ホームページが乗っ取られていないかの見分け方と、被害に遭ったときの初動｜飲食店向け（PHPの脆弱性）

「ホームページを外から乗っ取られるおそれのある欠陥が見つかった」というニュース（「PHPの脆弱性」「PHP2Shell」として報じられています）を見て、「うちのホームページは、もう乗っ取られていないだろうか」と不安になった方もいると思います。お客さまから「お店のサイトを開いたら、変なページに飛ばされた」と言われて、初めて気づくこともあります。

この記事では、技術の知識がなくてもスマホとGoogle検索だけで気づける兆候と、被害が疑われたときに最初にやる順番を、Google・IPA・警察庁・個人情報保護委員会の公式の説明にもとづいて整理します。

結論：まず3分で確かめ、疑わしければ「記録してから連絡」

• スマホで、Google検索から自分の店のホームページを開いてみる。乗っ取られたサイトでは、スマホで開いたときだけ別のサイトへ飛ばされることがあります。
• おかしいと思ったら、消したり直したりする前に、画面と日時を記録してください。そのうえでサーバー会社と制作会社に同時に連絡します。
• 何も見つからなくても「安全」とは言い切れません。PHPの修正が当たっているかの確認（今日やることチェックリスト）は別に必ず行ってください。

外から気づける6つの兆候

どれも、ホームページの管理画面に入らずに確かめられるものです。

1. 見た目が変わっている

メニューや営業時間の文章が書き換わっている、覚えのない画像やリンクが増えている、といった変化です。警察庁の相談窓口でも、ウェブサイトの改ざんは主な相談の対象として挙げられています。

2. スマホで開くと、別のサイトに飛ばされる

Googleは、ハッキングされたサイトでスマホの利用者だけがスパムのサイトへ転送される場合があり、サイトの持ち主が知らないうちに起きていることがあると説明しています。パソコンでは普通に表示されるため、気づきにくいのが特徴です。Googleは、スマホのGoogle検索の結果からサイトを開いて確かめることを勧めています。

3. 覚えのないページが検索に出てくる

Google検索で「site:」に続けて自店のホームページのアドレス（例：site:example.com）を入れると、Googleに登録されている自店のページが一覧で出ます。Googleは、書いた覚えのないページや話題が見つかった場合はハッキングされている可能性があるとしています。外国語の商品ページや、飲食店と関係のない話題が並んでいたら要注意です。

4. 検索結果やブラウザに警告が出る

Googleは、問題が見つかったページについて、検索結果に警告のラベルを付けたり、ブラウザで開くときに警告ページを表示したりすることがあるとしています。たとえばChromeでは「偽のサイトにアクセスしようとしています」という警告が出ることがあります。自分の店のサイトでこれが出たら、すぐ次の章の初動に進んでください。

5. Googleから通知が届く

Googleの「Search Console（サーチコンソール）」にホームページを登録していると、ハッキングなどの問題が見つかったときに「セキュリティの問題」として表示され、通知を受け取れます。登録しているかどうか分からない場合は、制作会社に聞いてください。

6. お客さまや取引先から指摘される

「お店のサイトが開けない」「変なページに飛んだ」「警告が出た」という声は、上の兆候をお客さまが先に見つけたサインです。聞き流さず、いつ・どの端末で・どこから開いたかを聞いておくと、後の連絡に役立ちます。

兆候がなくても「安全」とは言い切れない

Googleは、通常のアクセスでは何も見えないのに、Googleにだけスパムの言葉やリンクが見えている場合があると説明しています。Search Consoleに出るページの一覧もすべてではなく例です。この章の確認は「今、外から分かる異常がないか」を見るもので、修正が当たっているかの確認の代わりにはなりません。確認の手順は確認の手順の記事にまとめています。

被害が疑われたら：最初にやる5つの順番

1. 画面と日時を記録する

直したり消したりする前に、気づいた日時、おかしな画面のスクリーンショット、そのときのアドレス（URL）、どの端末で見たか、誰が気づいたかをメモします。お客さまから聞いた話も同じように残します。これが、サーバー会社や制作会社、相談窓口に状況を伝える材料になります。

