WordPressマルウェア感染・ハッキング復旧の専門業者比較と費用相場｜緊急時の初動対応と失敗しない選び方

「自社のWordPressサイトを開いたら、見知らぬ海外の通販サイトや詐欺サイトへ勝手に転送されてしまう」
「Googleの検索結果に『このサイトは第三者によって不正に改ざんされている可能性があります』と警告が表示され、アクセスが激減した」
「管理画面にログインできなくなり、身に覚えのない管理者アカウントが勝手に作成されている」

このようなWordPressのマルウェア感染やハッキング（不正アクセス・改ざん）被害は、企業のWeb担当者やサイト運営責任者にとって、まさに **「青天の霹靂」であり最もパニックに陥りやすい緊急事態 ** です。

しかし、パニックのあまり焦って自己流でファイルを削除したり、安易にバックアップから上書き復元を行ったりすると、 ** 攻撃者が仕掛けたバックドア（裏口）を見落として数日後に再感染を繰り返す ** だけでなく、侵入経路の調査ログを誤って消去してしまうなど、事態をさらに悪化させる危険性があります。

一方で、「今すぐ専門業者に頼みたい」と考えて検索してみても、数万円で請け負う格安サービスから数十万円を請求するセキュリティ専門会社まで料金帯は大きく開き、「悪質な業者に足元を見られて法外な高額請求をされないか」「どこまで作業してくれるのか」と不安を感じる方も少なくありません。

そこで本記事では、WordPressのマルウェア駆除・ハッキング復旧における ** 「緊急初動3ステップ」「症状レベル別のリアルな費用相場一覧表」「悪質業者を回避する5大選定基準」 ** を徹底解説します。さらに、自力対応とプロへの外注の明確な判断境界線、そして二度と被害を出さないための復旧後の必須セキュリティ対策まで、技術的な観点から体系的にまとめました。

---

【緊急事態】ハッキング・マルウェア感染発覚時に今すぐ行うべき「初動3ステップ」

マルウェア感染やサイト改ざんが発覚した際、 ** 「最初に何をするか」が生死を分ける ** と言っても過言ではありません。パニックを鎮め、被害拡大を最小限に食い止めるために、以下の3つの初動対応を順番に実行してください。

ステップ1: 二次被害とGoogle警告（ブラックリスト登録）を防ぐアクセス制限・メンテ画面化

被害に気づいたら、まず真っ先に行うべきは ** 「一般訪問者および外部からのWebアクセスを直ちに遮断すること」 ** です。

改ざんされたサイトをそのまま公開し続けると、自社サイトを訪れた顧客や取引先がフィッシング詐欺や悪意あるウイルス感染に巻き込まれるという ** 「加害者としての二次被害」 ** が発生します。さらに、Googleの巡回クローラー（Googlebot）にマルウェア感染が検知されると、検索結果に赤画面の危険警告（デセプティブサイト警告）が表示され、Googleのブラックリストに登録されて検索順位が壊滅的な打撃を受けます。

最も安全かつ即効性のあるアクセス制限方法は、Webサーバーのルートディレクトリ（public_html 等）にある .htaccess ファイルを編集し、 ** 管理者自身のIPアドレスのみアクセスを許可し、それ以外の外部アクセスをすべて遮断する設定 ** を適用することです。

# 管理者自身のIPアドレスのみアクセスを許可し、他は503（または403）で遮断
Order Deny,Allow
Deny from all
Allow from 203.0.113.195

※ 203.0.113.195 の部分をご自身の現在のグローバルIPアドレス（確認くん等のIP確認サイトで取得可能）に置き換えて設定してください。

また、国内の主要レンタルサーバー（エックスサーバー、ConoHa WING、さくらのレンタルサーバ、ロリポップ！等）をご利用の場合は、サーバー管理パネルから提供されている「アクセス制限機能」や「WEBサイト停止機能」を利用して、緊急で閲覧制限をかけることも有効です。

ステップ2: 被害状況の現状保全（サーバーログ・バックアップの隔離確保）

アクセスを遮断した直後、多くの方が「すぐにファイルを元に戻そう」と焦ってしまいますが、 ** 絶対にやってはいけないのが「原因究明前のデータ上書きや削除」 ** です。

