この記事でわかること
  • いま国内で相次ぐ不正アクセスの傾向（IPA・JPCERT/CCの注意喚起）
  • 攻撃者が実際にやっていること
  • 自社サイトで今すぐ点検したい5つのこと
  • おかしな形跡を見つけたときの考え方

2026年9月ごろから、金融機関や通信事業者など、国内の幅広い事業者で、不正アクセスによる情報漏えいの公表が相次いでいます。IPAは10月9日、JPCERT/CCは10月8日（10月23日更新）に、それぞれ注意喚起を出しました。「大きな会社の話でしょ」と思われるかもしれません。ただ、そこで挙げられている手口は、中小企業の公開サイトやシステムにも、そのまま当てはまるものです。この記事では、公的機関の発表をもとに、自社で今すぐできる点検を5つに絞ってお伝えします。

いま、何が起きているのか

🌐
侵入の起点は「外に公開しているもの」と「アカウント」
IPAは、公表事例の傾向から、外部公開しているアプリケーションやサービスの侵害と、アカウントの侵害が侵入の起点になっていると考えられるとしています。
🧩
ひとつの脆弱性が原因ではない
JPCERT/CCによると、複数の製品・サービスにまたがる被害で、共通の単一の脆弱性によるものではありません。標的ごとに手口を変えている可能性があります。
🗂️
表に出ない「管理用のシステム」も狙われる
一般の利用者向けアプリだけでなく、BIツールや従業員向けの管理システムなど、不特定多数が使う想定ではないシステムにも被害が出ています。
🤖
AIを使った探索ツールの悪用も確認
JPCERT/CC（10月23日追記）は、AIを用いたペネトレーションテスト（侵入テスト）用の基盤を使い、公開Webアプリの脆弱性探索や設定ファイルの窃取を試みる事例が確認されたとしています。

なお、IPAのページには個別の事案名は記載されていません。盗まれた情報は、公開するという脅迫や、不正な売買につながる傾向があるともされています。

攻撃者が実際にやっていること（JPCERT/CC）

特別な技術というより、「更新されていない」「外から見える」「置きっぱなし」という、日頃の管理のすきを順番に探す攻撃だと言えます。

自社サイトで今すぐ点検したい5つのこと

① 外に公開しているものを、洗い出す

ホームページ本体だけでなく、お問い合わせ・予約・会員のシステム、管理画面、クラウドサービスやVPNなど、インターネットから届くものを一覧にします。IPAも、利用している外部サービスを、できる限り網羅的に洗い出すよう求めています。「誰が作って、誰が管理しているか」まで書き出すと、抜けが見つかります。

② 「置きっぱなしのファイル」がないか確かめる

設定ファイル、バックアップ（過去のサイトを丸ごと固めたファイルなど）、テスト用のページが、外から見える場所に残っていないかを確認します。制作会社が作業用に置いたまま、というケースが少なくありません。見つけたら、削除するか、外から見えない場所へ移します。

当社の外周点検データから

当社が北関東の公開サイト約2万3千件を、外部から見える情報の範囲で自動診断したところ、管理画面（ログイン画面）が外から見える状態のサイトは約3割ありました。見えていること自体がすぐ侵害につながるわけではありませんが、攻撃者が最初に探す場所のひとつです。

③ 管理画面とログインを守る

IPAは、認証の強化（多要素認証、パスワード）と、アカウントの棚卸しを挙げています。具体的には、次の点を確認します。

④ 更新されていないものを、なくす

CMS（WordPressやMovable Typeなど）、プラグイン、そのサーバーのPHPなど、構成要素のどれかが古いままだと、そこが入口になります。直近でも、PHP、WordPress本体、Movable Typeに重要な更新が出ています。それぞれの確認方法は、関連記事にまとめています。

⑤ ログを残す。そして、不要なデータは持たない

異常に気づくには、ログ（アクセスや操作の記録）が必要です。ログを取っているか、どれくらいの期間残っているかを、レンタルサーバーや各サービスで確認しておきます。あわせて、使い終わった個人情報や、保存期間を過ぎたデータは消す。「盗まれて困るデータを、そもそも持たない」のがいちばん確実な備えです。IPAも「不要な情報は持たない」を基本に挙げています。

もし、おかしな形跡を見つけたら

知らないアカウントがある、身に覚えのないファイルがある、ログに不審なアクセスが並んでいる。そうしたときは、原因が分からなくても、まず「セキュリティの事案かもしれない」として扱うのが、IPAの案内の考え方です。自社だけで調べ切ろうとせず、専門のセキュリティ事業者への詳細調査の依頼が強く勧められています。JPCERT/CCも、インシデント対応の相談窓口を設けています。

経営者に向けて

IPAは、経営者が認識すべき考え方として、「経営者主導で進める」「取引先や委託先を含めて見る」「平時も緊急時も関係者と連絡を取り合う」の3つを挙げています。まずは、SECURITY ACTIONの宣言のように、小さく始められる一歩から取りかかるのがおすすめです。

無料相談・費用契約なし

「外からどう見えているか」を、
無料で点検します。

公開情報の範囲で、管理画面の露出、CMSやPHPのバージョンの露出、SSLの状態を点検し、優先度の高い対策から整理してお渡しします。押し売りはしません。

無料でサイト点検を受ける → 管理画面の自己チェックを読む
オンライン対応・押し売りなし

よくある質問（FAQ）

うちは小さな会社です。それでも狙われますか？

JPCERT/CCによると、攻撃者は標的ごとに既知の脆弱性や設定の不備を探します。会社の規模ではなく、外から見える状態の管理が手薄かどうかが、狙われやすさにつながります。まずは公開しているものの洗い出しから始めてください。

何から手をつければよいですか？

最初は「①外に公開しているものの洗い出し」です。ホームページ、フォーム、管理画面、利用しているクラウドサービスを一覧にし、誰が管理しているかを書き出します。それだけでも、更新漏れや退職者のアカウントなどの抜けが見つかります。

多要素認証（二段階認証）は、必ず設定したほうがよいですか？

IPAは、認証の強化として、多要素認証とパスワードの見直しを挙げています。管理画面やクラウドサービスで設定できるものは、設定しておくことをおすすめします。

自社サイトのログは、どこで見られますか？

レンタルサーバーの管理画面や、各クラウドサービスの管理画面にアクセスログや操作ログが用意されていることが多いです。保存期間はサービスごとに違うため、いつまで残るかも確認しておきましょう。分からない場合は、サーバー会社や制作会社に問い合わせてください。

被害にあったかもしれないと思ったら、どうすればよいですか？

原因が分からなくても、まず事案として扱い、専門のセキュリティ事業者に調査を相談してください。JPCERT/CCもインシデント対応の相談窓口を設けています。自分で原因を探してファイルを消すと、調査に必要な痕跡が失われることがあるため、あわせてご注意ください。

まとめ｜公開しているものを洗い出し、更新・ログイン・データを見直す

今回の注意喚起が示しているのは、特別な攻撃ではなく、「外に公開しているものの管理」と「アカウントの管理」の大切さです。①公開しているものの洗い出し、②置きっぱなしのファイルの確認、③管理画面とログインの強化、④更新、⑤ログと不要データの整理。この5つを、できるところから順に進めてください。

参考：IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）、JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開・10月23日更新）。外周点検の数値は、当社による公開情報の自動診断で、侵害の有無を示すものではありません。状況は更新されます。最新情報は各機関の発表をご確認ください。