2. サーバー会社と制作会社に「同時に」連絡する

どちらか一方の返事を待っていると時間がかかります。両方に同じ内容を送り、どちらが何を担当するかを決めてもらいましょう。次の文面をそのまま使えます。

当店のホームページで、次の異常が見られます。改ざんや不正アクセスの可能性について確認と対応をお願いします。

• 気づいた日時：
• 見えたもの（スクリーンショットを添付）：
• 起きた端末・開き方（例：スマホでGoogle検索から開いたとき）：

PHPの脆弱性（PHP2Shell／CVE-2026-109618・CVE-2026-109619）の修正が当店のサーバーに適用済みかもあわせて教えてください。

3. 必要に応じて公的な相談窓口へ

窓口	頼めること（公式ページの記載）
IPA 企業組織向け相談窓口	被害の可能性や応急処置の助言、対応する専門業者の紹介、ほかの相談先の案内。調査・解析は行わないと明記されています。受付方法はリンク先で確認してください
警察庁 サイバー事案の相談窓口	通報・相談・情報提供。ウェブサイトの改ざんも対象。オンラインの受付から、都道府県警察へ届きます。被害届は最寄りの警察署へ

金銭の要求や脅迫、お客さまの情報が持ち出された疑いがあるときは、警察への相談を早めに検討してください。

4. お客さまへの案内を、Googleマップと SNS で出す

ホームページの状態が分からない間は、お客さまが店にたどり着く道をほかに用意します。Googleビジネスプロフィール（Googleマップ）とSNSで、「ホームページは現在確認中です。ご予約・お問い合わせは○○から」と案内してください。原因が分かる前に「ウイルス」「流出」などの推測を書くのは避け、事実だけを伝えます。営業時間や予約方法の載せ方はGBPの情報修正チェックリストが参考になります。

5. ホームページを一時的に止めるかを決める

お客さまが偽のサイトへ飛ばされる状態のまま公開を続けるかどうかは、サーバー会社・制作会社と相談して決めます。止めても集客を止めない考え方はすぐ直せないときの記事と飲食店のAI×MEO対策ガイドで扱っています。

お客さまの個人情報を預かっている場合

予約フォームや問い合わせフォームで、お客さまの名前・電話番号・メールアドレスなどを預かっている店は、次の点を押さえてください。

• 個人情報が漏れた、または漏れたおそれがある場合、一定の条件にあてはまると、個人情報保護委員会への報告と本人への通知が義務になる制度があります。
• 委員会のページでは、報告が必要になる場合として、不正な目的によるおそれがある漏えいや、1,000人を超える漏えいなどが挙げられています。報告には期限があり、速報は発覚から3〜5日以内とされています。
• 自店が報告の対象になるかは、状況によって変わります。この記事では判断できません。個人情報保護委員会「漏えい等の対応とお役立ち資料」を確認し、委員会や専門家に相談してください。

判断を早くするためにも、ステップ1の記録に「誰の・どの情報が・いつから」預かっていたかを加えておくと役立ちます。

慌ててやりがちな、逆効果の行動

• 自己判断でページやファイルを全部消す：何が起きたかの手がかりまで消えてしまい、原因の確認や相談が難しくなります。まず記録し、作業は担当者に任せます。
• 原因が分からないまま作り直して公開する：入り口がふさがれていなければ、同じことが起きえます。Googleも、一部のページだけ直しても検索結果は変わらないとしています。
• 直す前にGoogleへ審査をリクエストする：Search Consoleで警告を外す申請は、すべての問題を直してから行うものです。未修正のまま申請すると、審査が長引いたり、違反を繰り返すサイトとみなされたりする可能性があるとGoogleは注意しています。審査には数日から数週間かかります。
• 「復旧します」という見知らぬ業者のメールに応じる：大きな脆弱性のニュースの後は、便乗の連絡が増えます。相談先は自分で選び、公式サイトから連絡してください。

