サーバー会社から改ざん通知が来た日にやること、やってはいけないこと

「サーバ上に設置されているファイルについて」「お客様のサーバーアカウントにおける不正なアクセスの検知および制限の実施について」。サーバー会社からこういう件名のメールが届いて、サイトを開くと403、メールにはファイルのパスが並び、「すべて削除してください」と書いてある。何から手を付ければいいか分からないまま、メールの中のリンクを押していいのかも分からない。この記事は、その通知が届いた日にやること、やってはいけないこと、自分で戻すか頼むかの決め方を、エックスサーバー・さくらのレンタルサーバ・ロリポップ・mixhost・ConoHa WINGの公式ページ（2026年11月3日確認）だけを根拠に書いたものです。

先に答えです。通知が来た時点で、サーバー会社はすでにサイトの公開を止めるか、不正ファイルを動かなくしています。今日やるのは、消すことでも戻すことでもなく、全ファイルとデータベースを手元に取ること。やってはいけないのは、メールに並んだファイルだけ消して「対応しました」と返すことです。一覧は不正ファイルの全部ではなく、メールの日時は侵入された日時ではない、と各社が自分のマニュアルに書いています。

通知が来た時点で、サーバー側の措置はもう始まっている

通知メールは「これから対応してください」ではなく「もう止めました」の連絡です。何を止めたかは会社ごとに違い、止め方を知らないまま触ると、せっかく残っている状態を自分で消してしまいます。

サイトが403になるのは「止められた」からで、壊れたからではない

エックスサーバーは、不正アクセスを検知するとサーバーを凍結し、凍結中はサイトが403になります。解除は、登録メールアドレスに届いた案内に沿って行います。さくらのレンタルサーバは、確認できた不正ファイルすべてのパーミッション（ファイルを読める人の設定）を「000」にして誰も読めない状態にし、被害の拡大が予想される場合は公開フォルダのwww自体を000にします。この状態ではサイト全体がForbiddenになります。ロリポップは、ウイルスを含むファイルを000にしてブラウザからのアクセスを遮断し、あわせてロリポップ！FTP以外からのFTP接続を制限します。サイトの閲覧は続きます。

表示が消えたのは、サーバー会社がふたをしたからです。ファイルが壊れたのでも、消えたのでもありません。ふたを外す操作（パーミッションを755に戻す、凍結の解除を申請する）は、中を掃除したあとに回します。

メールの日時は、侵入された日時ではない

エックスサーバーのマニュアルには、通知メールの日時が不正アクセスの発生日時と一致するとは限らないので、自動バックアップから戻すときは不正アクセス発生前の日付のデータを利用者自身で精査して選ぶ、と書かれています。検知した日と入られた日は別で、入られてから検知されるまでの間に取られたバックアップには、すでに不正ファイルが入っています。

メールのファイル一覧は、不正ファイルの全部ではない

エックスサーバーは「一覧以外にも不正ファイルがあり得るため、利用者自身で全ファイルを精査する必要がある」とし、裏口（バックドア）が残る可能性を理由にアカウント内のすべてのファイルを削除することを推奨しています。mixhostは「検出されたファイルだけを削除しても不十分」としてアカウント内すべてのファイルの確認を求め、さくらは「不審なファイルだけを削除しても解決しない場合がある」としてwwwフォルダ内の全削除とコンテンツの作り直しを求めています。3社とも、一覧は「見つかった分」であって「全部」ではない、という前提で書かれています。

今日やるのは、消すことより「全部を手元に取る」こと

各社の案内はどれも「削除」から始まりますが、削除の前に入れる作業が1つあります。この1つを飛ばすと、何が入っていたか、いつ入られたかが分からなくなり、戻す材料も消えます。

