自社のホームページに偽の「ロボットではありません」画面が出たら｜ClickFixの見分け方と、サイト側で最初にすること【2026年版】

こんにちは、株式会社ソライルの波多野です。

「御社のホームページを開いたら、『ロボットではないことを確認してください』と出て、キーを押すように言われました」
お客様から、こんな連絡が来たとします。
そんな確認の画面を付けた覚えはありません。

これは、ホームページが改ざんされ、「偽の確認画面」を仕込まれているおそれがあります。
見た人のパソコンに、悪いプログラムを入れさせる手口で、「ClickFix（クリックフィックス）」と呼ばれています。
この手口の注意喚起の多くは、見る側（パソコンを使う人）に向けたものです。

この記事では、ホームページを持つ会社の側に向けて、次のことを順番にご説明します。

• 偽の確認画面とは何か、本物とどう違うか
• 自社のホームページが入口にされるしくみ
• 連絡を受けたときに、最初にすること
• WordPressで確かめる場所と、頼むときに伝えること

1. 偽の「ロボットではありません」画面とは

お問い合わせフォームなどで、「私はロボットではありません」にチェックを入れる画面を見たことがあると思います。
偽の画面は、この見た目をまねて、見た人にキーボードの操作をさせます。
よく知られている流れは、次のとおりです。

1. 「確認のため、次の操作をしてください」と表示される
2. 「Windowsキーを押しながらR」「Ctrlを押しながらV」「Enter」と順に押すよう求められる
3. 画面を開いた時点で、悪いプログラムを動かす命令が、こっそりコピーされている
4. 言われたとおりに押すと、その命令が貼り付けられて動き、パソコンに悪いプログラムが入る

本物の確認画面が、キーボードの操作や、何かを貼り付けることを求めることはありません。
国内でも、警察庁や大手のセキュリティ会社が、この手口への注意を呼びかけています。

2. 自社のホームページが入口にされることがある

この手口の入口は、だましのメールや偽のサイトだけではありません。
マイクロソフトは2025年8月の報告で、攻撃者が「改ざんした正規のホームページ」を使って、この手口を広めるようになったと伝えています。
改ざんの入口として、WordPressの弱点（脆弱性）が使われた可能性にも触れています。

そのホームページを開くと、いつものページが一瞬表示されたあと、偽の確認画面に切り替わるしくみです。
つまり、自社のホームページが知らないうちに書き換えられ、お客様をだます入口にされることがあります。
お客様から見れば、「御社のホームページを開いたら、おかしな画面が出た」ということになります。

偽の画面は、初めて来た人にだけ出したり、スマホには出さなかったりと、出し分けられていることがあります。
自分で開いて出なくても、問題がないとは言い切れません。

3. 連絡を受けたら、最初にすること

1. 連絡をくださった方に、お礼と、お願いを伝える

まず、知らせてくださったことにお礼を伝えます。
そのうえで、次のことをお願いします。

• 画面の指示どおりにキーを押していなければ、そのままページを閉じてもらう
• 押してしまった場合は、そのパソコンをネットから外し、社内のパソコンの担当者や詳しい人に相談してもらう

お客様のパソコンを、ホームページの側で直すことはできません。
責めるような聞き方にならないよう気をつけます。

2. 見たときの様子を聞いて、書き留める

原因を探す手がかりになるので、次のことを聞いて書き留めます。

• どのページで見たか（トップページか、ブログか、検索から来たか）
• 何時ごろか
• 使っていた機器（パソコンかスマホか、WindowsかMacか）
• 画面の写真があれば、その写真

3. 自分で開くときも、画面の指示には従わない

確かめるためにページを開くときも、表示されたキーの操作はしません。
できれば、ふだん使っていない機器か、シークレットウィンドウで開きます。
偽の画面が出たら、その画面の写真を撮り、日時を書き留めて、ページを閉じます。

4. WordPressで確かめる場所

自社のホームページがWordPressなら、管理画面で次の場所を見ます。
見るだけにして、見つけたものはまだ消しません。

知らない管理者やプラグインを見つけても、あわてて消すのは待ってください。
消すと、どこから入られたかの手がかりまで消えてしまうことがあります。
画面の写真を撮り、日時を書き留めておきます。

知らない管理者を見つけたときの進め方は、関連記事「WordPressのユーザー一覧に知らない管理者がいたら」でご紹介しています。

5. 改ざんが分かったら

改ざんがはっきりしたら、次のことを進めます。

• WordPressの管理者と、サーバーの管理画面のパスワードを変える
• 改ざんの前の日付のバックアップが残っているかを見る
• 直すまでの間、ホームページを見られないようにするかを決める
• お客様へのお知らせを出すかを決める

バックアップに戻すだけでは、入られた入口がふさがれず、また同じことが起きることがあります。
入口を見つけてふさぐところまでが、復旧です。
ファイルの中に仕込まれた命令を探すのは、慣れていないと見落としやすい作業です。

