不正アクセス相次ぐ今、ホームページで点検すべき4つのこと

国内の組織で不正アクセス・情報漏えいが相次いでいます

国内で不正アクセスによる情報漏えいが相次ぎ、公的機関が点検を呼びかけています。中小企業のホームページで今確認したい4つのことをまとめました。

2026年9月前後から、国内の組織で不正アクセスによる個人情報の漏えいが相次いでいます。JPCERT/CC（JPCERTコーディネーションセンター）は10月8日に、IPA（情報処理推進機構）は10月9日に、それぞれ注意喚起を公開し、点検を急ぐよう呼びかけました。特定の製品を一斉に狙った攻撃とは、現時点では断定されていません。

今回の注意喚起の背景には、金融機関や通信事業者など幅広い事業者から相次いで公表された、大規模な情報漏えいの被害があります。ただ、公的機関が伝えているのは「どの会社がやられたか」ではなく、「どんな弱点が突かれているか」「だから何を点検すべきか」です。ホームページを運営する立場でも、この点だけは押さえておく価値があります。

一次情報は次の2本です。社内でセキュリティを見ている方がいれば、あわせて共有してください。

JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開）

IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日公開）

JPCERT/CCは今回の一連の攻撃について、一つの共通する弱点を悪用しているのではなく、相手ごとにさまざまな既知の弱点の有無をスキャン（探索）して悪用を試みている可能性がある、と説明しています。さらに、弱点そのものではない「機器の管理の不備」を突く攻撃（環境設定ファイルやバックアップファイルの窃取など）を試みている可能性も指摘しています。被害は一般利用者向けのアプリだけでなく、社内の業務システムのように「外から人が来ることを想定していなかったシステム」にも及んでいます。

IPAは経営者に向けて、「外部に公開しているもの」「自社が使っている外部サービス」「自社が持っているデータ」の3つを速やかに点検するよう求めています。キーワードは「不要な情報は持たない」。自社が持っている情報を正確に把握し、必要最小限にすることを基本原則として挙げています。JPCERT/CCも、保存期間を過ぎたデータや利用目的を終えたデータを残さないよう求めています。

一方で、落ち着いて見ておきたいことがあります。これらの注意喚起は、大量の個人情報を扱うアプリやシステムの被害が中心で、中小企業のホームページそのものが主な標的だと書かれているわけではありません。ニュースの見出しだけを見て過度に不安になる必要はありません。

なお、JPCERT/CCの注意喚起には、調査に使える不審なアクセス元の情報なども掲載されています。これはセキュリティの専門家や調査ベンダーが使うもので、ホームページの担当者が自分で手を動かす種類の情報ではありません。必要なときは、上記の原文をセキュリティ担当や制作会社に渡してください。

なぜ中小企業のホームページにも関係するのか

こうした攻撃は「特定の1社」ではなく「弱点のある場所」を機械的に探すものです。古いまま放置されたCMS（ホームページの管理システム）や追加機能、公開場所に残ったバックアップ、使われていない管理用アカウントは、会社の規模に関係なく見つかるおそれがあります。だから中小企業のサイトも「点検する側」です。

ここからはAliveCastの見解です。今回の注意喚起で公的機関が指摘している「弱点」のうち、いくつかは中小企業のホームページにもそのまま当てはまります。

1つ目は「既知の弱点を幅広く探す」という攻撃の性質です。この種の攻撃では、人の目で1社ずつ選ぶのではなく、ツールを使って機械的にスキャンし、古いまま放置された部分を探します。「うちは小さいから狙われない」は、この種の攻撃には通用しません。相手は会社の大小を見ていないからです。多くのホームページは、WordPressなどのCMS（ホームページを更新するための管理システム）と、プラグイン（追加機能）、そしてサーバー上で動くPHPというプログラムの組み合わせで動いています。これらに修正プログラム（アップデート）が当たっていないと、公開されている「既知の弱点」のリストに載ったまま放置することになります。

2つ目は「管理の不備を突く」という点です。JPCERT/CCは、弱点そのものだけでなく、環境設定ファイルやバックアップファイルが窃取される例を挙げています。ホームページの世界でも、リニューアルや修正のときに作った古いバックアップ（例: backup.zip のようなファイル）や設定ファイルが、誰でもアクセスできる公開場所に置きっぱなしになっていることがあります。その中にはデータベースへの接続情報などが含まれることがあり、置き忘れ1つが侵入の入口になりえます。

3つ目は「使っていないアカウント」と「不要な情報」です。IPAは「作ったはずのないアカウントがないか」「不要な情報を持たない」ことを点検項目に挙げています。ホームページでも、辞めた担当者や昔の制作会社の管理用アカウントが残っていたり、お問い合わせフォームに届いた個人情報がサイト側にずっと溜まり続けていたりします。溜まった個人情報は、万一侵入されたときに漏れてしまう「持っているだけでリスクになる情報」です。

正直にお伝えすると、これらを点検・対策しても、サイバー攻撃を完全に防げることを保証するものではありません。弱点は日々新しく見つかりますし、攻撃の手口も変わります。それでも「放置された古い部分」を減らしておけば、機械的なスキャンの網にかかりにくくなります。できることをやっておく意味は十分にあります。

あなたのホームページで今やること

ホームページの更新や保守を制作会社に任せている場合、ご自身で管理画面にログインして操作する必要はありません。むしろ、慣れない操作はトラブルのもとです。やることは「制作会社（保守の担当）に確認・依頼する」ことと、「見るだけ・入力するだけで済む確認」の2つに絞ります。

制作会社に一言で確認すること

次の4点を、保守をお願いしている制作会社にそのまま送れば大丈夫です。

• CMS（ホームページの管理システム）と追加機能、サーバーのPHPは最新に更新されていますか。未更新のものがあれば対応をお願いします。
• サーバーの公開場所に、古いバックアップファイルや設定ファイルが置きっぱなしになっていませんか。不要なら削除をお願いします。
• 使っていない管理用アカウント（辞めた担当者・過去の業者のものを含む）が残っていませんか。棚卸しをお願いします。
• お問い合わせフォームの内容がサイト側にずっと溜まり続けていませんか。保存が不要なら、溜めない設定にできますか。

いずれも「今すぐ全部直して」という話ではなく、「今どうなっているか教えてください」という確認から始めれば十分です。状況が分かれば、優先順位をつけて対応を相談できます。保守契約の範囲で対応できることも多いはずです。

自分でできる確認（URLを入れるだけ）

制作会社に聞く前に現状をざっくり知りたい、という方のために、当社では無料のチェックをご用意しています。ホームページの無料セキュリティチェックは、ご自身のサイトのURLを入れるだけで、公開されている情報の範囲で5つの分野を確認します。登録は不要で、結果はその場で表示されます。結果の詳しいレポートは、サイトの管理者の方にだけお送りします（公開情報だけを見る確認で、ログインやサイトへの侵入は一切行いません）。

繰り返しになりますが、このチェックや上記の対策を行っても、サイバー攻撃を完全に防げることを保証するものではありません。それでも、「古いまま放置された部分」を見つけて減らしておくことは、今回のような機械的なスキャン型の攻撃に対して有効な第一歩です。

ホームページのセキュリティについて、現状を点検したい・何から手をつければよいか相談したい、という方は、お気軽にお問い合わせください。福岡を拠点に、ホームページの制作から保守・運用までをお手伝いしています。

よくある質問