侵入経路となった脆弱性や、攻撃者がサイト内に忍ばせたバックドア（遠隔操作用の隠しファイル）を特定しないまま上書き復元しても、数時間〜数日以内に再び同じ手口で侵入されます。そのため、 ** 現状の証拠保全（フォレンジック用データの退避） ** が必須となります。

• ** サーバーログの即時ダウンロード保存 ** : サーバーパネルやFTP/SSH経由で、過去数週間〜数ヶ月分の「アクセスログ（access_log）」「エラーログ（error_log）」「FTP転送ログ」「SSH接続ログ」をPCローカルへダウンロードして保護します。ログには、攻撃者がいつ、どのURLや脆弱性エンドポイントを踏んで侵入したかの痕跡が記録されています。
• ** 汚染された現状データ一式の隔離バックアップ ** : 現在のファイル一式（WordPressコア・テーマ・プラグイン・画像データ）およびデータベース（SQLファイル）をそのまま丸ごとエクスポートし、「汚染データ」として隔離保存します。後から正規ファイルと diff（差分比較）を行うことで、改ざんされたコードを特定する重要な手がかりになります。
• ** 感染前のクリーンなバックアップの確認 ** : 自動バックアップ機能等で保存されている過去のバックアップ世代を確認し、マルウェア感染が発生する前の健全なデータが存在するかを調査します。

ステップ3: 全管理者アカウントのパスワード即時リセットと不要アカウントの削除

攻撃者の多くは、一度サイトへ不正侵入に成功すると、たとえファイル側の脆弱性が修正されても再侵入できるように、 ** 管理者権限を持つ不正アカウントを勝手に作成 ** したり、既存の管理者パスワードを盗み出しています。

そのため、以下の手順で管理アカウントの統制を直ちに取り戻す必要があります。

• ** 全管理者パスワードの強制変更 ** : WordPress管理画面の「ユーザー」一覧から、すべての管理者（administrator）アカウントのパスワードを、英数字記号を含む20文字以上のランダムな強固な文字列へ再設定します。
• ** 不審なアカウントの即時削除 ** : 登録した覚えのないユーザー（ランダムな英文字列や、メールアドレスがロシア・東欧・中国などの不審なドメインになっているアカウント）を発見した場合は、直ちに完全に削除します。
• ** 関連するすべてのインフラパスワードの変更 ** : WordPress管理画面だけでなく、「レンタルサーバーのコントロールパネル」「FTPアカウント」「データベース（MySQL）」「SSH接続鍵」のパスワードもすべて一新してください。

---

WordPressマルウェア駆除・ハッキング復旧の「費用相場」一覧表

WordPressのマルウェア駆除や改ざん復旧を専門業者へ依頼する場合、費用相場は ** 「被害の深刻度（感染範囲・改ざんの深さ）」 ** によって大きく変動します。

相見積もりを取る際や見積もりの妥当性を判断する基準として、まずは被害レベルごとの料金目安と対応内容をまとめた一覧表をご確認ください。

被害レベル	主な症状・状態	費用相場（目安）	復旧期間目安	対応内容
** 軽度 **	単一プラグインの改ざん、管理画面アクセス可能、既知マルウェア検知	** 3万〜8万円 **	最短即日〜1日	感染ファイル特定・置換、プラグイン更新、基礎点検
** 中度 **	複数ファイル感染、不審なリダイレクト、GSCに「セキュリティの問題」警告	** 8万〜20万円 **	1〜3営業日	バックドア特定・完全駆除、Google警告再審査申請代行、WAF強化
** 重度 **	管理者権限乗っ取り、DB不正改ざん、コアファイル全域汚染、スパムメール大量送信	** 20万〜40万円 **	3〜5営業日	DB不正コード除去、管理者権限奪還、サーバーログ解析、再発防止設計
** 最重度 **	ECサイト決済情報漏洩疑い、長期間放置による被害拡大	** 50万円〜 / 個別見積 **	要相談	フォレンジック調査、専門機関連携、インフラ再構築

