Webサイトとクラウドのセキュリティ対策｜相次ぐ情報漏えいを受けて、中小企業が今すぐ確かめる12項目

「大きな会社の情報漏えいのニュースが続いているけれど、うちのような会社には関係ないだろう」。「サイトは制作会社に任せているし、ふつうに表示されているから大丈夫なはず」。経営者の方から、こうした声をよく聞きます。

ところが2026年の秋に相次いだ不正アクセスでは、攻撃者が利用者に見える画面ではなく、その裏にある管理機能やデータのやりとりの仕組みを狙っていたことが分かってきました。そして、それを探す作業の多くは、AIなどを使って自動で行われていました。

この記事では、何が起きたのかを公的機関の発表をもとに整理したうえで、Webサイト・問い合わせフォーム・クラウドのツールを使っている会社が今すぐ確かめたい12項目と、その優先順位、進め方、もしものときの初動をまとめます。

結論：まず「一覧」、次に「入口をふさぐ」

1. 01一覧にする

   使っているWebサイトとツール、そこに入れる人、顧客データの置き場所を書き出します。見えていないものは守れません。

2. 02入口をふさぐ

   管理者の多要素認証、不要なアカウントの停止、ソフトの更新。この3つを最優先で終わらせます。

3. 03持ちすぎない・気づける

   古いデータを消して、漏れたときの被害を小さくします。異常に気づき、すぐ動ける手順も決めておきます。

セキュリティ対策というと、高い製品や専門の知識が必要だと思われがちです。しかし、公的機関がまず求めているのも、今あるものを把握し、使っていない入口を閉じることです。

2026年秋、国内で何が起きたのか

2026年9月ごろから、国内の企業や組織が不正アクセスによる情報漏えいを相次いで公表しました。これを受けて、JPCERTコーディネーションセンター（JPCERT/CC）は10月8日に注意喚起を出し、10月9日と10月23日に内容を追記しています。そこでは、確認された攻撃が5つの型に整理されています。

出典：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月23日更新）

JPCERT/CCは10月15日に、攻撃に使われたサーバーの調査結果も公開しました。そこには、スマホアプリの配布ファイルや、アプリの中身を調べるための道具が残されていました。同じころ、情報通信研究機構（NICT）も、公開されているアプリを調べて、その接続先のサーバーを攻撃する手口（A2B攻撃）について注意を呼びかけています。アプリそのものに問題がなくても、接続先のサーバー側で利用者の確認や権限の確認が甘ければ、情報が漏れるという点が要点です。

出典：JPCERT/CC「連続不正アクセス事案の攻撃手法に関する調査」（2026年10月15日）／総務省「公開アプリの解析情報を悪用した攻撃への注意喚起」（2026年10月13日、NICTの注意喚起を紹介）

あわせて、情報処理推進機構（IPA）や個人情報保護委員会、国の関係機関も、事業者に至急の点検を求めました。IPAは、外に公開しているシステムの記録（ログ）の確認と更新、部署ごとに契約しているものも含めたクラウドのツールの洗い出し、作った覚えのないアカウントの確認を、経営者が主導して行うよう求めています。個人情報保護委員会は、なりすましに強い多要素認証の導入と、不要な個人データの消去を呼びかけています。

出典：IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）／個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）

なお、公表された事件のすべてで同じ手口が使われたと分かっているわけではありません。原因を調査中の事件もあります。それでも、守るべき範囲が「サイトの見える部分」だけではなくなったことは、各機関の発表に共通しています。

「うちは小さいから大丈夫」が通用しない理由

• 狙われるのは、知名度ではなく「入れる場所」今回の攻撃では、AIなどを使って多くのサイトの弱いところを自動で探していました。有名かどうかではなく、更新されていない部分や、閉め忘れた管理画面があるかどうかで狙われます。
• 小さな会社でも、守るべき情報は意外と多い数年分のお問い合わせ、見積もりの依頼、ネットショップの購入者の情報。フォームの送信内容が、サイトの中・担当者のメール・顧客管理のツールの3か所に残っていることもよくあります。
• 「誰が見るのか」が決まっていないサイトの更新を担当する人はいても、ツールの契約やアカウントの管理を担当する人が決まっていない会社は少なくありません。辞めた人や、契約の終わった外注先のアカウントが残る原因になります。

見直すのは、Webサイトだけではない

多くの会社のWeb集客は、いくつものツールがつながって動いています。広告からサイトに来てもらい、フォームで問い合わせを受け、顧客管理のツールに入れ、メールで案内する。便利な一方で、入口とデータの置き場所が、知らないうちに増えていきます。

① Webサイト・CMS

WordPressなどのCMSは、本体・テーマ・プラグインの更新が止まると、そこが入口になります。使っていないプラグイン、公開したままのテスト用のページ、置きっぱなしのバックアップも確かめます。WordPressの弱点の多くがプラグインにあることは、自社サイトをWordPressから卒業した理由でも紹介しています。

