サイトを開くと別ページへ飛ぶとき｜乗っ取り・広告・ブラウザを切り分ける初動
みかもデジタルWebサイトを開いたときに意図しない別ページへ飛んでも、その症状だけで「サイトが乗っ取られた」「Macが感染した」とは断定できません。原因は、サイト改ざん、不正広告、ブラウザ機能拡張、Web通知、保存されたサイトデータ、DNS・ルーター、リンクを開いたアプリの挙動など複数あります。
大切なのは、慌てて全部を削除することではなく、被害を広げずに証拠を残し、「どのURL・端末・ブラウザ・回線で再現するか」を切り分けることです。ここでは、地域の中小企業が自社サイトとMacのどちらを調べるべきか、初動を順番に整理します。
最初の結論｜1台だけか、誰にでも起きるかを確認する
同じURLを、別ブラウザ、別端末、別回線で確認します。ただし、疑わしい転送先を直接開いたり、警告画面のボタンを押したりしないでください。確認者を増やしすぎず、信頼できる担当者の管理下で行います。
| 再現範囲 | 優先して疑う場所 |
|---|---|
| 特定のMac・特定ブラウザだけ | 機能拡張、通知、サイトデータ、不要アプリ、プロファイル |
| 同じWi-Fi内の複数端末だけ | ルーター、DNS、ネットワーク設定 |
| 複数の端末・回線で同じURLが転送 | Webサイト、CMS、CDN、DNS、広告タグ |
| 特定の広告や検索結果からだけ | 不正広告、偽検索結果、計測リンク |
この表は原因の確定ではなく、調査の入口です。複数要因が重なることもあります。
最初の10分で残す証拠
- 起きた日時とタイムゾーン
- 最初に開いた正規URL
- 転送後のURL（可能なら文字列をコピーし、再訪しない）
- 使った端末、OS、ブラウザ、回線
- 直前にクリックした検索結果、広告、メール、アプリ
- スクリーンショットまたは画面録画
ブラウザ履歴、サーバーログ、ファイル更新時刻は、原因調査に使える可能性があります。証拠を取る前に履歴消去、サーバー初期化、バックアップ上書きをすると、侵入経路を追いにくくなります。
Mac側の切り分け｜Safariの機能拡張と通知を見る
Safariでだけ起きる場合は、まず不明なポップアップをクリックせず、macOSとSafariを最新状態にします。次にSafariの「設定」から機能拡張を確認し、覚えのないものを無効化します。
Appleも、しつこいポップアップが続く場合はアドウェアや不要ソフトウェアの可能性があり、機能拡張を確認するよう案内しています。手順はApple「Safariでポップアップをブロックする」とSafari機能拡張の設定を参照してください。
Mac側の切り分け｜ログイン項目と構成プロファイルを見る
ブラウザを閉じても症状が出る、起動時に不審なアプリが開く、検索設定や通信設定が戻される場合は、システム設定の「ログイン項目と機能拡張」を確認します。不明な項目名、提供元、追加時期を記録してください。
「一般」内の「デバイス管理」に、覚えのない構成プロファイルがあるかも確認します。ただし、会社・学校の管理端末では正規のMDMが入っています。Appleも、組織所有端末では削除前に管理者へ確認するよう案内しています。Appleの構成プロファイル確認手順に従い、正体を確かめず削除しないでください。
サイト側の切り分け｜複数の清潔な環境で再現したら
別端末・別回線でも自社サイトから同じ不審ページへ飛ぶ場合は、サイト側のインシデントとして扱います。CMS管理画面へ普段の端末から何度もログインせず、信頼できる端末で管理会社・保守担当へ連絡します。
確認対象は、直近に更新されたPHP・JavaScript・.htaccess、WordPressの管理者、プラグイン・テーマ、CDNルール、タグマネージャー、DNS、サーバーのcron、外部広告タグです。IPAの届出事例でも、.htaccessの改ざんによってリダイレクトが動作したケースが報告されています。