症状レベル別（軽度・中度・重度・DB改ざん）の復旧料金目安

それぞれの被害レベルにおける具体的な感染実態と、作業スコープの違いを詳しく見ていきましょう。

1. 軽度被害（相場：3万〜8万円）

WordPressの管理画面に問題なくログインでき、感染箇所が特定のプラグインフォルダ内に限定されている初期段階のインシデントです。
セキュリティプラグイン（WordfenceやSiteGuard等）で既知のシグネチャが検知されており、感染ファイルを正規の公式ファイルへ差し替え、関連プラグインを最新版へアップデートすることで比較的迅速（最短即日〜翌営業日）に復旧が完了します。

2. 中度被害（相場：8万〜20万円）

「検索エンジン経由で訪問した時だけ怪しい海外サイトにリダイレクトされる（リファラ判定型リダイレクト）」や、Googleサーチコンソールに「セキュリティの問題（マルウェアまたは不要なソフトウェア）」の警告通知が届いている状態です。
テーマの functions.php や header.php、コアファイル全域に難読化されたPHPコード（eval(base64_decode(...)) 等）が分散配置されており、サーバーのcronジョブに再感染トリガーが仕込まれているケースが多く見られます。高度なバックドア探索と完全駆除、WAFルールの最適化、および ** Googleへの再審査リクエスト申請代行 ** までが含まれる標準的な作業領域です。

3. 重度被害・データベース改ざん（相場：20万〜40万円）

管理画面へのログインがブロックされ管理者権限が完全に奪われている、あるいはPHPファイルだけでなく ** MySQLデータベース（wp_posts, wp_options, wp_users等）の内部に不正な難読化JavaScriptコードが大量注入されている ** 深刻な状態です。
サーバーがスパムメールの大量送信踏み台にされ、ホスティング事業者からサーバー停止措置（利用制限）を受けている場合もここに含まれます。データベース内の全テーブルスキャンと不正SQLコードの安全な除去、管理者権限の奪還、サーバーアクセスログの徹底解析、およびサイトの再構築と再発防止の多層防御設計が必要です。

4. 最重度・個人情報漏洩事案（相場：50万円〜 / 個別見積）

WooCommerceなどのECサイトでクレジットカード情報が盗み出された（Magecart型攻撃）疑いがある場合や、顧客の個人情報データベースが外部へ漏洩した可能性があるケースです。
この場合は単なるサイトのファイル駆除にとどまらず、公認フォレンジック専門機関による侵害状況調査、警察や個人情報保護委員会への届出支援、被害者への通知設計など、法的・社会的な対応が絡むため個別見積もりとなります。

追加料金が発生しやすいケース（再感染保証の有無・即日対応特急料金・バックドア根絶）

基本料金の見積もりに加えて、以下のような条件によって追加料金が発生することがあります。契約前に内訳を必ず確認しましょう。

• ** 即日着手・夜間休日対応の特急料金（+3万〜5万円程度、または基本料の30〜50%増） ** : 業務時間外や土日祝日に即座にエンジニアが緊急駆けつけ対応を行う場合。
• ** 再感染保証期間の付帯（+3万〜5万円、または標準付帯） ** : 駆除作業完了後、30日〜90日以内に万が一再感染した場合に無償で再対応する保証制度。
• ** サブドメイン・マルチサイト・複数サイトの一括対応 ** : 同一サーバー内の別ドメインに感染が飛び火している場合、サイト数に応じた追加費用が発生します。
• ** 大規模データベース（数GB以上）や数万記事規模のメディア ** : スキャンと置換処理に長時間のサーバーリソースを要するため加算される場合があります。

「完全駆除」と「一時的なファイル削除」の費用の違いと落とし穴

インターネット上で業者を探すと、「1万円でマルウェア駆除！」といった極端な格安プランを目にすることがあります。しかし、これには ** 非常に危険な落とし穴 ** が存在します。

格安業者が行っているのは、無料のスキャナープラグインを走らせて ** 「警告が出たファイルだけをゴミ箱に捨てる（一時的なファイル削除）」 ** 作業にすぎません。マルウェアの攻撃者は、検知を逃れるために別のディレクトリに無害な画像ファイル（.jpg や .png）に見せかけたバックドアプログラム（Web Shell）を何重にも潜伏させています。