全ファイルとデータベースを取ってから、どこにも触らない

FTPでサーバー上の全ファイルをダウンロードし、データベースはサーバーの管理画面（phpMyAdminなど）からエクスポートします。さくらの場合、FTPの初期フォルダは通常のwwwではなく「/home/アカウント名」で、ロリポップはロリポップ！FTP以外の接続が制限されているので、ロリポップ！FTPかファイルマネージャーを使います。サーバーの自動バックアップに頼りたくなりますが、エックスサーバーは一部のアカウントがバックアップ対象外の場合があると書いています。手元のコピーは、証拠であり、戻す材料です。取ったあとは、サーバー上のファイルを消したり上書きしたりせずに次へ進みます。取ったファイルをどう調べ、どう戻すかはWordPressが乗っ取られた時の復旧手順の記事に書いています。

本物の通知かは、メールのリンクを使わないことで守る

サーバー会社をかたる偽メールがあり、エックスサーバーは正規の送信元を support@xserver.ne.jp と noreply@xserver.ne.jp の2つと公表したうえで、送信元が正しく見えても偽装されている場合があるので本文中のリンクは開かない、管理画面のURLは https://***.xserver.ne.jp/ の形式かを確かめる、と案内しています。差出人を見て判断するのではなく、メールのリンクを使わずに、ブックマークか検索から会員メニューに入って、同じ通知がお知らせや契約情報に出ているかで確かめてください。これはどの会社でも同じやり方で守れます。リンク先にログイン情報を入れてしまった場合は、エックスサーバーはパスワード再発行フォームから直ちに新しいパスワードを再発行するよう求めています。

同じサーバーのメールと、別のサイトが止まっていないかを先に見る

さくらは、パスワードの漏えいを検知した場合は事前予告なくメールパスワードを変更します（受信は続き、Webメールで確認できます）。エックスサーバーは、ウイルス検出を放置するとアカウントから迷惑メールが送られ、同じサーバーの他の利用者にも影響が及ぶと書いています。通知が来たら、会社のメールが送受信できているか、同じ契約の別のサイトが表示されているかを、サイトの復旧より先に確かめてください。メールが止まっているなら、順番はメールが先です。

やってはいけないのは、一覧だけ消して「対応済み」と返すこと

通知への返信を急ぐあまり、メールに並んだファイルだけ消して公開を戻す。これがいちばん多い失敗で、数日後に同じ通知がもう一度届きます。

一覧のファイルだけ消して公開を戻すと、裏口が残る

前の節で引いたとおり、エックスサーバー・さくら・mixhostはそろって「一覧だけでは足りない」と書いています。mixhostは対応後に「アカウント内すべてのファイルを確認したか」を「はい／いいえ」で返信するよう求めており、「はい」と答える責任は持ち主にあります。一覧に無い裏口が1つ残っていれば、消したファイルは数日で作り直されます。全ファイルの精査が自分でできない場合は、一覧だけ消して「はい」と返すより、できていないことをそのまま伝えるほうが安全です。

通知の日付でバックアップを選ぶと、感染後のデータを戻すことがある

「通知が来た日の前日のバックアップに戻せば大丈夫」は、通知の日時が侵入の日時と一致しないので成り立ちません。シン・レンタルサーバーのマニュアルは、根本原因が解決されていない場合は復元後も再発の可能性が高い、とも書いています。戻す日付を決めるときは、手元に取ったファイルのうち不正ファイルの更新日時がいちばん古いものを探し、その日より前のバックアップを候補にします。それでも、戻したあとに不正ファイルが無いことを公式の配布版との照合で確かめるまでは、公開に戻しません。

パーミッションを755に戻すのは、駆除のあと

さくらの手順は、FTPでログイン、wwwフォルダのパーミッションを変更、wwwフォルダ内をすべて消去、コンテンツを再アップロード、の順です。パーミッションを戻す操作は「全消去して作り直す」ための準備であって、「元の表示に戻す」ための手順ではありません。000を755にすれば表示は戻りますが、不正ファイルがそのまま公開に戻ります。ロリポップも、不正ファイルの削除や修正のあとにディレクトリを705にする順番で案内しています。

サーバー会社ごとの通知と、求められる対応の違い

5社の公式ページで確かめられた範囲を並べます。通知の件名が公開されていない会社、自動検知の仕組みそのものが無い会社もあります。対応の期限は、5社とも公式ページに記載がありません。

