IPAがランサム対策ハンドブック公開｜HPバックアップを点検

独立行政法人 情報処理推進機構（IPA）が「ランサムウェア被害から学ぶ教訓集 経営者のためのランサムウェア対策ハンドブック」を公開しました。JPCERT/CC のWeekly Report（2026年9月16日号）で告知されたものです。専門部署がない中小企業の経営者・ホームページ担当者がまず何を点検すべきか。結論から言うと「バックアップが本当に“戻せる”状態か」と「サイトやサーバの更新が止まっていないか」の2点を、今週中に確認してください。以下でその理由と、発注側が自分で確認できる手順を整理します。

何が起きたか：IPAが経営者向けの「ランサムウェア対策ハンドブック」を公開

IPA（情報処理推進機構）は、日本の情報セキュリティを担う公的機関です。そのIPAが、実際の被害から得られた教訓をまとめた経営者向けの資料「ランサムウェア被害から学ぶ教訓集 経営者のためのランサムウェア対策ハンドブック」を公開しました。この事実は、セキュリティインシデントの調整機関であるJPCERT/CC が毎週発行する注意喚起「Weekly Report」の2026年9月16日号で取り上げられています。

ランサムウェアとは、パソコンやサーバの中のデータを勝手に暗号化して開けなくし、「元に戻してほしければ金銭を払え」と要求する不正プログラムのことです。近年は「データを盗んだうえで、払わなければ公開する」と二重に脅す手口も報告されています。今回の資料が「担当者向け」ではなく「経営者向け」と銘打たれている点が重要です。対策は現場だけの話ではなく、事業を止めない・信用を守るという経営判断だという位置づけになっています。

一次情報は必ずご自身で確認してください。ハンドブックに含まれる具体的な数値・事例・推奨手順は、本記事では創作せず割愛しています。正確な内容は下記の公式告知からたどれます。

<ul>

<li>JPCERT/CC「Weekly Report」2026年9月16日号：https://www.jpcert.or.jp/wr/2026/wr260916.html#21</li>

<li>IPA（情報処理推進機構）公式サイト：https://www.ipa.go.jp/（サイト内で資料名を検索）</li>

</ul>

この節での持ち帰り：まず上記2つのURLをブックマークし、経営層と担当者の両方で目を通す予定を立ててください。「うちには関係ない」で閉じないことが最初の一歩です。

なぜ制作会社が「経営者向け」の話をするのか：ホームページも標的になる

ランサムウェアというと社内のパソコンやファイルサーバの話に聞こえます。しかしホームページやその裏側のWebサーバもれっきとしたITシステムであり、攻撃の入り口・被害の対象になります。ここが、Web制作会社である当社（AliveCast）がこのニュースをあえて取り上げる理由です。

中小企業のサイトで特に狙われやすいのは、更新が止まったWordPressです。WordPress自体や、機能を追加する「プラグイン」、見た目を決める「テーマ」は、放置すると既知の弱点（脆弱性）が残ります。攻撃者は自動化されたプログラムで、その弱点が残ったサイトを機械的に探し回っています。つまり「うちは無名だから狙われない」は成り立ちません。狙っているのは人ではなく機械であり、機械は無差別です。

もう一つ見落としがちなのがバックアップです。「レンタルサーバが自動でバックアップしてくれているはず」と思っていても、保存期間が短い・同じサーバ内にしか保管されていない・復元を一度も試したことがない、というケースは珍しくありません。ランサムウェアはバックアップごと暗号化しにくることがあるため、「サーバの中にバックアップがある」だけでは安心できないのです。

正直に書きます。どれだけ対策しても、被害の確率をゼロにはできません。当社が管理するサイトでも「絶対に侵入されない」とは保証できません。だからこそ、侵入されても事業を止めない・すぐ元に戻せる備えが要る、というのがハンドブックの「経営者向け」という位置づけとも重なります。

この節での持ち帰り：自社サイトが「WordPressか」「バックアップはどこに・何日分あるか」を、まず担当者か制作会社に一言で聞いてみてください。答えが即座に返ってこないなら、それ自体が点検すべきサインです。

あなたのホームページで今やること：発注側の点検リスト

専門知識がなくても、発注する立場のまま確認できることがあります。以下は当社が中小企業のお客様にお勧めしている点検項目です（IPAハンドブックの引用ではなく、当社の運用上の推奨です）。コピーして、社内メモや制作会社への質問リストとしてお使いください。