バックドアが1箇所でも残っていれば、数日〜数週間後に外部からの命令で自動的にマルウェアが再生成されます。結果として ** 「1万円払って直ったと思ったのに、1週間後に再感染して別の業者に20万円払うことになった」 ** という二重払いの被害が非常に多く報告されています。費用を比較する際は、単なるファイル削除ではなく ** 「バックドアの完全根絶と侵入経路の特定」までが作業範囲に含まれているか ** を必ず確認してください。

---

悪質業者を回避する！マルウェア復旧業者選びの「5つのチェック基準」

切迫したパニック状態に漬け込み、不当な高額請求を行ったり、技術力がないにもかかわらず適当な作業で済ませる悪質業者に引っかからないために、以下の ** 「5つのチェック基準」 ** を徹底してください。

1. 再発防止対策（バックドア根絶・セキュリティ設定強化）まで含まれているか

最も重要な基準は、 ** 「駆除後の再発防止策まで責任を持って対応してくれるか」 ** です。

優秀なセキュリティ専門業者であれば、以下の作業が基本パッケージまたは明確なオプションとして組み込まれています。

• 侵入経路（古いプラグイン、テーマ、サーバー権限設定等）の特定と脆弱性の塞ぎ込み
• Web Shellを含む潜伏バックドアの全サーバー領域スキャンと完全根絶
• サーバーWAFの有効化・最適化およびWordPressセキュリティプラグインの適切な導入
• ** 最低30日間〜最長90日間の「再感染無料保証」 ** の提示

2. 成果報酬型か固定見積もりか（見積もり後の追加請求リスクの確認）

契約トラブルで最も多いのが、作業開始後の「追加請求」です。「基本料金3万円」と聞いて依頼したのに、作業が始まった後に「予想以上に重症なので追加で15万円かかります」「データベースからも見つかったのでさらに20万円です」と小出しに請求され、断れない状況に追い込まれる手口です。

契約を結ぶ前に、 ** 「調査後の提示金額から追加請求は一切発生しない固定見積もり（または完全成果報酬型）であるか」 ** を書面やメールで明確に取り交わしてください。「完全駆除できなければ全額返金」を掲げている業者は、自社の技術力に確固たる自信を持っている証拠です。

3. Googleサーチコンソールの「セキュリティの問題」警告解除までサポートするか

サイトからマルウェアファイルを消し去ったとしても、それだけではGoogleの赤画面警告（「偽のサイトの詳細」「アクセスしようとしているサイトには不正なプログラムがあります」など）は解除されません。

警告を解除するためには、GoogleサーチコンソールからGoogleの審査チームへ向けて ** 「どのファイルが感染し、どのように修正・駆除を行い、いかなる再発防止策を講じたか」を技術的に論理立てた再審査リクエスト ** を提出する必要があります。素人が適当にリクエストを送ると「審査不合格」となり、警告解除までに数週間以上サイトが放置される事態に陥ります。 ** 警告解除申請の代行・伴走支援までサポート範囲に含まれている業者 ** を選びましょう。

4. 着手スピードと緊急時の対応体制（即日着手・土日祝対応）

Webサイトの停止やGoogle警告の表示は、1日放置されるごとに数十件のお問い合わせ機会損失、Web広告費用の無駄金、そして企業ブランドの失墜という莫大な損害を生み出します。

問い合わせに対して「折り返しの連絡が翌々営業日」「着手までに1週間待ち」という業者では、緊急事態を乗り切ることはできません。 ** 「問い合わせから数時間以内の一次切り分け対応」「即日着手体制」「休日・夜間の緊急連絡窓口」 ** が確保されているかを確認してください。

5. 復旧後の定期保守・脆弱性監視プランが用意されているか

一度マルウェアに狙われたサイトは、攻撃者のリスト（ボットのターゲットリスト）に登録されている可能性が高く、復旧後も継続的な攻撃試行を受け続けます。

スポットの駆除作業だけで関係が終わる業者よりも、 ** 復旧後に月額数万円程度でWordPressのバージョン更新、セキュリティ監視、自動バックアップ管理を代行してくれる定期保守プラン ** を持っている業者を選ぶことで、今後の再発リスクを恒久的にゼロへ抑えることができます。

