気になる変化があった時の対応までをまとめて見守り、緊急時は24時間受け付けています。今の制作会社との契約はそのままで、月額10,000円〜30,000円（税別）、初期費用0円です。

「サインらしきものを見つけたが、判断がつかない」という段階でも構いません。無料セカンドオピニオンで、専門家が状態を一緒に確かめます。