2026年8月4日（火）
「気づかなかった」だけで、被害は静かに広がる
― WEBサイト改ざんの見えないリスク
WEBサイト改ざんとは、第三者によって無断でファイルやコンテンツを書き換えられてしまうことです。攻撃による被害が深刻であることはもちろんですが、近年課題となっているのは、気づかれないまま被害が広がってしまうというリスクです。
このコラムでは、実際の事例をもとに「気づかれずに広がっていく手口」を知り、こうした変化にいち早く気づくための「WEBサイト改ざん検知」についてご紹介します。
目次
改ざんの一番怖いところは、「見た目が変わらない」こと
サイバー攻撃というと、画面が真っ黒になったり、派手な文言が表示されたりする光景を思い浮かべる方も多いかもしれません。しかし近年のWEBサイト改ざんは、そうした分かりやすい形をとらないケースが増えています。
外観は普段どおり。管理者がブラウザで直接確認しても、何の異常も見当たらない。それなのに、裏側では訪問者を偽サイトやオンラインカジノ、フィッシングページへ静かに誘導するコードが仕込まれている――。
これは特別な組織だけに起きることではありません。2025年、地方自治体・国の機関・大学と、性質の異なる複数の組織で同様の被害が相次いで報告されました。ここでは、実際に公表された事例をいくつかご紹介します。
実際にあったWEBサイト改ざん事例
地方自治体のPRサイト（2025年10月）
ある県が運営するイベント告知系のPRサイトで、職員が「サイトが表示できない」と気づいたことがきっかけで調査が始まりました。調べてみると、第三者による不正アクセスと改ざんの痕跡が発見され、復旧作業を行っても改ざんが繰り返されたため、最終的に関連する8つのサイトすべての公開を停止する事態となりました。復旧・全サイトの安全確認までには、約1か月を要しています。
地域コミュニティ団体の公式サイト（2025年7月）
ある自治体系のコミュニティ事業団の公式サイトが改ざんを受け、閲覧者に偽の警告画面を表示してフィッシングサイトへ誘導する状態になっていたことが判明しました。地域住民が日常的にアクセスする、比較的規模の小さいサイトが標的になった例です。
国の機関が運営するWebマガジン（2025年10月）
中央省庁が運営する広報系のWEBマガジンでも、原因不明のシステム障害をきっかけに、閲覧者が偽サイトへ誘導される事象が確認されました。政府系サイトという高い信頼性を逆手に取られた形です。「うちは省庁だから狙われない」という前提が通用しないことを示す事例といえます。
大学の公式サイト（2025年9月）
国立大学の公式サイトが改ざんを受け、オンラインカジノサイトへ誘導される被害が発生しました。この事例で特に注意したいのは、検索エンジン経由でアクセスしたユーザーにだけ不正なページが表示される、いわゆる「ステルス型」の手口が使われていたとみられる点です。運営者が直接URLを入力して確認しても異常は見つからず、発見が大幅に遅れる要因になります。
「改ざんに気づけない」のは偶然ではなく、仕組まれている
ステルス型：検索エンジン経由のユーザーだけを狙う
先ほどの大学の事例で触れた「ステルス型」は、たまたま見過ごされているわけではありません。攻撃者は、アクセスしてきた相手が検索エンジンのクローラーなのか、リンクをクリックした一般の閲覧者なのかを、User-Agentやリファラ（どこ経由でアクセスしてきたか）といった情報から判別し、表示するコンテンツをあえて出し分けています。
具体的には、検索エンジンのクローラーには通常どおりのページを見せて検索結果に不正なコンテンツをキャッシュさせる一方、検索結果のリンクをクリックしてやってきた一般ユーザーに対してだけ、偽サイトへ転送するコードを実行する、といった手口が確認されています。
管理者がブックマークや直接入力でサイトを開いても何も起こらないため、「自分で確認したのに問題が見つからなかった」という状況が生まれやすいのです。これは発見を遅らせ、通報を受けた管理者自身が再現できないようにするための、意図的な設計だと考えられます。
サプライチェーン経由の侵入：狙われるのは「自社」だけではない
改ざんの侵入経路として近年目立つのが、WEBサイトを構成する外部の部品や、運用を支える委託先を経由したものです。主なパターンは次の3つです。
-
CMS・プラグインの脆弱性
WordPressをはじめとするCMSは拡張性の高さから多くのサイトで使われていますが、その分、脆弱性が公表されると同じCMSを使う無数のサイトが一斉に標的になります。自社の運用体制とは関係なく、使っている「部品」側に穴があったというケースです。
-
保守・運用委託先経由の侵入
WEBサイトの更新作業を外部の制作会社や運用代行会社に委託している場合、その委託先の管理アカウントが乗っ取られることで、正規の更新作業を装って改ざんが行われることがあります。正規の手順でアクセスされるため、改ざんと気づくまでに時間がかかりやすくなります。
-
認証情報の漏えい
IDやパスワードが単純だったり、多要素認証が導入されていなかったりすると、総当たり攻撃や、別のサービスから流出した情報の使い回しによって、管理画面へのログインを許してしまうケースもあります。