ここからは、専門家に任せるほうが早く確実です。

6. 頼むときに伝えること

次のことをまとめて伝えると、調べる範囲をすぐに絞れます。

• お客様が偽の画面を見たページ、時刻、機器と、画面の写真
• 自分で開いて出たか、出なかったか（出たなら、その写真と日時）
• 知らない管理者やプラグインがあったか（あれば、その画面の写真）
• 最近、テーマやプラグインを入れたり、更新したりしたか
• サーバーの会社名と、バックアップがどこにあるか

ログイン情報を渡すときは、メールの本文に書かず、作業用のアカウントを作って渡すのが安全です。
渡し方は、関連記事「WordPressのログイン情報を外注先にどう渡す？」でご紹介しています。

7. お客様へのお知らせ

偽の画面が出ていたことがはっきりしたら、ホームページやメールで、お客様にお知らせすることも考えます。
お知らせには、次のことを短く書きます。

• いつからいつまで、どのページで、偽の確認画面が出ていたおそれがあるか
• その画面でキーの操作をしていなければ、心配はいらないこと
• 操作してしまった方は、パソコンをネットから外し、詳しい人に相談してほしいこと
• ホームページは直し終えたこと（または、直している途中であること）

原因が分かる前に急いで出すと、内容を何度も直すことになります。
状況が分かってから、専門家と一緒に文面を決めれば大丈夫です。

8. ソライルでのお手伝い

ソライルでは、改ざん・乗っ取りなどからの復旧を、サイバー攻撃復旧サービスとしてお受けしています。
保守のご契約がなくても、ご相談いただけます。
原因の調査から、復旧、同じことが起きないようにする対策までをまとめて行います。

ご相談と初期診断は無料です。

9. まとめ

• 偽の「ロボットではありません」画面は、キーボードの操作をさせて、見た人のパソコンに悪いプログラムを入れる手口
• 本物の確認画面が、キーの操作や貼り付けを求めることはない
• 改ざんされた正規のホームページが入口にされることがある。自分で開いて出なくても安心できない
• 連絡を受けたら、お礼とお願いを伝え、ページ・時刻・機器を聞いて書き留める
• 管理者・プラグイン・更新・サーバーの知らせを見る。見つけたものはすぐに消さず、写真を撮って専門家に相談する

偽の画面が出た、改ざんされたかもしれないと思われたら、ソライルのサイバー攻撃復旧サービスにご相談ください。

▶ サイバー攻撃復旧サービス

まずは外から見て気になる点を知りたい方は、無料サイト健康診断もご利用いただけます。
フォームにURLを入れて送っていただくだけで、通常1営業日以内に、メールで所見をお返しします。
営業のお電話はいたしません。

▶ 無料サイト健康診断を申し込む

弱点を残さないための更新と確認を、毎月まとめて任せたい方は、ホームページ保守サービスのページもご覧ください。

▶ ホームページ保守サービス（料金・プラン）

関連記事

• WordPressのユーザー一覧に知らない管理者がいたら｜最初の30分ですることと、消す前に確かめること【2026年版】
• ホームページが改ざんされている？確認方法や対処法、防止策を紹介
• WordPress以外のホームページが改ざんされたら｜カジノのページに書き換えられたサイトを、その日のうちに戻すまで
• WordPressのセキュリティを自分でチェックする｜管理画面だけでできる5分の点検10項目と、見つかったときの直し方【2026年版】
• WordPressのログイン情報を外注先にどう渡す？｜作業用アカウントの作り方と、権限の選び方・作業後にやること【2026年版】

よくある質問

Q. 自分のパソコンで開いても、偽の画面が出ません。気のせいでしょうか？

A. 気のせいとは言い切れません。
初めて来た人にだけ出したり、機器や時間で出し分けたりする仕掛けがあります。
お客様が見た時刻と機器を聞き、それに近い条件で確かめます。

Q. お客様のパソコンが心配です。ホームページの側で何かできますか？

A. お客様のパソコンを、ホームページの側で直すことはできません。
キーの操作をしてしまった方には、パソコンをネットから外し、詳しい人に相談するようお伝えください。
ホームページの側では、偽の画面が二度と出ないように直すことに力を注ぎます。

Q. ホームページを一度閉じたほうがよいですか？

A. 偽の画面が出ていることがはっきりしているなら、直すまでの間、見られないようにするのも一つの方法です。
ただ、閉じ方によっては検索の表示にも響きます。
専門家に相談しながら決めるのが安心です。

Q. WordPressでなくても、同じことは起きますか？

A. 起きます。
WordPress以外のホームページでも、サーバーの中のファイルを書き換えられれば、同じように偽の画面を仕込まれます。
WordPress以外のサイトの改ざんについては、関連記事「WordPress以外のホームページが改ざんされたら」もご覧ください。

Q. 防ぐために、ふだんからできることはありますか？

A. 基本は、入られる弱点を残さないことです。
WordPress本体・プラグイン・テーマを更新し、使っていないプラグインを消し、管理者のログインに二段階認証を付けます。
管理画面だけでできる点検は、関連記事「WordPressのセキュリティを自分でチェックする」でご紹介しています。