会社	通知の件名（公式に記載のあるもの）	サーバー側で起きること	求められる対応	サーバー会社がやる範囲
エックスサーバー／シン・レンタルサーバー	「■重要■ お客様のサーバーアカウントにおける不正なアクセスの検知および制限の実施について」	凍結（サイトは403）。メールに不正プログラムと思われるファイル一覧	端末のウイルスチェック、不正ファイルの削除（全ファイル削除を推奨）、クリーンなデータで復旧、全パスワード変更	凍結と通知、解除。ファイルの精査と復旧は利用者
さくらのレンタルサーバ	「【重要】サーバ上に設置されているファイルについて」ほか2種	不正ファイルを000に。被害拡大が予想されればwww自体を000	wwwフォルダ内を全削除して作り直す（手順4つ）、サーバーパスワード変更、端末のウイルススキャン、CMSの更新	24時間監視、パーミッション変更、ブロックリストの解除申請。繰り返すと一時停止あり
ロリポップ！	記載なし（検知内容と措置をメールで連絡）	ウイルスを含むファイルを000に。ロリポップ！FTP以外のFTP接続を制限	端末のウイルスチェック、CMS・プラグインの更新と不要分の削除、全ディレクトリを705に、不正phpと.htaccessの記述を削除	検知・000・FTP制限・通知
mixhost	「【重要：要返信】不正なコンテンツの検出についての確認及びご対応のお願い」	Imunify360導入サーバーはcPanelで検出一覧を確認。非導入は本文に一部だけ	全ファイルの確認、WordPressのセキュリティ対策、2項目を「はい／いいえ」で返信	手順の案内と返信の受付、希望すれば初期化。改ざん対応・侵入経路の特定は対象外と明記
ConoHa WING	改ざん・不正ファイルの自動通知は公式に記載なし	―	―（脆弱性診断「ネットde診断」の結果がメールで届く）	WordPressの初期化、WAF、脆弱性診断。検知された脆弱性への対策は対象外と明記

出典: 各社の公式マニュアル・FAQ・お知らせ（2026年11月3日確認）。お名前.comは公式ヘルプを確認できなかったため載せていません。

エックスサーバーとシン・レンタルサーバーは「全削除」を推奨し、初期化の手段を3つ用意している

両社のマニュアルは同じ構成で、対応は、端末のセキュリティチェック、不正コンテンツの削除、ホームページ再開の復旧、管理パスワードの変更、の順です。削除は、ファイルマネージャやFTPで消す方法のほかに、ドメインの初期化（ウェブ領域と設定を全削除、データベースは残る）、WordPress初期化（投稿などのデータベースと画像フォルダは残り、プラグインとテーマは消える）、WordPressリカバリーの3つが用意されています。初期化はドメインのフォルダより上の階層に不正ファイルが無いことを精査したうえで使います。パスワードはXServerアカウント、サーバーパネル、WordPressをすべて変え、身に覚えのないWordPressユーザーは削除、FTPアカウントはパスワード変更か削除。再発防止として二段階認証、本体・プラグイン・テーマの更新と不要分の削除、WordPressセキュリティ設定、WAF、php.iniで allow_url_fopen と allow_url_include を無効にすることが挙げられています。なお、ビジネスプラン向けだった「Web改ざん検知」は2026年10月13日に新規受付を終え、2027年10月13日に提供終了。後継の「XServer サイトセキュリティ」はプレミアム（1ページ）・ビジネス（50ページ）で1サーバー1サイトまで無料ですが、自動では有効にならず、自分で設定して通知先を登録する必要があります。