つまり改ざんは、「自社が油断していたから」だけでなく、利用しているCMSやプラグイン、委託している制作・保守会社といった、サイトを取り巻くサプライチェーン全体のどこかに弱点があれば起こり得るということです。組織内の対策だけでなく、委託先を含めた体制全体を俯瞰する視点が求められています。
共通しているのは「改ざん発見のきっかけが偶然だった」ということ
これらの事例に共通するのは、攻撃の手口そのものよりも、発覚の経緯です。
- 職員がたまたまアクセスできないことに気づいた
- 住民や利用者からの問い合わせで発覚した
- システム障害という別の形で表面化した
つまり、いずれのケースも「常時監視の仕組みがあらかじめ組み込まれていたから見つかった」わけではなく、たまたま何らかの形で異変に触れる機会があったから発覚した、という側面が強いのです。逆にいえば、その偶然が重ならなければ、被害はもっと長く、静かに続いていた可能性があります。
これは特定の組織の管理体制が甘かったという話ではありません。WEBサイトを持つ組織であれば、規模や業種を問わず誰もが同じ構造的なリスクを抱えている、ということです。
「気づくまでの時間」が、そのまま被害の大きさになる
改ざんによる実害は、情報漏えいだけとは限りません。偽サイトへ誘導された利用者がフィッシング被害に遭う、組織の信頼が損なわれる、対応に追われて本来の業務が止まる――。これらの影響は、発見が早ければ最小限に抑えられますが、発見が遅れるほど雪だるま式に大きくなります。
だからこそ重要なのは、「攻撃を100%防ぐこと」以上に、「変化が起きた瞬間に気づける仕組みを持っておくこと」です。攻撃を完全に防ぎきるのは、どれほど対策をしても現実的には困難です。しかし、改ざんの発生を早期に検知し、迅速に対応できる体制があれば、被害を「小さな出来事」で終わらせることができます。
私たちが提供するWEBサイト改ざん検知サービス「F-PAT（ファイルパトロール）」も、こうした「気づけるかどうか」の差を埋めるための選択肢のひとつです。日々の巡回や職員の気づきだけに頼らず、変化を自動的に検知する仕組みを持っておくことは、今やどの組織にとっても検討に値するテーマになっています。
自社WEBサイトは大丈夫か？今すぐ確認したい3つのポイント
特別な知識がなくても、まずは次の３点を確認してみてください。
- □ 改ざんの有無を、目視の巡回だけでなく自動的に検知する仕組みがあるか
- □ CMSやプラグインのバージョンを最新に保つ運用体制が明確になっているか
- □ サイト更新を外部委託している場合、委託先のアカウント管理・多要素認証の状況を把握しているか
どれか一つでも「分からない」がある場合、それは弱点になり得ます。ここまで見てきたとおり、改ざんは「気づけるかどうか」で被害の大きさが大きく変わります。
改ざん検知の仕組みを体系的に整えるには
個々の対策を積み重ねるだけでなく、組織のセキュリティ対策のレベルを体系的に評価する枠組みとして「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」があります。改ざん検知の仕組みも、この評価軸のひとつとして位置づけられています。SCS評価制度と改ざん検知の関係については、別コラムで詳しく解説していますので、あわせてご覧ください。
よくある質問
Q. WEBサイトが改ざんされると、具体的にどのような被害が起きますか？
A. 訪問者が偽サイトやフィッシングページへ誘導される、検索エンジンから「危険なサイト」と判定され検索順位が下がる、組織の信頼が損なわれるといった被害が代表的です。情報漏えいを伴わなくても、閲覧者を巻き込む二次被害に発展するケースが少なくありません。
Q. 改ざんはどうやって見つかりますか？
A. 職員や利用者が偶然気づくケースのほか、ファイルの変化を自動的に検知する改ざん検知サービスを導入することで、より早い段階で発見できます。
とくに検索エンジン経由のユーザーにだけ不正なページを表示する「ステルス型」の手口は、目視での確認だけでは見つけにくいため、自動検知の仕組みが有効です。
Q. 改ざん検知とSCS評価制度は何が違いますか？
A. 改ざん検知は「変化にいち早く気づく」ための個別の仕組みです。一方SCS評価制度は、そうした対策を含めたセキュリティ体制全体を評価する枠組みです。両者は対立するものではなく、改ざん検知の導入がSCS評価制度の評価向上にもつながる関係にあります。
WEBサイトの「気づける仕組み」を、今のうちに
ここまで見てきたとおり、改ざんは特別な組織だけの問題ではなく、どの組織にも起こり得る構造的なリスクです。そして被害の大きさを左右するのは、対策の完璧さよりも「変化にどれだけ早く気づけるか」です。
F-PAT（ファイルパトロール）は、WEBサーバー上のファイルの変化を自動で検知し、改ざんの兆候をいち早く管理者へお知らせするサービス。日々の巡回に頼らない「気づける仕組み」をご検討ください。
本コラムで取り上げた事例は、各報道機関・公式発表をもとに構成しています。