落ち着いたら：次に備えてやっておくこと

• Search Consoleへの登録を制作会社に確認する。Googleが問題を見つけたときに、通知を受け取れるようにするためです。
• 月に1回、スマホで自店のサイトをGoogle検索から開く。あわせて「site:」検索で覚えのないページがないかを見る。どちらも数分で済みます。
• 連絡先（サーバー会社・制作会社・保守契約の内容）を1枚にまとめておく。

ホームページを長く安全に使うための維持ルールは今後に備える記事で、PHPの脆弱性がそもそも何なのかは10分まとめ（何が起きたのか）で解説しています。

まとめ

• 外から気づける兆候は、見た目の変化／スマホだけの転送／覚えのないページ／検索やブラウザの警告／Googleからの通知／お客さまの指摘の6つ
• まずはスマホでGoogle検索から自店のサイトを開き、「site:」検索で覚えのないページがないかを見る
• 疑わしいときは、記録 → サーバー会社と制作会社へ同時連絡 → 必要に応じてIPA・警察 → お客さまへの案内 → 公開を止めるかの判断の順に
• お客さまの個人情報を預かっている場合は、報告と通知の制度がある。当てはまるかは個人情報保護委員会や専門家に確認する
• 全部消す・作り直して公開・直す前の審査リクエスト・見知らぬ業者への依頼は逆効果になりやすい

出典

• Google Search Console ヘルプ「セキュリティの問題レポート」（2026年10月22日確認）
• web.dev「サイトがハッキングされているかどうかを確認する方法」（2026年10月22日確認）
• Google 検索セントラル「サイトのマルウェア チェックと感染防止」（2026年10月22日確認）
• Google 検索セントラル ブログ「望まない不正なモバイル リダイレクトを検出して除去する」（2015年10月・2026年10月22日確認）
• Google 検索セントラル「ソーシャル エンジニアリング（フィッシングや偽のサイト）」（2026年10月22日確認）
• IPA「サイバーセキュリティ 相談・届出窓口一覧」（2026年10月22日確認）
• 警察庁「サイバー事案に関する相談窓口」（2026年10月22日確認）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年10月22日確認）

本記事は2026年10月22日時点で公表されている資料にもとづく一般的な情報です。個別の被害の有無の判断、復旧作業、法令上の報告義務の判断は、契約先のサーバー会社・制作会社、公的な相談窓口、専門家に確認してください。本記事は技術的な作業手順を示すものではありません。

投稿者プロフィール

matokaスタッフ

飲食店専門のWEB集客支援を行う、matoka株式会社（東京都品川区西五反田）の編集チームです。

普段の仕事は、Googleビジネスプロフィールの運用と口コミ対応（MEO対策）、食べログ・ホットペッパーグルメなどグルメサイトの運用代行、SNS運用とホームページ制作、訪日外国人向けの多言語対応、AIを使ったMEO支援（droptip）、そして成果報酬型のインフルエンサーPR「clues restaurant」の運営です。

このブログには、その現場で実際に手を動かして分かったことを書いています。AI検索（ChatGPTなど）に自分の店がどう出るかの確かめ方、口コミ返信やGoogleマップ投稿の時短、グルメサイトとMEOの使い分け、多言語メニュー、求人票、決済まわりのリスクまで、テーマはすべて店舗からの相談が出発点です。

編集方針は2つあります。営業の合間にスマホで読んでも、その日のうちに1つ試せる形で書くこと。そして成果を保証せず、うまくいかない条件や向かない店舗も併せて書くことです。

集客の困りごとは、matoka.co.jp のお問い合わせページからご相談いただけます。

最新の投稿

• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性と飲食店のホームページ｜シリーズまとめ・最新情報と更新履歴
• ニュース・制度の変化に備える2026年10月22日飲食店ホームページの最低限の維持ルール｜年1回のチェックリスト付き（PHPの脆弱性から学ぶ）
• ニュース・制度の変化に備える2026年10月22日ホームページが乗っ取られていないかの見分け方と、被害に遭ったときの初動｜飲食店向け（PHPの脆弱性）
• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性をすぐ直せないとき｜古いPHP・連絡がつかない制作会社・放置サイトをどうするか