② 問い合わせフォームと顧客情報

送られた内容が、どこに保存され、誰が見られるか。サイトの中、通知メール、顧客管理のツールに同じ情報が重なって残っていないかを確かめます。

③ クラウドのツール（メール・ファイル共有・チャットなど）

ツールそのものが危ないのではなく、使い方が問題になります。管理者の多要素認証、辞めた人のアカウント、広すぎる共有リンク、つないだ外部アプリの権限を確かめます。

④ 広告・アクセス解析・顧客管理のツール

広告のアカウントには予算を動かす権限が、解析や顧客管理のツールには事業の大事な数字が入っています。サイトに入れたタグ（計測のコード）も、外にデータを送る仕組みです。使っていないタグは外します（表示も速くなります。表示速度を改善する3つの指標と直す順番）。

⑤ 外注先に渡した権限

制作会社、広告代理店、フリーランスの方などに渡した権限が、契約の終わった後も残っていないか。誰に、どこまで入れるようにしているかを一覧にします。

クラウドのツールは、提供する会社が安全な土台を用意していても、共有の設定やアカウントの管理は使う側の責任です。「有名なサービスだから大丈夫」ではなく、自社の設定を確かめることが欠かせません。

今すぐ確かめたい12項目

次の表を、自社の状況と見比べてみてください。「分からない」も、答えの1つです。分からない項目が、まず確かめるべきところです。

※ 優先度は一般的な目安です。扱う情報の種類やシステムの作りによって変わります。

JPCERT/CCも、業務に必要のない管理機能をインターネットに公開しないこと、保存期間を過ぎたデータを残さないことを、汎用的な対策としてあげています。入口を減らし、持つデータを減らす。この2つは、費用をかけずに今日から始められます。

点検の進め方

1. 一覧にする

   使っているWebサイト、ドメイン、サーバー、クラウドのツールを書き出し、それぞれの管理者・使っている人・外注先を横に並べます。経理の支払い記録やカードの明細を見ると、部署ごとに契約しているツールも見つかります。

2. 入口をふさぐ

   管理者のアカウントに多要素認証を設定し、辞めた人や契約の終わった外注先のアカウントを止めます。CMSやプラグインを更新し、使っていないものは外します。

3. 持ちすぎない

   フォームの送信内容や顧客リストを、どこに・いつまで置くかを決めます。使い終わったCSVファイルや、何年も前のお問い合わせのデータを消します。

4. 気づける・動けるようにする

   ログインの記録を誰がいつ見るかを決め、漏えいに気づいたときの連絡先と手順を1枚にまとめます。最後に、この点検を毎月の予定に入れて、担当者を決めます。

もし漏えいに気づいたら：初動と報告

どれだけ備えても、事故をゼロにはできません。だからこそ、起きたときに迷わない手順を先に決めておきます。

1. 広げない怪しいアカウントを止め、パスワードを変え、必要なら該当の機能やページを一時的に止めます。
2. 記録を残すログは消さずに保存し、いつ・何に気づいたか・何をしたかを時刻つきで書き残します。
3. 専門家に相談するIPAは、異常が見つかった場合はセキュリティの事故として扱い、専門の調査会社に詳しい調査を頼むことを強くすすめています。
4. 報告と連絡個人データの漏えいのうち、次のどれかに当たる場合は、個人情報保護委員会への報告と、本人への通知が法律で求められています。

個人情報保護委員会への報告は、気づいてから速やかに（目安は、おおむね3〜5日以内）行うよう案内されています。不正アクセスによる漏えいは、人数が少なくても報告の対象になりうる点に注意してください。また、漏えいが報じられると、その会社を名乗る偽のメールが出回ることがあります。お客様への連絡では、公式のサイトから確認するよう呼びかけます。

出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」。具体的な判断が必要な場合は、弁護士などの専門家にご相談ください。

ケースで見る：ツールの一覧づくりから始めた住宅リフォーム会社

まとめ

今回の情報漏えいから学べるのは、守る範囲が「見えるサイト」から「つながった仕組み全体」に広がったということです。まずは一覧をつくり、入口をふさぎ、持つデータを減らし、もしものときの手順を決める。どれも特別な製品は必要ありません。

サイトの保守を外に頼んでいる場合は、何をどの頻度で更新しているかを書面で確かめることも大切です。確かめ方は、サイトリニューアルで損しない制作会社の選び方で解説しています。

Webサイトやツールの管理に不安がある方へ

「サイトは前の制作会社に任せたままで、更新されているか分からない」「辞めた人のアカウントが残っているかもしれない」「問い合わせのデータがどこにあるのか把握できていない」。こうした状態は、多くの会社で起きています。

私たちガレージファクトリーは、集客のためのサイトやツールを作り、運用してきた立場から、Webサイト・フォーム・マーケティングのツールの「一覧づくり」と、直す順番の整理をお手伝いします。

• 今使っているサイトとツール、入れる人、データの置き場所を一緒に整理します。
• 直す順番と、自社でできること・外に頼むべきことを分けてお伝えします。
• 入口を減らしたい場合は、管理画面やデータベースを持たない静的なサイトへの作り替えもご提案できます。

なお、システムの弱点を専門に調べる診断や、不正アクセスの調査は、専門の会社の領域です。必要な場合は、その旨をはっきりお伝えし、何を依頼すればよいかの整理をお手伝いします。まずは無料のご相談からお気軽にどうぞ。