国内の会社への不正アクセスが相次いでいます｜AIで弱点を探す攻撃に、小さな会社のサイトで備える5つのこと

ニュースで「不正アクセスで個人情報が漏れたおそれ」という発表を、よく見かけるようになりました。

大きな会社の話で、うちの小さなホームページには関係ない、と思っていませんか。

日本の情報セキュリティの窓口であるJPCERT/CCは、2026年10月8日に「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を出し、10月23日にも内容を足しました。

2026年9月ごろから、国内の会社や団体で、不正アクセスによる情報の漏えいが続いているという内容です。

この記事では、注意喚起のうち小さな会社のホームページにも関わる点と、自分で確かめられることをまとめました。

■注意喚起で伝えられていること

・特定の1つの弱点ではなく、さまざまなソフトの「すでに知られている弱点」を探して攻撃している

・弱点がなくても、設定ファイルやバックアップファイルの置きっぱなしなど、管理の不備を狙っている

・AIを使った「弱点を探す道具」を悪用して、インターネットに公開されたサイトを調べる攻撃も確かめられている

・社員向けの仕組みなど、多くの人が使う前提ではないものも被害にあっている

AIを使うと、たくさんのサイトを短い時間で調べられます。

「小さいから狙われない」ではなく、「弱点が残っているところから狙われる」と考えたほうが実態に近いと言えます。

■小さな会社のホームページで備える5つのこと

1. WordPressとプラグイン、テーマを最新にする

注意喚起でも、弱点のある古い版を使っている場合は、直した版に更新するよう勧めています。

管理画面の「ダッシュボード」→「更新」で、更新が残っていないかを見ます。

サーバーの管理画面で、PHPの版が古いままになっていないかも確かめましょう。

2. 公開の場所に、バックアップや設定ファイルの写しを置いていない

サイトの引っ越しや作り直しのときに作ったバックアップの圧縮ファイルや、「設定ファイルの写し」が、だれでも見られる場所に残っていることがあります。

そこにはデータベースのパスワードなどが書かれていることがあり、見つかると入り込まれるきっかけになります。

サーバーのファイルの一覧で、心当たりのない圧縮ファイルや、名前の後ろに「old」「bak」「コピー」と付いたファイルがないかを見ます。

3. 使っていないものを止める

・有効にしていないプラグインや、使っていないテーマ

・作り直す前の古いサイトや、試しに作ったテスト用のサイト

・辞めた人や、取引の終わった制作会社のログインの権利

注意喚起でも、業務に必要のない機能がインターネットに公開されている場合は、公開を止めるよう勧めています。

4. 集めた個人情報を、ずっと残さない

お問い合わせの内容を、WordPressの中に保存するプラグインを使っていることがあります。

何年分も残っていると、漏れたときの被害が大きくなります。

いつまで残すかを決めて、要らなくなったものは消しましょう。

注意喚起でも、保存の期間を過ぎたデータや、使い終わったデータを残さないよう勧めています。

5. 入り口を固め、異変に気づけるようにする

・管理者のパスワードを、ほかで使っていない長いものにする

・ログイン画面に、何回もまちがえたら入れなくする設定を入れる

・二段階認証を入れる

・ログインがあったときに通知が来るようにする

・おかしいと感じたときに、だれに連絡するかを決めておく

■やってはいけないこと

・「様子を見よう」と、更新を何か月も止めたままにする

・不安になって、意味の分からないファイルを手当たりしだいに消す

・サーバーの中のファイルを、確かめずにまとめて公開の場所へ置く

・ログイン情報を、メールやチャットに何度も書いて送る

ファイルを消す前には、バックアップを取ってから行ってください。

WordPressが動くのに必要なファイルを消すと、サイトが表示されなくなります。

■おかしいと感じたら

・知らない管理者が増えている

・覚えのないページや、知らないサイトへのリンクが増えている

・サーバー会社から「不審な通信がある」と連絡が来た

こうしたときは、ファイルを消したり、上書きしたりする前に、画面の写真を残して、専門家に相談してください。

証拠が残っていると、どこから入られたのかを調べやすくなります。

■頼むときに伝えること

・ホームページのアドレス

・サーバーの会社名と、WordPressの版（分かれば）

・最後に更新した時期と、だれが管理しているか

・気になっている点（古いサイトが残っている、知らないファイルがある、など）

・サイトでお客様の情報を集めているか（お問い合わせ、会員、予約など）

■自分で確かめるチェックリスト

・WordPressとプラグイン、テーマの更新が残っていない

・PHPの版を確かめた

・公開の場所に、バックアップの圧縮ファイルや設定ファイルの写しがない

・使っていないプラグイン、テーマ、テスト用のサイトを片付けた

・辞めた人のログインの権利を消した

・保存しているお問い合わせのデータを、いつまで残すか決めた

・二段階認証とログインの通知を入れた

・「ユーザー」の一覧に、知らない管理者がいないのを見た

■よくある質問

Q. 小さな会社のサイトも、本当に狙われますか？

A. 弱点を探す攻撃は、相手の大きさを選ばずに、インターネットに公開されたサイトをまとめて調べます。会社の大きさより、弱点が残っているかどうかが分かれ目になります。

Q. AIを使った攻撃には、特別な対策が要りますか？

A. 探される弱点は、古い版のままのソフトや、置きっぱなしのファイルなど、これまでと同じものです。基本の対策を、もれなく続けることがいちばんの備えになります。

Q. バックアップファイルは、どこに置けばよいですか？

A. だれでも見られる場所ではなく、サーバー会社のバックアップの機能や、手元のパソコンなど、外から見えない場所に置きます。

Q. セキュリティのプラグインを入れれば十分ですか？

A. 助けにはなりますが、更新が止まっていたり、古いファイルが残っていたりすると防ぎきれません。プラグインと合わせて、上の5つを確かめてください。

Q. どのくらいの頻度で確かめればよいですか？

A. 更新は月に1回以上、ファイルや権利の片付けは、サイトを作り直したときや人が辞めたときに見直すのがおすすめです。

■任せたい方へ

ご自分で確かめて片付けられる方は、この手順で十分です。

「サーバーのファイルの見方が分からない」「更新したら表示が崩れそうで怖い」という方には、WordPressの修正をお受けしています。

古いファイルの片付けや、止まっていた更新の対応もご相談ください。

WordPressの修正・不具合を解決します

https://coconala.com/services/748092