<pre><code>■ ホームページ・サーバ 緊急点検リスト（発注側チェック用）

[ ] サイトのバックアップは「いつ」「どこに」「何日分」あるか答えられる

[ ] バックアップはサーバ本体とは別の場所（外部ストレージ等）にも保管されている

[ ] 「戻す（復元）」を実際に試したことがある、または手順書がある

[ ] WordPress・プラグイン・テーマなどが直近1か月以内に更新されている

[ ] 使っていないプラグイン・テーマは削除してある

[ ] サーバのPHP等の基盤ソフトがサポート切れになっていない

[ ] 管理画面のログインパスワードが使い回し・単純でない

[ ] 管理者ログインに二段階認証などの追加の鍵がかかっている

[ ] 退職者・元業者のアカウントが残っていない

[ ] 「サイトが乗っ取られた」ときに最初に連絡する先が決まっている

[ ] レンタルサーバ会社／制作会社の緊急連絡先を控えてある

</code></pre>

この節での持ち帰り：この10数項目のうち「はい」と即答できないものが、あなたの会社の弱点です。まずは1つ、今日中に潰してください。

バックアップは「取れているか」でなく「戻せるか」で見る

バックアップで最も多い誤解が「取っている＝安心」です。実際に事故が起きたときに効くのは「戻せるか」だけです。取得はできていても、いざ復元しようとしたらファイルが壊れていた・手順が分からず何時間もかかった、という失敗は現実に起こります。

判断基準はシンプルです。「最後にバックアップから“復元”を試したのはいつですか？」に答えられなければ、そのバックアップは実質“未検証”だと考えてください。加えて、保管場所を分けることが重要です。サイトと同じサーバの中だけに置いたバックアップは、そのサーバごと被害に遭えば一緒に失われます。理想は「別の場所に」「複数世代」「定期的に復元テスト」の3点です。

当社では、お客様サイトの保守契約時にバックアップの保管先と保存世代を確認し、必要なら外部への二重保管を提案しています。ただし、どの構成が適切かはサイトの規模・更新頻度・ご予算で変わります。「これさえやれば安全」という単一の正解はありません。ここは正直にお伝えします。

この節での持ち帰り：制作会社やサーバ管理者に「バックアップから復元するのに何時間かかりますか」と質問してください。時間が即答されるなら手順が整っている証拠です。答えに詰まるなら、復元テストを依頼しましょう。

WordPressサイトで特に確認したい更新

自社サイトがWordPressの場合、優先度の高い更新は3つです。いずれも管理画面の「更新」画面で状態が分かります。

1. WordPress本体 … 土台そのもの。メジャー更新は表示崩れのリスクがあるため、更新前にバックアップを取ってから当てます。
2. プラグイン … 数が多く、弱点も生まれやすい部分。使っていないものは「停止」ではなく「削除」まで行うのが安全です。
3. テーマ … 使用中のテーマも更新対象です。カスタマイズを直接テーマに書き込んでいると更新で消えることがあるため、制作会社に確認してから当てます。

あわせて、サーバ側のPHPというソフトのバージョンも重要です。サポートが終了した古いPHPのまま動いているサイトは、それ自体が弱点になります。これは管理画面ではなくサーバの管理画面（コントロールパネル）側で確認・変更します。

注意点として、更新は「当てれば終わり」ではありません。更新後に表示崩れや不具合が出ていないかの確認までがワンセットです。だからこそ更新前のバックアップが効きます。順番は必ず「バックアップ→更新→表示確認」です。

この節での持ち帰り：WordPress管理画面の左メニュー「更新」を開き、赤い数字（要更新の件数）が出ていないか今すぐ見てください。出ていたら、まずバックアップの有無を確認してから対応します。自信がなければ制作会社に依頼を。

それでも被害に遭ったら：慌てないための備え

対策をしても被害はゼロにはなりません。重要なのは、起きたときに被害を最小限で止められるかです。一般に推奨されるのは、まず被害を受けた機器をネットワークから切り離して被害の拡大を止めること、金銭要求（身代金）には安易に応じないこと、そして早い段階で専門機関や取引先の制作会社・サーバ会社に連絡することです。

連絡先や初動手順は、被害に遭ってから探すのでは遅すぎます。平時のうちに「誰に・どの順番で連絡するか」を1枚のメモにしておくだけで、初動は大きく変わります。詳しい対応の考え方は、今回のIPAのハンドブックや公的機関の情報を平時に読んでおくことをおすすめします。

この節での持ち帰り：緊急連絡先（制作会社・サーバ会社）と初動メモを1枚作り、担当者以外もアクセスできる場所に保管してください。

ホームページのバックアップ体制や更新の点検に不安がある場合は、当社が現状を確認し、必要な備えをご提案します。「うちのサイトは戻せる状態か」を一度チェックしませんか。お問い合わせはこちら。

よくある質問