さくらのレンタルサーバは000で止め、wwwを全削除して作り直す手順を示している

通知の件名は「【重要】サーバ上に設置されているファイルについて」「【重要】 ご利用サービス上の不審なウェブサイトについて」「【ご連絡】[会員ID] ご利用中のサービスについて(初期ドメイン)」の3つが公開されています。不正ファイル設置の場合の手順は、FTPでログイン（初期フォルダは /home/アカウント名）、wwwフォルダのパーミッションを所有者は読み書き実行・グループとその他は読み取りと実行に変更（変更できなければ別のFTPソフトを試す）、wwwフォルダ内をすべて消去（消したあとは復旧できないので、必要なら事前にバックアップ）、コンテンツを再アップロード、の4つ。あわせてサーバーパスワードの変更、端末のウイルススキャン、CMS本体・プラグイン・テーマの更新を求めています。同じ事象が繰り返された場合はサービスを一時停止することがある、登録メールアドレスにはさくらのレンタルサーバで作ったアドレスを使わないほうがよい、とも書かれています。後者は、メールパスワードが強制変更されたときに通知自体が読めなくなるのを避けるためです。

ロリポップは不正ファイルを000にしてFTPも制限し、705と.htaccessの掃除を求める

全プランで、アップロードされたファイルをウイルスチェックし、検出するとそのファイルを000にしてブラウザからのアクセスを遮断、ロリポップ！FTP以外からのFTP接続を制限、登録メールアドレスに検知内容と実施した措置を連絡します。求められる対応は、端末のウイルスチェック（FTPパスワードが盗まれている可能性）、CMSとプラグインの更新と使っていないものの削除、すべてのディレクトリのパーミッションを705に、作成した覚えのないphpファイルの削除、既存phpファイルの先頭に書かれた覚えのないコードの削除、.htaccessからリダイレクトの記述と「画像の拡張子でPHPを実行させる AddHandler」の記述を削除、の順です。バックアップがある場合は、サーバー上のファイルを削除してから上げ直し、そのあと705にする方法も案内されています。通知メールの件名は公式ページに記載がありません。

mixhostは「全ファイルを確認したか」を はい／いいえ で返信させ、改ざん対応は対象外と明記している

件名は「【重要：要返信】不正なコンテンツの検出についての確認及びご対応のお願い」で、「要返信」が件名に入っています。求められるのは、アカウント内すべてのファイルの確認と、WordPressの場合は「必要最低限のセキュリティー対策」（本体・プラグイン・テーマを最新に、更新が止まったプラグインを避ける、使わないプラグインはアンインストール、セキュリティプラグイン、フォームとコメントの悪用対策、複雑なパスワード）の実施で、対応後に「全ファイルを確認したか」「対策を実施したか」の2項目を はい／いいえ で返信します。Imunify360が入っているサーバーでは、cPanelの「セキュリティ」内のImunify360で「悪意あり」と「履歴」から検出ファイルを確認できますが、入っていないサーバーでは一覧を確認できず、メール本文に一部だけ書かれます。「WordPressの改ざん対応はサポート対象外」「侵入経路の特定などの詳細な案内は行わない」と明記され、自分で対応できない場合は専門業者に頼むか、アカウントの初期化（アドオンドメインを含め全データ消去・復元不可）を申し込む、という案内です。

ConoHa WINGには改ざんを知らせる自動通知が無く、気づく手段は自分で持つ

公式サポートに、改ざんや不正ファイルを検知して通知する機能の記載はありません。あるのは、脆弱性診断「ネットde診断」（結果はメールで届くが、検知された脆弱性への対策はサポート対象外）、コントロールパネルからのWordPress初期化（不正アクセスを受けたあとに初期状態へ戻す用途で、引き継ぐデータを選べる）、WAF、海外からのアクセス制限です。通知が来ない会社では、Search Consoleの通知や検索結果の確認で自分で気づくしかありません。やり方は乗っ取りのサインを書いた記事の前半にあります。

サーバー会社がやるのは「止める」まで。戻すことと入口の特定は持ち主の仕事

5社の文面を並べると、線引きは同じ場所にあります。mixhostは改ざん対応と侵入経路の特定をサポート対象外と書き、ConoHa WINGは検知された脆弱性への対策を対象外と書き、エックスサーバーはファイルの精査を利用者自身の作業とし、さくらは全削除して作り直すよう求めています。サーバー会社がやるのは、検知して、止めて、知らせるところまでです。元の表示に戻すことと、どこから入られたかを調べることは、サーバー会社の仕事に入っていません。

