セキュリティ
最近、「ホームページのセキュリティが心配になってきた」というご相談が増えています。
ニュースでは、企業から個人情報が漏えいした、ホームページが書き換えられた、システムが使えなくなったといった話を目にします。さらに、AIを使った攻撃や詐欺も話題になっています。
しかし、ホームページやセキュリティに詳しくない方にとっては、次のように感じるのではないでしょうか。
- 何が危険なのか、よく分からない
- 自社のホームページが対象なのか分からない
- 制作会社や保守会社が対応していると思っている
- 何を確認すればよいのか分からない
すべてを自社で理解し、対策する必要はありません。まず大切なのは、ホームページにも定期的な確認が必要だと知り、現在お願いしている会社へ「どこまで見てもらっているのか」を確認することです。
本記事では、ホームページの専門知識がない中小企業の方に向けて、最初に知っておきたいことと、保守会社へ確認したい内容を分かりやすく解説します。
ホームページも、公開したままでは古くなります
ホームページは、一度作れば同じ状態のままずっと使えるものではありません。
見た目が変わっていなくても、その裏側ではさまざまな仕組みが動いています。WordPress、PHP、プラグイン、レンタルサーバーなどが代表的なものです。
難しく考える必要はありません。自動車に例えると、ホームページの画面は車の外見、PHPやWordPressは車を動かすエンジンや部品のようなものです。
車が安全に走るために点検や部品交換を行うように、ホームページも古くなった仕組みを確認し、必要に応じて新しいものへ更新する必要があります。
ホームページが通常どおり表示されていても、裏側の仕組みが古くなっている場合があります。「表示されているから安全」とは限らない点に注意が必要です。
今回、PHPに重大な問題が見つかりました
2026年10月21日、PHP公式サイトは、ホームページへの攻撃につながる可能性がある重大な問題を公表し、修正版への更新を呼びかけました。
PHPは、多くのホームページで使われている仕組みです。特にWordPressで作られたホームページでも広く利用されています。
ただし、「WordPressを使っている会社は、今すぐ自分で何かを操作してください」という意味ではありません。
利用しているサーバーによっては、サーバー会社側で対応される場合があります。制作会社や保守会社が確認している場合もあります。一方で、古い状態のまま使われていたり、誰も確認していなかったりするホームページもあります。
まずは、現在ホームページをお願いしている会社へ、次のように聞いてみてください。
「今回発表されたPHPの問題について、当社のホームページは確認や対応が必要でしょうか」
「必要な場合、誰が確認し、どのような対応を行う契約になっていますか」
この確認だけでも、自社のホームページがどのように管理されているかを知るきっかけになります。
AIによる攻撃は、今後どのように変化するか分かりません
AIの発展によって、ホームページや企業を狙う攻撃が、今後どのように変化するかを正確に予測することは困難です。
すでにAIは、自然な文章を大量に作ることができます。そのため、以前よりも見分けにくい詐欺メールや偽の問い合わせを作ったり、攻撃する会社について短時間で調べたりするために悪用される可能性があります。
IPAの「情報セキュリティ10大脅威 2026」でも、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初めて入りました。
これから、これまでになかった攻撃方法が出てくる可能性もあります。そのため、「この対策だけをしておけば、今後も絶対に安心」と言い切ることはできません。
一方で、必要以上に怖がるだけでは前へ進めません。まずは次のような基本的な状態を作ることが大切です。
- 誰がホームページを管理しているか分かる
- 問題が発表されたときに確認する人が決まっている
- 何かあったときの連絡先が分かる
- 元の状態へ戻すためのバックアップがある
新しい危険をすべて予測することはできなくても、確認する人と相談先が決まっていれば、何かあったときに早く動けます。
「保守契約に入っているから全部安心」とは限りません
ホームページの制作後、毎月の保守費用を支払っている会社も多いと思います。
ここで注意したいのは、「保守」という言葉が指す内容は、会社や契約によって異なることです。
一般的な月額保守には、次のような内容が含まれていることがあります。
- 文章や画像の簡単な修正
- 電話やメールでの相談
- サーバーやドメインの契約管理
- 簡易的なバックアップ
- ホームページが表示されているかの確認
一方で、次のような専門的なセキュリティ対応は、通常の保守とは別契約・別費用になっている場合があります。
- 新しい脆弱性情報の継続的な収集と影響調査
- PHP、WordPress、プラグインなどの安全な更新作業
- 更新前の動作確認や、更新後に不具合がないかの確認
- 不正アクセスや改ざんを見つけるための専門的な監視
- 攻撃を受けた場合の原因調査
- 感染したファイルの除去やホームページの復旧
- 個人情報漏えいの範囲を調べる作業
これは、保守会社が対応を怠っているという意味ではありません。
零細企業や中小企業が支払っている一般的な月額保守費用の中で、24時間の監視や専門的な調査、緊急復旧まですべて行うことは難しい場合があります。専門的な作業には、技術者の時間や専用のサービスが必要になるためです。
