会社のホームページは大丈夫？ セキュリティ対策7つのチェックリスト相次ぐ不正アクセスを受けて、今確認しておきたいこと

「うちのホームページ、最後に更新したのはいつだろう？」

お知らせの更新ではなく、WordPressやプラグインの更新のことです。制作会社に任せているから大丈夫、と思っていても、改めて聞かれると答えに迷う方は多いのではないでしょうか。

制作会社に管理をお願いしていても、更新やバックアップが契約に含まれているとは限りません。公開まではお願いしたけれど、その後の管理は決めていなかった。毎月の保守費は払っているけれど、何をしてもらっているのかは把握していない。中小企業のホームページでは、そうしたことも珍しくありません。

2026年10月には、不正アクセスによる情報漏えいが相次いだことを受けて、IPA（情報処理推進機構）やJPCERT/CCなどの公的機関が、続けて注意喚起を出しました。自社のホームページの管理を見直すには、ちょうどよいきっかけだと思います。

この記事では、ニュースのうちホームページに関係する部分を短く整理したうえで、確認しておきたい7つのことと、制作会社に聞いておきたいことをまとめました。社内のパソコンやメールなど、会社全体の対策については、IPAの「5分でできる！情報セキュリティ自社診断」が参考になります。

2026年9月から10月にかけて、何が起きていたのか

JPCERT/CCは10月8日、9月前後から国内の組織で不正アクセスによる情報漏えいが相次いでいるとして、注意喚起を公開しました。翌9日にはIPAが、企業の経営者に向けて、外部に公開しているシステムや利用中のサービスの点検を呼びかけています。

対象は主に、大量の個人情報を扱うWebサービスやアプリです。IPAは、特定の製品やサービスの脆弱性（プログラムの弱点）を狙った攻撃とは断定されていない、としています。

ホームページに関係しそうな3つの出来事

同じ時期に公表された出来事のうち、中小企業のホームページにも通じるものを3つ挙げます。起きたことも原因も、それぞれ別の話です。上の注意喚起がこの3つを名指ししているわけではなく、3つが同じ攻撃によるものだという発表もありません。

• 漏えい委託しているサービスから情報が漏れた

  ECサイトの構築サービス「ショップサーブ」で、利用店舗の購入者など約2,335万人分の情報が漏えい（Eストアー、10月16日）

  公表されている原因同社サーバー上のアプリケーションの脆弱性を悪用された

• 停止サーバー会社が攻撃され、システムが止まった

  「IDCFクラウド」の一部がランサムウェア（データを使えなくして身代金を求める攻撃）の被害に遭い、495の企業・自治体が影響を受けた（IDCフロンティア、10月14日 第5報）

  公表されている原因第三者によるランサムウェア攻撃

• 改ざんホームページが書き換えられた

  ある専門学校のサイトが改ざんされ、9月28日の約18時間、通常と違う画面が表示された（学校の公式発表）

  公表されている原因第三者による不正アクセス

3つとも、侵入の経路までは公表されていません。WordPressが原因だったという発表もありません。

それでも、自社で作ったものでなくても使っているサービスが被害を受ければ顧客に影響が出ること、自社に落ち度がなくてもサイトやシステムが止まることがあること、情報が漏れなくてもサイトを見に来た人に迷惑がかかること（専門学校の例では、閲覧者に端末のウイルスチェックが呼びかけられました）は、どの会社にも通じる話です。

会社のホームページで気をつけたいこと

今回の大きな事案は、大量の会員情報を持つサービスが狙われたものでした。会社案内やお知らせ、問い合わせフォームが中心のホームページとは、規模も仕組みも違うので、同じことがそのまま自社に起きると考える必要はありません。

ただ、ホームページにも、管理画面に入られてページを書き換えられる、古いプラグイン（WordPressに機能を足す追加部品）の弱点を突かれる、サーバー会社の障害でサイトが見られなくなる、といったことは起こりえます。自社で防ぎきれない出来事もありますが、日ごろの管理によって、被害を防いだり、影響を小さくしたりできる部分があります。

ホームページのセキュリティ対策 7つのチェックリスト

まずは、今の状況にいくつ当てはまるか見てみてください。

分からない項目が多くても大丈夫です。分からないことが分かれば、次に誰に何を聞けばいいかが見えてきます。

7つの項目の確認のしかた

1使っているものの一覧がある

ホームページは、サーバー、ドメイン、WordPress、プラグイン、問い合わせフォーム、予約やネットショップの外部サービスなど、いくつものサービスの組み合わせでできています。IPAの点検も、公開しているものと利用しているサービスの洗い出しから始まっています。何を使っているか分からなければ、更新もアカウントの確認もできません。

