ホームページの改ざんを調べてもらったら、報告書のどこを見る？｜JPCERT/CCが公開したチェックリストを、小さな会社向けに読みかえました

ホームページが改ざんされ、制作会社や専門の会社に調べてもらった。

数日後に報告書が届いたけれど、専門用語が多くて、これで終わりにしてよいのか分からない。

そんな声を聞くことがあります。

2026年11月11日、JPCERT/CC（日本で不正アクセスの相談を受けている団体）が、「インシデント調査報告書チェックリスト」を公開しました。

調べてもらう側と、報告書を書く側が、同じ見方で確かめられるようにするためのものです。

このチェックリストは、会社の中のネットワークに入り込まれた場合を主に想定しています。

この記事では、その考え方を、小さな会社のホームページの改ざんに当てはめて読みかえました。

■調べてもらう前に決めておくこと

チェックリストでは、調べ始める前に、目的や範囲を話し合って決めておくことを勧めています。

ホームページの場合は、次の4つを先に伝えると話が早く進みます。

・何を知りたいか（いつから、どこから入られたか、お客様の情報は漏れていないか）

・どこまで調べるか（ホームページだけか、お問い合わせの記録やメールも含むか）

・いつまでに、どんな形で報告してほしいか

・報告書を、だれに見せる予定か（社内だけか、取引先にも見せるか）

決めたことは、口頭だけでなく、メールなど記録が残る形で受け取っておきましょう。

■届いた報告書で、まず見る5つのこと

チェックリストの「調査結果のレビュー」から、小さな会社でも見やすい項目を選びました。

1. 最初に頼んだ「知りたいこと」に、1つずつ答えがあるか

2. 答えられなかったことには、その理由が書いてあるか

3. 調べた範囲と、調べていない範囲が書いてあるか

4. 「〜と考えられる」の根拠として、記録の抜き出しなどが示されているか

5. 報告の内容について、問い合わせる先が書いてあるか

この5つがそろっていれば、報告書としての形は整っていると考えてよいでしょう。

■「分からなかったこと」が書いてあるのは、よい報告書

「お客様の情報が漏れたかどうかは、記録が残っておらず判断できませんでした」

こう書かれていると、不安になるかもしれません。

ただ、チェックリストでは、判断できなかったことと、そのために残る心配を書くことを求めています。

分からないことを分からないと書いてある報告書のほうが、あとで話が食い違いにくくなります。

反対に、「問題ありませんでした」だけで根拠がない場合は、どう確かめたのかを聞いてみましょう。

■直し方の説明で確かめること

元に戻す作業まで頼んでいる場合は、次の点も見ておきましょう。

・それぞれの作業が、どの調査結果に対するものか書いてあるか

・作業の間、ホームページが見られなくなる時間があるか

・作業の前に、こちらで準備することがあるか

■再発を防ぐ対策が「一般論だけ」になっていないか

「パスワードを強くしましょう」「更新を続けましょう」だけでは、今回のことに合っているか分かりません。

チェックリストでも、その件で見つかった内容にもとづく対策が含まれているかを確かめるよう書かれています。

たとえば、次のように書かれているかを見ます。

・入り口になったプラグインと、その更新の方法

・使われたログインのアカウントと、その後の扱い

・次に同じことが起きたとき、気づくための仕組み

■社内や取引先へ説明するときのコツ

報告書の内容を、そのまま転送するのは避けましょう。

調べた会社によっては、報告書を見せてよい範囲を決めていることがあります。

社内向けには、次の3行にまとめると伝わりやすくなります。

・何が起きたか（いつ、どのページが、どう変えられたか）

・今どうなっているか（元に戻したか、まだ調べているか）

・これから何をするか（対策と、その時期）

■調べてもらうときに渡すもの

・ホームページのアドレスと、改ざんに気づいた日

・おかしいと気づいた画面の写真やメモ

・WordPressとサーバーにログインできる人の一覧

・サーバー会社から届いた知らせのメール

これがそろっていると、調べる範囲を決めやすくなり、報告書の答えもはっきりしやすくなります。

■やってはいけないこと

・報告書を受け取ったまま、読まずにしまっておく

・分からない言葉をそのままにして、「対応済み」と社内に伝える

・調べてもらう前に、怪しいファイルを自分で消してしまう

あわてて消すと、何が起きたのかを確かめる手がかりがなくなります。

■報告書を受け取ったあとのチェックリスト

・頼んだ「知りたいこと」すべてに答えか理由がある

・調べた範囲と、調べていない範囲が分かる

・判断できなかったことと、残る心配が書いてある

・対策が今回の件に合っている

・問い合わせ先が分かる

■よくある質問

Q. このチェックリストは、ホームページの改ざんにも使えますか？

A. 主に会社のネットワークへの侵入を想定していますが、目的を決める、根拠を確かめる、といった考え方はそのまま使えます。当てはまらない項目は飛ばして構いません。

Q. 報告書がない、口頭の説明だけでした。

A. 取引先への説明が必要になることもあります。短くてもよいので、文書でもらえるか相談してみましょう。

Q. 報告書の中身が正しいか、自分で判断できません。

A. チェックリストも、正しさをすべて確かめるものではないとしています。心配な点があれば、別の専門家に意見を聞くのも1つの方法です。

■改ざんに気づいたばかりの方へ

調べてもらった結果に納得でき、元に戻す作業も済んでいれば、この記事の確認で十分です。

「まだ元に戻っていない」「何から手をつければよいか分からない」という場合は、乗っ取りや改ざんを受けたWordPressの復旧をお受けしています。

何が起きたかを確かめたうえで、元に戻す順番を決め、行った作業をまとめてお伝えします。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914