大切なのは、現在の保守費用が高いか安いかではなく、その金額に何が含まれ、何が含まれていないかを、お互いに確認しておくことです。
まずは現在の保守内容を確認しましょう
専門用語を覚えたり、高額なセキュリティサービスをすぐに契約したりする前に、現在お願いしている制作会社や保守会社へ確認してみましょう。
次の質問をそのまま使っても構いません。
- 現在使っているWordPressやPHPが古くなっていないか、定期的に確認していますか
- 新しい脆弱性が見つかった場合、連絡をもらえますか
- WordPress、PHP、プラグインの更新は、現在の保守費用に含まれていますか
- 更新によってホームページに不具合が起きた場合、元に戻せますか
- バックアップは、どのくらいの頻度で、どこに保存されていますか
- 改ざんや不正アクセスを監視するサービスは含まれていますか
- 攻撃や情報漏えいが疑われた場合、最初にどこへ連絡すればよいですか
- 現在の保守に含まれない作業は、別途お願いできますか
すべてが保守に含まれていなくても、問題ではありません。
「通常の修正はA社」「サーバーの問題はB社」「セキュリティ事故の調査は専門会社」のように、役割が分かれていても構いません。重要なのは、問題が起きてから初めて担当者を探す状態にしないことです。
もし個人情報の漏えいが疑われたら、最初の対応が重要
お問い合わせフォームや会員情報から個人情報が漏えいした、または漏えいした可能性がある場合、慌ててサイトを初期化したり、関係ファイルを削除したりすると、原因調査に必要な記録まで失うおそれがあります。
まずは次の順序を意識します。
- 被害の拡大を止める：該当機能の停止、アクセス制限、外部公開の一時停止などを、保守担当者やサーバー会社と判断します。
- 記録を残す：発見日時、症状、通知メール、ログ、変更履歴などを保全します。
- 社内外の担当者へ連絡する：経営者、個人情報管理担当、制作・保守会社、サーバー会社などへ速やかに共有します。
- 事実と影響範囲を調べる：何が、いつから、何件、どのように閲覧・取得された可能性があるかを確認します。
- 必要な報告と本人通知を判断する：法令や業界ルールに基づき、専門家と相談して対応します。
- 安全を確認して復旧する：侵入経路を塞ぎ、認証情報を変更し、正常なバックアップなどから復旧します。
- 原因と再発防止策を公表・実施する：分かった事実と未確定事項を分け、対象者に必要な案内を行います。
個人情報保護委員会は、個人の権利利益を害するおそれがある一定の個人データ漏えい等について、委員会への報告と本人への通知を求めています。報告対象の場合、速報は発覚から概ね3〜5日以内、確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内が目安です。
ただし、報告先や必要な対応は業種、漏えいした情報、件数、暗号化の状況などによって異なります。自社だけで断定せず、個人情報保護委員会の最新情報を確認し、必要に応じて弁護士やセキュリティ専門会社へ相談してください。
今からできることは、「知る」「確認する」「連絡先を決める」
今後、AIの発展によって、どのような攻撃や問題が起きるかを完全に予測することはできません。
また、どの会社にも共通する「これだけやれば絶対に安全」という方法もありません。
だからこそ、最初から完璧を目指すのではなく、まず次の三つから始めましょう。
- 知る：ホームページも古くなり、新しい危険が見つかることを認識する
- 確認する：現在の保守契約に、どこまでの確認や対応が含まれているか聞く
- 連絡先を決める：問題が起きたとき、最初に誰へ相談するか決めておく
そのうえで、自社がホームページをどのように使っているかに合わせ、必要な対策を考えます。
会社案内が中心の小さなホームページと、多数の個人情報や決済情報を扱うホームページでは、必要な対策も費用も異なります。すべての会社が同じ内容を契約する必要はありません。
IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」第4.0版でも、バックアップやウェブサイトの安全な運用が、中小企業が取り組む項目として示されています。
まとめ：まず保守会社へ一度確認してみましょう
ホームページのセキュリティは、専門家だけが知っていればよい問題ではなくなっています。
だからといって、経営者や担当者が、PHPやサーバーの専門技術をすべて理解する必要はありません。
まずは、現在ホームページをお願いしている会社へ、次の三つを確認してください。
- 当社のホームページは、今回のPHPの問題に対応が必要ですか
- 脆弱性の確認や更新は、現在の保守に含まれていますか
- 含まれていない場合、誰に相談し、どのくらいの費用が必要ですか
すぐに高度な対策を導入することより、自社の現在地と保守範囲を知ることが第一歩です。
NET.COMでは、アクセス解析やホームページ改善を中心に、Webからの問い合わせ・成果を高める運用をご支援しています。その中で、ホームページの管理体制が不明確な場合には、現在の契約内容や関係会社の役割を一緒に整理します。
「集客の相談とあわせて、今のホームページがどのように管理されているかも整理したい」という場合は、お気軽にご相談ください。
ホームページの運用体制を一度整理しませんか
集客改善を主軸に、現在の管理状況や制作会社・保守会社との役割も確認しながら、今後必要な運用を株式会社NET.COM（ネットコム）が一緒に整理します。