2WordPressやプラグインの更新が止まっていない

WordPressは、本体・テーマ・プラグインに弱点が見つかると、それを直した新しいバージョンが公開されます。WordPress公式も、常に最新版を使うことを勧めています。

ただ、更新すると表示が崩れることもあります。だからこそ、誰が、どのくらいの頻度で更新し、更新後に表示を確かめているのかを決めておくことが大切です。

3使っていないプラグイン・ページを残していない

停止しているプラグインや使っていないテーマも、サーバーに残っている限り管理の対象です。WordPress公式は、使っていないものは削除するよう勧めています。終わったキャンペーンのページや、制作途中のテスト用サイトが公開されたままになっていることもあります。

4管理画面に入れる人を把握している

WordPressの「ユーザー」の画面では、管理画面に入れる人の一覧が見られます。退職した人や以前の制作会社のアカウントが、そのまま残っていることがあります。IPAも今回の点検で、作成した覚えのないアカウントがないかを優先して確認するよう求めています。すべてを変更できる「管理者」の権限は、必要な人だけに絞っておくと安心です。

5管理画面に多要素認証を設定している

パスワードに加えて、認証アプリやスマートフォンなどを使って本人確認を行う多要素認証は、ログインの安全性を高める方法のひとつです。パスワードのように「知っていること」と、スマートフォンのように「持っているもの」など、種類の違う確認を組み合わせます。パスワードだけに頼らないので、パスワードが知られてしまったときの備えにもなります。

WordPress公式も、IPAの今回の注意喚起も、こうした認証の強化を勧めています。Eストアーも再発防止策のひとつに、管理画面の認証強化を挙げていました。サーバーやドメインの管理画面にも、設定できるものがあります。

6バックアップがあり、戻せることを確かめている

バックアップは、改ざんされたときや更新で不具合が出たときに、元の状態に戻すためのものです。

IDCフロンティアは10月8日の第3報で、被害を受けた範囲のデータは取り出しや復元が難しい見通しで、復元は利用者自身が持っているバックアップからのみ可能、と案内しました（その後の第5報で、一部の利用者はバックアップを取り出せると報告しています）。バックアップがサーバーの中にしかないと、サーバーごと被害を受けたときに使えないことがあります。

何日分残っているかも大切です。改ざんに気づくのが遅れると、残っているバックアップがすべて改ざん後のもの、ということもありえます。

7異常に気づいたときの連絡先が決まっている

「見た目が急に変わった」「知らない画面が出る」。そういうときは、自分で直そうとする前に、制作会社や保守の担当者、サーバー会社に連絡するのがおすすめです。IPAも、異常を見つけたら速やかに被害が起きた可能性のある出来事として扱い、専門の事業者に調査を頼むことを強く勧めています。

制作会社や保守会社に聞いておきたい6つのこと

ホームページの管理を制作会社や保守会社に任せるのは、ごく自然なことです。ただ、「任せている」の中身は契約によって違います。更新は含まれていても、更新後の表示確認は含まれていない。バックアップは取っていても、戻す作業は別料金。緊急時の対応は営業時間内だけ。どれも珍しいことではありません。

SOLEIAでも、これまで30件以上のWebサイトの保守・改修に携わってきました。大切なのは、すべてを任せることでも自社で抱えることでもなく、誰が何を担当しているのかがはっきりしていることだと考えています。

次の6つを聞いてみると、今の対応の範囲が見えてきます。

答えが「分からない」「契約に入っていない」でも、それ自体が悪いわけではありません。分かったうえで、自社で担当するのか、契約を見直すのかを決められれば十分です。

まとめ

今回のニュースの多くは、大量の個人情報を持つ大きなサービスの話でした。それでも、使っているものを把握する、更新を止めない、不要なものを残さない、入れる人を絞る、戻せる準備をしておく、という考え方はホームページにもそのまま使えます。

全部を一度に整える必要はありません。まずはチェックリストを見ながら、分からなかった項目を制作会社や保守の担当者に聞いてみてください。誰が何を担当しているのかがはっきりするだけでも、いざというときの動きやすさが変わります。