会社のWebサイトは、問い合わせや採用応募の窓口であると同時に、だれでも外からアクセスできる入口です。従業員数十名の会社のサイトでも、脆弱性を自動で探すプログラムに無差別に調べられ、改ざん、フォームの悪用、情報漏えいといった被害を受けることがあります。「うちは小さいから狙われない」という前提は、2026年の状況では通用しません。
Webサイトのセキュリティ対策は、守るもの（サイト、フォームで預かる情報、ドメインとメール）と担当者を決め、更新・ログインの保護・バックアップ・監視を続け、被害に気づいたときの連絡先と手順を先に決めておくことが基本です。
この記事では、企業サイトが受けやすい7つの脅威と対策の全体像、だれが何を管理するかの体制、被害に気づいたときの初動と公的な相談先を、IPA（情報処理推進機構）やJPCERT/CCなどの公開情報にもとづいて解説します。WordPressの具体的な設定はWordPressのセキュリティ対策チェックリストで扱っています。
企業のWebサイトが狙われる理由（2026年の状況）
攻撃の多くは会社の規模を選ばず、既知の脆弱性や管理の不備を自動で探して入り込むため、中小企業のサイトも対象になります。
IPAが毎年公表している情報セキュリティ10大脅威 2026の組織編では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、4位が「システムの脆弱性を悪用した攻撃」、9位が「DDoS攻撃」でした。3位には「AIの利用をめぐるサイバーリスク」が初めて選ばれています。Webサイトの運営と特に関係が深いのは、脆弱性の悪用、委託先経由の被害、DDoS攻撃です。
2026年9月前後からは、国内の組織で不正アクセスによる情報漏えいの公表が相次ぎました。JPCERT/CCの注意喚起では、標的ごとにさまざまなソフトウェアの既知の脆弱性を調べて悪用を試みる攻撃や、脆弱性ではなく管理の不備を突いて設定ファイルやバックアップファイルを盗もうとする攻撃が報告されています。IPAも2026年10月9日に、経営者に対して、外部に公開しているシステムと利用している外部サービス、保有しているデータを至急点検するよう呼びかけました。公開しているものはすべて調べられている、という前提で対策を考える必要があります。
企業サイトが受けやすい7つの脅威
企業サイトの主な脅威は、改ざん、不正ログイン、フォームの悪用、情報漏えい、DDoS攻撃、ドメイン・SSL証明書の失効、委託先や外部サービスを経由した被害の7つです。
| 脅威 | 何が起きるか | 主な入口 | 最初に行う対策 |
|---|
| 1. 改ざん | 不正な文言やリンクの埋め込み、別サイトへの転送、マルウェアの配布 | CMSやプラグインの脆弱性、盗まれたパスワード | 更新、改ざん検知、バックアップ |
| 2. 不正ログイン | 管理画面、サーバー、ドメインの管理画面の乗っ取り | 推測しやすいパスワード、使い回し | 二要素認証、アカウントの棚卸し |
| 3. フォームの悪用・スパム | 自動返信で第三者に迷惑メールが送られる、メールが送れなくなる | 機械的な送信を防ぐ仕組みのないフォーム | CAPTCHA、自動返信の見直し |
| 4. 情報漏えい | 問い合わせ内容や応募者の情報が外部に流出する | 脆弱性、サーバーに残したデータやバックアップファイル | 保存しない・保存期間を決める |
| 5. DDoS攻撃 | 大量のアクセスでサイトが表示されなくなる | サイトそのもの、または同じサーバーの他のサイト | サーバー会社の対策、CDN・WAF |
| 6. ドメイン・SSL証明書の失効 | サイトとメールが止まる、ドメインを第三者に取られる | 更新忘れ、担当者の退職、支払いカードの期限切れ | 自動更新、期限と名義の管理 |
| 7. 委託先・外部サービス経由の被害 | 制作会社や外部ツールのアカウントから侵入される | 共有アカウント、契約終了後も残る権限 | 権限の棚卸し、契約での範囲の明記 |
1. 改ざん
改ざんは、CMSやプラグイン、サーバーのソフトウェアの脆弱性を突かれたり、盗まれたパスワードでログインされたりして起きます。WordPressの脆弱性を調べているPatchstack社の2026年版の報告書では、検索エンジンにはスパムの内容を見せ、訪問者だけを詐欺サイトなどへ転送し、管理者には通常のページを見せる手口が2025年に多かったとされており、管理者が気づかないまま続くことがあります。Googleが検知すると、検索結果に警告のラベルが付いたり、ブラウザに警告のページが表示されたりします。
2. 不正ログイン
パスワードを総当たりで試す攻撃（ブルートフォース攻撃）や、他のサービスから漏れたパスワードの使い回しを狙う攻撃で起きます。狙われるのはサイトの管理画面だけではありません。サーバーやドメインの管理画面、DNSの設定、Search ConsoleやGoogleアナリティクスのアカウントを乗っ取られると、サイトの転送先を変えられたり、メールを盗み見られたりします。管理画面と名の付くものすべてで、使い回しのないパスワードと二要素認証を設定します。
3. フォームの悪用・スパム
問い合わせフォームに無関係な第三者のメールアドレスと宣伝文を入力し、自動返信の機能で迷惑メールを送らせる攻撃があります。エックスサーバーのマニュアルでは、送信元のサーバーの評判が下がり、通常のメールまで送れなくなるおそれがあるとして、reCAPTCHAの導入や自動返信の停止を対策に挙げています。独自に作ったフォームでは、入力値の扱いの不備から、メールのヘッダーを書き換えられる脆弱性が生まれることもあり、IPAの安全なウェブサイトの作り方で対策が解説されています。