【コピペで使える】業者選定時の質問テンプレート（5大質問）

複数の復旧業者に問い合わせを行う際は、以下の ** 「5大質問テンプレート」 ** をそのままコピー＆ペーストして質問状を送ることで、悪質業者を即座に排除し、優良な専門パートナーをあぶり出すことができます。

【WordPressマルウェア復旧 見積もり確認チェックシート】

お世話になっております。貴社のWordPress復旧サービスについて、以下の5点をご教示いただけますでしょうか。

1. 【追加請求の有無】
   提示いただく見積もり金額から、作業開始後に追加料金が発生する可能性はありますか？（完全固定見積もりかどうかの確認）

2. 【再発保証の有無】
   バックドアの完全根絶と、作業完了後の再感染保証（例: 30日間〜90日間の無償再駆除保証）は基本料金に含まれていますか？

3. 【Google警告解除支援】
   Googleサーチコンソールに表示されている「セキュリティの問題（赤画面警告）」の解除申請（再審査リクエスト）まで代行・サポートしていただけますか？

4. 【初動スピード】
   正式依頼後、最短何時間（何日）で調査・復旧作業に着手していただけますか？土日祝日の緊急対応は可能ですか？

5. 【復旧後の保守体制】
   復旧作業の完了後、再発を防止するための定期保守代行やセキュリティ監視プランの提供はありますか？

---

自力で復旧できるケース vs プロの専門業者へ即依頼すべきケースの境界線

「できれば外注費用をかけずに自社で解決したい」と考えるのは当然のことです。しかし、誤った判断で無理に自力対応を続けた結果、感染が全サーバーに拡大して復旧費用が跳ね上がるケースが多発しています。ここでは、 ** 「自力対応が可能なケース」と「即座に専門業者へ依頼すべきケース」の明確な境界線 ** を提示します。

自力対応が可能なケース（単一プラグイン起因の既知ファイル汚染・直近バックアップあり）

以下の条件が ** 「すべて」 ** 揃っている場合に限り、社内エンジニアや詳しい担当者による自力復旧が可能です。

• ** WordPress管理画面に通常通りログインできる **（パスワードの変更やプラグインの無効化が管理画面から行える）。
• ** 感染直前の「クリーンで完全なバックアップ（ファイル＋DB）」が手元に確実に存在し、更新差分が少ない ** 。
• ** セキュリティプラグインの検知結果から、汚染されたファイルが特定の古いプラグイン1つの中に限られていることが明確である ** 。
• ** FTPやSSHを使って、該当プラグインフォルダを丸ごと削除し、公式ディレクトリの最新安全版へ差し替える技術的スキルがある ** 。

ただし、自力でファイルを差し替えた後も、最低1〜2週間はログやファイル更新日時の監視を怠らないようにしてください。

専門業者への即相談が必須のケース（不特定ページのリダイレクト・管理者権限乗っ取り・クレカ情報漏洩疑い）

一方で、以下の症状が ** 「1つでも」 ** 当てはまる場合は、自力での解決を直ちに断念し、プロの専門業者へ緊急相談することを強く推奨します。

• ** 管理画面にログインできない、または身に覚えのない管理者アカウントが勝手に追加されている **（管理者権限が完全に掌握されている）。
• ** Google検索やスマホ経由でのアクセス時のみ、詐欺サイトや不審な海外サイトへリダイレクトされる **（ステルス型スクリプトが深部に組み込まれている）。
• ** Googleサーチコンソールに「セキュリティの問題」の警告が出ている、またはブラウザで開くと赤い警告画面が出る ** 。
• ** データベース（MySQL）の wp_options や wp_posts に不正なスクリプトが混入している ** 。
• ** 感染前のバックアップが存在しない、またはバックアップ自体がすでに感染している可能性がある ** 。
• ** 自力でファイルを削除しても、数日経つと勝手にファイルが再生成されて再感染を繰り返す ** 。
• ** ECサイト、会員サイト、問い合わせフォームを運用しており、顧客の個人情報やクレジットカード情報の漏洩リスクがある ** 。

これらの状況では、目に見えるファイル以外にも高度に難読化されたバックドアやcronスケジュールがサーバー全体に分散配置されており、専門的なフォレンジック調査とスクリプト解析が不可欠です。時間を浪費するほどGoogleのペナルティが長期化し、事業への打撃が深刻化します。

