医療サイトがハッキングされているか確認する方法【5ステップ完全ガイド】

Security / 2026

「自分のクリニックのサイトは大丈夫だろうか？」

2026年8月、株式会社Medi Faceを含む日本の医療系Webサイト21件が同時にハッキングされました。攻撃の最も厄介な点は、サイトの見た目が何も変わらないことです。院長やスタッフが毎日確認していても、絶対に気づけない設計になっていました。

本記事では、今日すぐに実施できる確認方法を5ステップで解説します。技術的な知識がなくても実施可能なステップから順番に記載しています。

なぜ「見てもわからない」のか

今回の攻撃では「ジオクローキング」と呼ばれる技術が使われました。

  • 日本からのアクセス：正常なページが表示される
  • Googlebot（検索ロボット）：賭博キーワードと違法サイトへのリンクが表示される
  • インドネシアからのアクセス：違法賭博サイトにリダイレクトされる

攻撃者は院長やスタッフが目視で確認することを想定し、その確認が無意味になるよう設計しています。だからこそ、Googleの目線から確認する方法が重要です。

ステップ1：Googleで「site:検索」を実行する

最も簡単で即座に結果がわかる方法です。ブラウザのGoogle検索窓に以下のように入力してください。

site:自院のドメイン SULEBET
site:自院のドメイン SANJITOTO
site:自院のドメイン slot online
site:自院のドメイン casino

例：site:example-clinic.jp SULEBET

結果の見方：

  • 何も表示されない → このキーワードでは被害なし（他のステップも続けてください）
  • 賭博キーワードを含む検索結果が表示される → 被害を受けている可能性が高い

> Googleのインデックスに反映されるまで数日かかる場合があります。被害を受けていても結果に出ないケースもあるため、このステップだけで「安全」と判断しないでください。

ステップ2：Googleサーチコンソールでユーザーを確認する

Googleサーチコンソール（GSC）は、Googleがあなたのサイトをどのように認識しているかを確認できるツールです。攻撃者はGSCに不正ユーザーを追加し、検索結果を操作することがあります。

確認手順：

  1. search.google.com/search-console にアクセスしてログイン
  2. 左メニューから「設定」をクリック
  3. 「ユーザーと権限」を開く
  4. 登録されているユーザーのメールアドレスを全て確認する

見知らぬGoogleアカウントが管理者として登録されていた場合： 即刻削除してください。攻撃者がGoogleのシステムにもアクセスできる状態です。

また、「設定」→「確認の詳細」で見覚えのないHTMLタグ確認トークンが登録されていないかも確認してください。

ステップ3：GSCの検索パフォーマンスを確認する

サーチコンソールの「検索パフォーマンス」画面で、異常なトラフィック増加がないか確認します。

確認のポイント：

  • 通常とかけ離れたクリック数・表示回数の急増
  • 「検索クエリ」タブで、インドネシア語・賭博関連のキーワードが表示されていないか

Medi Faceの事例では、攻撃翌日（2026年8月13日）に通常の数十倍のトラフィックが記録されました。これが最初の異常検知のきっかけとなりました。

ステップ4：サーバー上のファイルを確認する

ここからはレンタルサーバーのコントロールパネルまたはFTPを使った確認です。担当のエンジニアやWebの業者に依頼することをお勧めします。

チェックするファイル名：

以下のファイルが存在する場合、攻撃者が設置したバックドア（裏口）です。

ファイル名概要
fgh.php今回の攻撃で確認されたWebシェル
shell.php汎用Webシェル
cmd.phpコマンド実行型シェル
c99.php多機能ファイルマネージャー型シェル
r57.php古典的Webシェル

サーバーのルートディレクトリ直下、wp-content/uploads/フォルダ内を特に確認してください。本来、これらの場所にPHPファイルは存在するべきではありません。

ステップ5：WordPressデータベース内を確認する（技術者向け）

WordPressを使用している場合、データベース内に賭博コードが注入されている可能性があります。サーバーにSSHまたはWP-CLIでアクセスできる環境が必要です。

wp db query \
  "SELECT ID, post_title FROM wp_posts \
   WHERE post_content LIKE '%bringmetolife%' \
   OR post_content LIKE '%cSyJDyLy%' \
   OR post_content LIKE '%SULEBET%' \
   OR post_content LIKE '%SANJITOTO%';" \
  --path=/path/to/wordpress

結果が0件であれば、このパターンでの注入はありません。1件以上表示された場合は専門家に相談してください。

被害が見つかった場合の対応

絶対にやってはいけないこと

  • 自己判断でファイルを削除しない：証拠が消えます。警察への被害届や保険請求に必要になる場合があります。
  • サイトをすぐに閉鎖しない：攻撃者に「気づいた」ことを知らせると、証拠隠滅を図られます。

すべき対応（優先順）

  1. 担当エンジニアまたはホスティング会社に連絡する

まず現状を共有し、スクリーンショットや証拠を保存してもらいます。

  1. JPCERT/CCに報告する

日本のサイバーセキュリティ対応機関。報告することで他の医療機関への被害防止にも繋がります。 → https://www.jpcert.or.jp/form/（インシデント報告・調整依頼）

  1. 警察庁サイバー犯罪相談窓口に連絡する

電話：#9110（全国共通）

  1. Googleサーチコンソールでインデックス削除を申請する

ページのURLを指定して「インデックス削除」を申請し、検索結果から問題のあるページを消します。

定期的な確認の習慣

一度確認して「大丈夫だった」では不十分です。攻撃者は定期的にターゲットを変えます。以下のチェックを月1回実施してください。

  • [ ] Googleで site:自院ドメイン を検索し、不審なタイトルがないか確認
  • [ ] GSCのユーザーと権限を確認
  • [ ] WordPressのバージョンとプラグインを最新に更新
  • [ ] 管理画面のパスワードを8文字以上の複雑なものに変更

まとめ

医療サイトへのハッキングは、見た目からは判断できません。定期的にGoogleの目線でサイトを確認する習慣が、被害の早期発見につながります。

今回の攻撃の詳細な技術解析はこちら：MF-2026-0812 技術解析レポート（GitHub）

当社では、類似の被害に遭われた医療機関からの情報提供をお待ちしています。

株式会社Medi Face お問い合わせ：info@medi-face.co.jp

参考資料

関連記事