すぐ公開停止すべき場合と、止める前に確認すること
複数環境で悪性サイトへの転送が再現し、訪問者へ被害が広がる可能性が高い場合は、保守担当と連携して影響範囲を限定し、必要なら安全なメンテナンス表示へ切り替えます。決済や個人情報入力が関係する場合は優先度を上げます。
一方、1台のブラウザだけで起きる段階で、サーバーを初期化したりDNSを変更したりすると、正常なサイトを止めて証拠を失うことがあります。公開停止は「再現範囲」「訪問者リスク」「復旧手順」「連絡体制」をそろえて判断します。
パスワード変更は、信頼できる端末から行う
侵害が疑われる端末でパスワードを変更すると、新しい認証情報まで盗まれる可能性があります。別の信頼できる端末から、CMS、サーバー、ドメイン、CDN、メール、広告、解析、Apple Accountなど関係するアカウントを確認します。
使い回しをやめ、長く固有のパスワードへ変更し、多要素認証を有効にします。既存セッション、アプリパスワード、APIトークン、SSH鍵、管理者アカウントも棚卸しします。パスワードだけを変えて不正な管理者やコードを残さないことが重要です。
復旧は「消す」より「侵入経路を閉じる」まで
影響範囲を確定する
不正ファイルだけでなく、同時刻の管理者追加、別サイト、同じサーバー内の他アカウント、メール転送、DNS変更まで確認します。
既知の正常状態と比較する
信頼できるバックアップ、Git、CMSコアのハッシュ、ホスティング会社のログを使い、いつ何が変わったかを比較します。バックアップが無害であることも確認します。
更新・認証・権限を直してから戻す
脆弱なプラグイン、漏えいした認証情報、過剰な書込権限が残れば再発します。原因を閉じ、クリーンなファイルへ戻し、キャッシュを消し、複数環境で再検証します。
外部へ相談するときに渡す情報
保守会社やセキュリティ窓口には、URL、日時、再現条件、スクリーンショット、直前の更新、利用ホスティング、CMS、管理者の変更履歴を渡します。顧客の個人情報やパスワードをメール本文へ貼らないでください。
Webサイト改ざんやフィッシングが疑われる場合は、ホスティング会社の窓口に加え、必要に応じてJPCERT/CCのインシデント報告窓口や警察のサイバー相談窓口を利用します。被害の内容に応じて、関係者・利用者への通知も検討します。
よくある質問
別ページに飛んだだけで乗っ取り確定ですか？
確定ではありません。ブラウザ拡張、不正広告、通知、DNS、サイト改ざんなど複数の原因があります。再現範囲を確認してください。
まず閲覧履歴を全部消せばよいですか？
利用者の端末トラブルだけなら有効な場合がありますが、調査前に履歴を消すと証拠を失います。日時、URL、画面を記録してから対応します。
ウイルス対策ソフトが正常ならサイトも安全ですか？
いいえ。端末の検査結果と、サーバー・DNS・広告タグの安全性は別です。複数の層を分けて確認します。
みかもデジタルへ何を伝えればよいですか？
発生日時、最初のURL、転送先、端末・ブラウザ・回線、再現範囲、直前の変更をお知らせください。パスワードそのものは送らないでください。
まとめ｜症状だけで断定せず、証拠と再現範囲から判断する
意図しないリダイレクトが起きたら、クリックを止め、日時・URL・画面を記録し、別ブラウザ・別端末・別回線で安全に再現範囲を確認します。1台だけなら端末側、複数環境ならサイト・DNS・外部タグ側の優先度を上げます。
みかもデジタルでは、サイト運営者向けに原因の切り分け、保守先との情報整理、復旧後の再発防止をご相談いただけます。緊急時はお問い合わせから「不審な転送」「発生日時」「対象URL」を先にお知らせください。