---

被害再発を防ぐ！復旧後の必須セキュリティ強化策

マルウェアを完全に駆除してサイトが正常に戻ったとしても、それは ** 「侵入された原因（脆弱性）が塞がれた」ことを意味しません ** 。同じ脆弱性を放置していれば、数週間〜数ヶ月以内に別の攻撃ボットによって再びハッキングされます。復旧完了後、直ちに以下の3大セキュリティ強化策を実施してください。

WAF（Web Application Firewall）の即時有効化

WordPressに対する攻撃の9割以上は、プラグインやテーマの脆弱性を突いた「SQLインジェクション」「クロスサイトスクリプティング（XSS）」「リモートファイルインクルード（RFI）」などの不正なHTTPリクエストです。

これらをWebサーバーの手前で機械的に遮断する最強の防御壁が ** WAF（Web Application Firewall） ** です。エックスサーバー、ConoHa WING、さくらインターネット、ロリポップ！などの国内主要レンタルサーバーには、高精度なWAFが標準搭載されています。コントロールパネルからWAF設定を開き、すべてのシグネチャを「ON（有効）」に設定してください。

2段階認証（2FA）の導入とログインURLの変更

管理者パスワードの総当たり攻撃（ブルートフォース攻撃）や、他サービスから流出したID・パスワードを使ったリスト型攻撃を防ぐために、管理画面の認証を多層化します。

• ** 2段階認証（2FA）の必須化 ** : Google Authenticator等の認証アプリを用いたワンタイムパスワードを導入し、パスワードが万が一漏洩してもログインできない状態を作ります。
• ** ログインURL（wp-login.php）の変更 ** : デフォルトのログインURLを推測不能な固有のURLへ変更し、攻撃ボットの機械的なログイン試行を根本から遮断します。
• ** XML-RPCの停止とログイン試行回数制限 ** : ブルートフォース攻撃の踏み台にされやすい xmlrpc.php へのアクセスを遮断し、一定回数ログインに失敗したIPアドレスを自動ブロックする設定を施します。

脆弱性の定期診断と自動監視体制の構築

WordPressの世界では、毎月数百件もの新たなプラグイン脆弱性（CVE番号付きのセキュリティホール）が発見・公表されています。昨日まで安全だったプラグインが、明日には攻撃対象になるのが現代のWeb環境です。

被害を未然に防ぐ唯一の方法は、 ** 「自社サイトの脆弱性を早期に検知し、攻撃コードが出回る前にパッチを適用すること」 ** です。自社で日々の情報収集が難しい場合は、自動脆弱性スキャンツールや専門の保守監視サービスを導入し、異変を即座にキャッチできる体制を構築しましょう。

---

まとめ｜まずは自社サイトの被害状況・脆弱性を無料診断で確認しよう

WordPressサイトのマルウェア感染やハッキングは、企業の社会的信用や売上に直結する重大な危機です。しかし、 ** 正しい初動対応を取り、実績のある専門業者を適切な相場で選定できれば、被害を最小限に抑えて迅速にサイトを正常化 ** させることができます。

最後に、本記事の要点を振り返りましょう。

• ** 感染発覚時の初動3ステップ ** : 二次被害を防ぐアクセス制限（.htaccess等）、ログ・データの証拠保全、管理者パスワードの即時リセット。
• ** 被害レベル別の費用相場 ** : 軽度（3万〜8万円）、中度（8万〜20万円）、重度・DB改ざん（20万〜40万円）。単なるファイル削除ではなく「バックドア完全根絶」まで含むかを確認。
• ** 失敗しない業者選びの5大基準 ** : 再感染保証（30〜90日）の有無、固定見積もり、Google赤画面警告の解除支援、即日着手スピード、復旧後の保守監視体制。
• ** 復旧後の恒久対策 ** : サーバーWAFの有効化、2段階認証（2FA）の導入、日々の脆弱性監視体制の確立。

「今まさにサイトが改ざんされてパニックになっている」「自社のサイトが安全かどうか客観的に判定したい」という方は、焦って怪しい業者に高額発注する前に、まずは ** MozCheckの無料オンラインセキュリティ診断 ** をお試しいただくか、専門チームへお気軽にご相談ください。