ここを知らないと、「復旧は不可能」「すべて削除して作り直してください」という言葉を、ファイルがもう戻せないという意味に受け取ってしまいます。これはサポートの範囲の話で、手元に取ったファイルから記事と写真を取り出して戻せるかどうかとは別です。その見分け方は復旧手順の記事の「直すか作り直すかは『復活の仕組み』の有無で決める」の節に書いています。

自分で戻すか頼むかは、「正常なバックアップ」と「入口」の2つで決める

両方そろっていれば、自分で戻せる

侵入される前の日付が分かっていて、その日より前の正常なバックアップがあり、入られた原因がはっきりしている（弱いパスワード、放置していたプラグインなど）なら、自分で戻せます。順番は、手元に全部取る、サーバー上のファイルをサーバー会社の案内どおりに削除する、正常なバックアップを上げる、全パスワードを変える、原因だった入口をふさぐ、サーバー会社に完了を伝えて解除してもらう、です。各手順の中身は復旧手順の記事にあります。

消しても復活する、「作り直し」と言われた、同じサーバーに複数サイト、なら触らずに相談する

消したファイルが数日で戻る、サーバー会社から「復旧は不可能なので作り直しを」と言われた、同じサーバーに別のサイトやメールが同居している、のどれかに当たるなら、本体のファイルに復活の仕組みが仕込まれているか、被害が1サイトで収まっていないことが多く、一覧の削除では終わりません。この状態で削除や初期化をすると、入口を特定する材料のログとファイルが消えます。手元に取ったら、それ以上は触らずに相談したほうが、結果として早く安く済みます。業者に頼む場合の金額の目安と、見積りで見る点は改ざん・乗っ取りの復旧費用の記事に書いています。

当社に頼む場合は、通知メールの文面と画面の写真を送るだけで始められる

当社の緊急復旧は、どんな症状でも一律 ¥24,800（税込・サイト1つあたり）で、復旧できなければ料金はいただきません。お支払いは復旧を確認していただいた後です。同じサーバーに複数のサイトがある場合は、初期調査の時点で金額を先にお伝えします。一律料金に含まれるのは、初期調査（無料）と原因・侵入経路の特定、改ざんの除去・不正プログラムの駆除・復元（作り直しが必要な場合の、最新版の新規設置と記事・写真の移行も含む）、侵入経路と作業内容を書いた報告書、Google警告の解除申請（ご希望があれば）、復旧後3ヶ月の再改ざん保証です。含まれないのは、侵入口をふさぐ再発防止の対策、今のサイトをそのまま新しい版に上げるWordPress・PHPのバージョンアップ、不正ページの削除申請、検索順位の回復で、復旧後の状態を見てから必要なものだけを金額つきで別途ご提案します。受付時間（月〜金 10:00〜18:00）内のご連絡は6時間以内に着手し、着手から1〜2日で復旧することがほとんどです。

サーバー会社から届いたメールの文面と、今の画面の写真をフォームかLINEで送っていただければ、何が起きているか、サーバー会社に何を返せばいいか、どこまで戻せるかを無料でお返しします。サーバー会社に「復旧は不可能」と言われた状態でも構いません。ログイン情報は見てからで大丈夫です。こちらから営業の連絡はしません。

＼ 通知メールと画面の写真を送るだけ・ログイン情報は後でOK ／

実際の対応事例

サーバー会社から「復旧は不可能」と通知された状態から戻した件です。対応事例のページにも載せています。

「復旧は不可能」と言われた製造業の会社サイト

サーバー会社の「すべて削除して作り直しを」は、そのとおりに実行しました。違うのは、削除の前に全部を手元に取り、切り離した環境で確認した記事と写真だけを新しい設置に移した点です。「復旧は不可能」は今あるファイルをそのまま直す前提の話で、持ち主が残したいもの（記事・写真・デザイン）はその中に無事なまま残っていました。

