調査と解説
バックアップからWebサイトを元に戻せますか
2026年10月、当社が大手ホテルチェーンのある施設の公式サイトを調べたところ、データベースのバックアップが空でした。サイトのファイルは毎日コピーされていても、お知らせやページ本文を戻すためのデータは、そのバックアップに入っていませんでした。この記事では、当社の調査事例をもとに、保存したデータでサイトを元に戻せるか、安全に保管されているかを確かめる方法を説明します。
ファイルのコピーがあってもデータベースのバックアップは空でした
2026年10月31日の調査で、当社はこの施設の公式サイトに日次のファイルコピーがあることを確認しました。一方、調べたデータベースのバックアップファイルは0バイト、つまり中身が空でした。
WordPressのサイトを復元するには、通常、写真やテーマなどのファイルと、お知らせ・固定ページ・設定などを保存するデータベースの両方が必要です。WordPress公式のバックアップ説明も、この二つを分けて扱っています。ウェブサーバー内のフォルダーをコピーしても、それだけでデータベースを保存したことにはなりません。
0バイトのファイルには、復元に使えるデータが入っていません。ただし、この確認だけで施設に利用できるバックアップが一切ないとは断定できません。ほかの保存先や、サーバー会社が提供するバックアップの有無は別に確認する必要があります。
保守会社には、保存が実行された日だけでなく、保存対象、容量、失敗時の通知先、最後に復元した日を聞いてください。容量があっても内容が壊れている場合はあるため、最後は戻して確かめます。
バックアップファイルに外部からアクセスできる状態でした
バックアップをWebサイトの公開場所に保存すると、設定によっては第三者がそのファイルへアクセスできます。
当社は2026年11月4日、ホテル運営会社の関連サイトを置くサーバーで、バックアップの保管状態も調べました。そこでは、データベースのバックアップファイルに、外部からログインせずアクセスできる状態を確認しました。外部からの接続に返された応答の容量はサーバー内のファイルと一致し、内部の確認では利用者情報に関係するテーブルへのデータ挿入文が含まれていました。
この事例では、確認できた期間のアクセス記録から、そのファイルへの要求・取得記録は見つかりませんでした。それでも、保存期間より前や記録されない経路については判断できません。取得記録が見つからないことを、公開しておいてよい理由にはできません。
対応では、証拠を残しながら外部からのアクセスを止め、保存内容、公開されていた期間、取得の有無、現在も使っている情報との関係を調べます。保存されていた情報に応じて、認証情報の変更や専門家への相談も検討します。ファイル名を分かりにくくするだけでは、アクセスを制限したことになりません。
本番サイトが乗っ取られてもバックアップを消されないようにします
復旧用のバックアップは、本番サーバーの障害や侵害に巻き込まれないよう、保存先と操作権限を分けます。
本番と同じアカウントからすべての世代を削除できると、そのアカウントを奪われた際にバックアップも失うおそれがあります。別の場所に保存するだけでなく、誰が読み取り、変更し、削除できるかまで確認してください。バックアップに個人情報や接続情報が含まれる場合は、読み取る権限も絞ります。
CISAのランサムウェア対策ガイドは、オフラインで暗号化したバックアップと、利用可能性・完全性を確かめる定期的な試験を勧めています。クラウドの保存サービスを使う場合も、世代の保持、削除の制限、認証方法などを組み合わせて選びます。
ホテル側で確認したいのは、「サーバーが使えなくなっても取り出せるか」「普段の保守担当者以外にも復旧を引き継げるか」です。契約変更時に保存データを受け取れるか、取り出しや復元に追加費用がかかるかも、保守契約と合わせて確かめます。
バックアップからサイトを復元してページと機能を確認します
復元テストは、本番と切り離した環境にバックアップを戻し、ページの表示と必要な機能を確認する試験です。
写真が表示されるか、お知らせが所定の日付まで戻るか、外国語ページに抜けがないか、予約リンクの行き先が正しいかを確認します。問い合わせフォームは、実際のお客様や担当者に試験メールを送らない設定で、入力から受け付けまでを試します。決済や予約登録がある場合も、本番の処理が発生しない方法を先に決めます。
| 残しておく記録 | 次の復旧で役立つ理由 |
|---|---|
| 保存した日時と対象 | どこまでの更新を戻せるか分かります |
| 使用したファイルとデータベース | 組み合わせを取り違えずに戻せます |
| 復元にかかった時間 | サイト停止時の案内や作業体制を考えられます |
| 確認したページ・機能と残る問題 | 復旧できた範囲と追加作業を判断できます |
「テスト済み」とだけ書かれた報告より、この記録があるほうが次の担当者も動けます。実際に使える復元手順と、必要な権限の受け渡し方法を残してもらってください。
最新のバックアップにも改ざんされたデータが入っていることがあります
改ざんからの復旧では、直近のバックアップに不正なデータが含まれていないかを確認し、戻す世代を選びます。
異常が見つかった日と、書き換えられた日は同じとは限りません。直前の保存データへ戻しても、すでに問題が入っていることがあります。一方、古いデータを選べば、その間に追加したお知らせや設定が失われます。残る記録を使って状態を調べ、どのデータを戻し、どの更新を作り直すか決めます。
保存間隔と保持期間は、更新頻度と失って困る情報で考えます。公式サイトの記事、問い合わせデータ、外部の予約管理システムでは、保存の担当と復旧方法が異なります。公式サイトのバックアップに、外部サービスの予約情報まで含まれると思い込まないことも必要です。改ざん後の復旧確認では、除去と再発防止の確認も説明しています。
考察：バックアップからサイトを戻す作業も見積もってもらいます
バックアップがあるという説明は、どの状態まで、何を使って戻せるかが分かって初めて、事故時の判断に使えます。今回の二つの調査では、保存の中身と保管場所に、それぞれ問題がありました。保守会社には、最後に復元を試した日と、戻せた範囲を聞いてください。試していなければ、その試験も保守の仕事として見積もってもらいます。
復元できることが分かったら、次は戻したサイトをどう維持するかです。公開側で動くプログラムを減らす方法はWordPressの静的化で、変更後の状態を見守る仕事はサイト監視と対処・再検証で説明しています。復元は、更新や監視を続けるための準備にもなります。
Maximizeは、保存対象と保存先の点検から、隔離した環境での復元確認、サイトの修正後の動作確認まで対応します。現在のバックアップが使えるかを確認するところから依頼できます。セキュリティ対策の内容はこちら。
この記事の前提と条件
当社事例は2026年10月31日と11月4日の調査に基づきます。前者は保存ファイルの状態、後者はサーバー内のファイルと外部応答、保存されていたアクセス記録の確認です。二つの調査の結果を合算した事故件数や割合は示していません。一般的な復元・保管の説明はWordPressとCISAの資料を2026年11月10日に確認しています。
この調査で言えないこと
事例のバックアップを実際に復元する試験は行っていません。外部へのファイル公開は確認していますが、第三者による取得や情報漏えいを確定したものではありません。調査対象外の保存先、対象施設の現在の状態、事故時に必要な復旧時間は未確認です。
Maximize株式会社について
ホテル・旅館の集客を、Webサイト制作、写真・映像制作、広告運用、AI検索対策で支援し、業務のソフトウェアも開発している。セキュリティ対策の詳細
この記事の内容は、出典「Maximize株式会社『バックアップからWebサイトを元に戻せますか』」を明記して引用してください。調査・参照資料の条件は本文に記載しています。
