ここ数週間、企業や団体から、不正アクセスによる情報漏えいの公表が続いています。取引先から「御社のサイトは大丈夫ですか」と聞かれた方もいるかもしれません。ただ、ホームページは公開したあと、何年も手を入れていないことが少なくありません。この記事では、専門の担当者がいない会社でも確認できるポイントを、国や公的機関の資料をもとにまとめます。
1. いま、何が起きているのか
国とIPAが、点検と見直しを呼びかけ
内閣官房 国家サイバー統括室は2026年10月9日、「不正アクセスによる漏えい等の事案を踏まえた対応について」を公表しました。ウェブシステムの弱点の悪用、委託先などを通じた侵入、データ管理の不備によって、大量の個人情報が盗まれる事案が複数確認されているとして、特に大量の個人情報や機微な情報を扱う事業者に、対策の徹底を求めています。対策は大きく次の3つです。
- ウェブシステム等の適切な管理：アップデートをすぐに当てる、サポートが終わった製品を使わない、多要素認証（2段階認証など）を入れる、退職者や使っていないアカウントを止める
- サプライチェーン（委託先など）を通じた侵害への対策：委託先と一緒に管理するという考え方で、委託先の対策状況を確かめ、契約でセキュリティの要件をはっきりさせる
- データの適切な管理：持つ情報を必要最小限にし、不要になった情報は消す。アクセスの記録（ログ）を取って確認する
文書の終わりでは、サイバー攻撃の被害は「もはや情報システム部門だけの問題ではありません」とし、経営の課題として取り組むよう経営層に求めています。
同じ日に情報処理推進機構（IPA）も、「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公表しました。外部に公開しているシステムの洗い出しと記録の確認、利用している外部サービスの洗い出し、持っているデータの再点検を、急いで行うよう呼びかけています。
中小企業も被害の中心にいる
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）によると、2025年のランサムウェア被害の報告は226件で、組織の規模別では前年と同じく中小企業が約6割を占めました。被害を受けた組織へのアンケートでは、復旧に総額1,000万円以上かかった組織が5割を超え、1か月未満で復旧できた組織は5割強にとどまっています。
なお、同じアンケートでは、ランサムウェアの侵入経路の6割以上がVPN機器でした。ホームページだけでなく、社外から社内につなぐ機器も含めて、更新が止まっていないかを確かめることが大切です。
また、IPAの「情報セキュリティ10大脅威 2026」（組織向け）では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、4位が「システムの脆弱性を悪用した攻撃」でした。自社だけでなく、取引先や委託先も含めて守るという考え方が求められています。中小企業が対策を進めることは、取引先を守ることにもつながります。
2. ホームページで確認したい10項目
ここからは、自社のホームページについて確認したい点です。制作会社や保守会社に任せている場合は、この一覧をそのまま見せて、答えてもらうのも良い方法です。
| No. | 確認すること | 見るポイント |
|---|---|---|
| 1 | 通信が暗号化されているか（https） | アドレスが「https://」で始まり、ブラウザに警告が出ないか。SSL証明書の期限が切れていないか、自動で更新される設定か |
| 2 | サイトの仕組み（CMS）とプラグインが最新か | WordPressなどのCMS、プラグイン、テーマを最後に更新したのはいつか。使っていないプラグインや機能が残っていないか |
| 3 | サポートが終わった製品を使っていないか | サーバーのOSや、PHPなどの動作環境のサポートが終わっていないか |
| 4 | 管理画面のログインが守られているか | 推測されやすいパスワードになっていないか。何度も間違えたときに止める仕組みや、2段階認証などの多要素認証があるか |
| 5 | 使っていないアカウントが残っていないか | 退職した人や、以前の制作会社のアカウントが残っていないか。管理者の権限を持つ人を絞れているか |
| 6 | 見えてはいけない情報が外から見えていないか | ログインに使う名前、ソフトのバージョン、設定ファイル、バックアップファイル、作業用のメモなどが、外から見える場所にないか |
| 7 | お問い合わせフォームの情報がどこに保存されているか | 届いた個人情報が、どこに、どのくらい保存されているか。不要になった情報を消しているか |
| 8 | バックアップが取れていて、戻せるか | 実際にそこから元に戻せるか。サイトとは別の場所に保存されているか |
| 9 | 委託先との役割分担がはっきりしているか | サーバー、ドメイン、サイトの更新を、それぞれ誰が担当しているか |
| 10 | 何かあったときの連絡先が決まっているか | 改ざんされた、表示されないといったときに、誰に連絡し、誰が判断するか |
2と3について、国の注意喚起でも、使っていないシステムや機能を止めるか削除すること、サポートが終わった製品やバージョンを使わないことが求められています。4と5は、多要素認証の導入や不要なアカウントの無効化として、10は事故が起きたときの対応の態勢づくりとして、同じ文書に挙げられています。
中でも見落としやすいのが9です。サーバーは前の担当者、ドメインは別の会社、サイトの更新は制作会社、というように分かれていて、「誰も更新していなかった」という状態が、いちばん危険です。まずは担当を書き出すところから始めてください。
3. 全部を自社でやろうとしなくていい
10項目のうち、1、5、9、10は社内でも確認できます。2から4、6から8は、サーバーやCMSの設定に関わるため、専門の知識が必要になることがあります。
IPAは中小企業向けに「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）を公開しており、25の質問に答えて自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」も用意しています。まずはこうした公的な資料で全体像をつかみ、手が回らない部分を専門家に相談するのが現実的です。
4. LEONIAの無料セキュリティ診断
LEONIAでは、ホームページの安全性を外から確認する無料の診断を行っています。公開されている情報をもとに、次の点を確認し、結果をお伝えします。
- https（暗号化）と証明書の状態
- ログインに使う名前やバージョン情報が見えていないか
- 管理画面のログインが守られているか
- 不正なログインへの備え
- 見えてはいけないファイルや設定が外から見えていないか
- 知られている弱点や、設定の抜け漏れ
診断のあとに対策が必要な場合は、内容をご説明したうえでお見積りをお出しします。その後の定期的な確認や更新などの保守もお任せいただけます。
LEONIAはホームページを作る会社です。作って終わりではなく、公開したあとも守り続けることまでを、ひとつの仕事として考えています。「うちのサイトは大丈夫だろうか」と思った方は、お問い合わせフォームから「セキュリティ診断希望」とご連絡ください。
本記事は、公的機関の公表資料をもとにした一般的な情報です（2026年10月14日時点）。個別の状況に応じた対策は、専門家にご相談ください。
出典：内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）／IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）／警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）／IPA「情報セキュリティ10大脅威 2026」／IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版
よくある質問
- 小さな会社のホームページでも狙われますか？
- 狙われる可能性があります。警察庁によると、2025年に報告されたランサムウェア被害の約6割は中小企業でした。会社の規模にかかわらず、更新やログインの守りを確認しておくことが大切です。
- 制作会社に任せていれば安心ですか？
- 契約の内容によります。サーバー、ドメイン、サイトの更新を、それぞれ誰が担当しているかを確認してください。国の注意喚起でも、委託先と一緒に管理するという考え方が求められています。
- LEONIAの無料診断では何をしますか？
- 公開されている情報をもとに、httpsと証明書の状態、ログインの守り、見えてはいけない情報が外から見えていないかなどを確認し、結果をお伝えします。対策が必要な場合は、内容をご説明したうえでお見積りをお出しします。