よくある質問（FAQ）

通知に返信も対応もしないと、どうなりますか？

さくらは、同じ事象が繰り返された場合はサービスを一時停止することがあると書いています。エックスサーバーは、放置するとアカウントから迷惑メールが送られたり不正なプログラムを置かれたりして、同じサーバーの他の利用者にも影響が及ぶと書いています。対応の期限は、5社とも公式ページに記載がありません。期限が無いのは猶予があるという意味ではなく、止められたままになるという意味です。

一覧のファイルを消したら解除されました。これで終わりですか？

解除は「一覧にあったものが消えた」ことの確認で、「他に無い」ことの確認ではありません。エックスサーバー・さくら・mixhostはいずれも、一覧以外に不正ファイルがあり得る前提で全ファイルの精査か全削除を求めています。解除されたあとに、本体・プラグイン・テーマを公式の配布版と照合して差分が無いこと、管理者に知らないユーザーが無いことを確かめてください。確かめ方は乗っ取り時の復旧手順の記事にあります。

通知は来ていないのに、サイトが403です。

エックスサーバーのFAQは、403の原因として、不正アクセスによる凍結のほかに、利用期限切れによる凍結、index.htmlが無い、public_htmlフォルダの削除、IPアドレスの拒否設定、パーミッションが700や000、.htaccessの記述の誤り、WAFの誤判定を挙げています。通知が無いなら、まず契約の状態と.htaccessとWAFの設定を見て、それでも分からなければサーバー会社に問い合わせます。

パスワードを変えただけでは足りませんか？

入口がパスワードの流出だけなら、変更で止まります。入口がWordPressやプラグインの脆弱性なら、パスワードを変えても同じ穴からまた入られます。エックスサーバーのマニュアルも、原因を「ID・パスワードの流出」と「脆弱性を突いた攻撃」の2つに分けており、後者には更新と設定の変更が必要です。どちらが入口かはアクセスログで分かります。

メールの中のリンクを開いて、ログイン情報を入れてしまいました。

エックスサーバーは、不審なサイトを開いただけならログイン情報は流出しないが、入力してしまった場合は第三者に漏えいしたおそれがあるので、パスワード再発行フォームから直ちに新しいパスワードを再発行するよう案内しています。他の会社でも同じで、メールのリンクではなくブックマークから管理画面に入り、パスワードを変えてください。

同じサーバーに複数のサイトがあります。料金はどうなりますか？

当社の一律料金はサイト1つあたりの金額で、複数サイトの場合は初期調査の時点で金額を先にお伝えします。同じサーバーの別サイトに裏口が残っていると、1サイトだけ戻しても再侵入されるので、同居しているサイトの有無は最初に教えてください。

まとめ

• 通知が来た時点でサーバー会社はもう止めている（エックスサーバーは凍結で403、さくらとロリポップは不正ファイルを000）。表示が消えたのはふたをされたからで、壊れたからではない
• 今日やるのは、全ファイルとデータベースを手元に取ること。メールのリンクは使わず、ブックマークから会員メニューに入って通知を確かめる。メールと別サイトが止まっていないかを先に見る
• やってはいけないのは、一覧のファイルだけ消して「対応済み」と返す、通知の日付でバックアップを選ぶ、駆除の前にパーミッションを戻す、の3つ。一覧は全部ではなく、通知の日時は侵入の日時ではない
• サーバー会社がやるのは止めるまで。戻すことと入口の特定は持ち主の仕事（mixhost・ConoHa WINGは対象外と明記）。「復旧は不可能」はサポート範囲の話
• 正常なバックアップと入口の両方が分かっていれば自分で戻せる。消しても復活する・作り直しと言われた・複数サイトが同居、なら触らずに相談。当社は一律 ¥24,800（税込・サイト1つあたり）で、復旧できなければ無料・経路の特定と報告書まで含む・再改ざん保証3ヶ月