4. 情報漏えい
問い合わせや採用応募の内容をサイトのデータベースに保存していると、脆弱性を突かれたときにその情報が流出します。データベースの情報を盗み出すSQLインジェクションや、訪問者の情報を狙うクロスサイト・スクリプティングは、こうした脆弱性を突く代表的な攻撃です。前述のIPAの呼びかけでは「不要な情報は持たない」ことを基本原則としています。フォームの内容はメールで受け取れば足りるのか、サイトに保存する必要があるのか、保存するなら何か月で消すのかを決めます。公開フォルダにバックアップファイルや古いデータを置いたままにしないことも大切です。
5. DDoS攻撃
大量のアクセスを送りつけてサイトを止める攻撃です。中小企業のサイトが単独で防ぐのは難しいため、サーバー会社がどのような対策をしているかを確認し、必要に応じてCDNやクラウド型のWAFを使います。共用のサーバーでは、同じサーバーの別のサイトへの攻撃の影響を受けることもあります。止まったときに、取引先や応募者へ別の連絡手段を案内できるようにしておくと、影響を小さくできます。
6. ドメイン・SSL証明書の失効
ドメインの更新を忘れると、サイトとメールが止まるだけでは済みません。JPRSのドメイン名の廃止に関する注意によると、廃止されたドメイン名は一定期間の後に第三者が登録できるようになり、詐欺サイトに使われたり、同じメールアドレスを作られて、なりすましやSNSアカウントのパスワード再設定に悪用されたりするおそれがあります。JPドメインには廃止から20日以内の登録回復の手続きがありますが、取り扱いは事業者によって異なります。
SSL証明書は、業界団体のCA/Browser Forumの決定により、最長398日だった有効期間が2026年3月から段階的に短くなり、2029年3月には最長47日になります。手作業での更新は続かなくなるため、自動更新の設定と期限の監視が前提になります。サイト全体をhttpsにする手順はhttpをhttpsにする方法で解説しています。
7. 委託先・外部サービスを経由した被害
制作会社や以前の保守会社と共有したままの管理者アカウント、外部のフォームやチャットのサービス、プラグインの提供元など、自社の外にある経路から侵入されることがあります。契約が終わった委託先のアカウントを削除すること、委託先に任せる範囲と連絡方法を契約で決めておくことが基本です。IPAは、委託元と委託先の双方の対策を共通の基準で評価する「サプライチェーン強化に向けたセキュリティ対策評価制度」を2027年3月に始める準備を進めています。
Service
運用保守・集客改善のご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
セキュリティ対策の全体像：4つの層で考える
対策は「サーバー・ネットワーク」「CMS・アプリケーション」「アカウントとデータ」「契約と管理」の4つの層に分け、層ごとに担当を決めると漏れが減ります。
| 層 | 主な対策 | 主な担当 |
|---|
| サーバー・ネットワーク | OS・ミドルウェア・PHPの更新、ファイアウォール、IDS/IPS（不正侵入の検知・防御）、WAF、DDoS対策、常時https | サーバー会社、保守会社 |
| CMS・アプリケーション | CMS本体とプラグインの更新、不要な機能の削除、改ざん検知、フォームの対策、必要に応じた脆弱性診断 | 保守会社、制作会社 |
| アカウントとデータ | 二要素認証、権限の最小化、退職者のアカウント削除、保存データの削減、バックアップと復元テスト | 社内と保守会社 |
| 契約と管理 | ドメイン・SSL・サーバーの名義と期限、委託先の範囲、管理台帳、緊急時の連絡網 | 社内（経営者・総務・Web担当） |
WAF（Web Application Firewall）は、Webアプリケーションへの攻撃に特化した防御の仕組みで、レンタルサーバーの機能として提供されるもの、サーバーに入れるもの、クラウド型のものがあります。どれもサイト側の更新の代わりにはならず、修正版が出るまでの時間を補う役割です。サイトを動かすPHPのサポート期限はPHPのバージョンとサポート期限で解説しています。
自社の対策がどこまでできているかを確かめるには、IPAの中小企業の情報セキュリティ対策ガイドラインが役立ちます。最新の第4.0版では、最初に取り組む項目に「バックアップを取ろう!」が加わって6か条になり、付録の「5分でできる！情報セキュリティ自社診断」には「ウェブサイトを安全に運用する」という項目が追加されました。
だれが何を持つか：セキュリティの体制と管理台帳
中小企業のサイトでは、経営者が責任者と予算を決め、社内の窓口担当が管理台帳を持ち、技術的な作業は保守会社に任せる形が現実的です。
| 役割 | 主な責任 |
|---|
| 経営者 | 予算と方針を決める。被害が起きたときに、サイトの公開停止や公表を判断する |
| 社内の窓口担当 | 管理台帳を持つ。アカウントの棚卸し、期限の確認、委託先との連絡を担う |
| 保守会社・制作会社 | 更新、監視、バックアップ、障害や改ざんが起きたときの復旧と原因調査 |
| サーバー会社・ドメインの登録事業者 | 設備の運用、サーバー側の防御、障害やメンテナンスのお知らせ |
管理台帳には、次の情報をまとめます。パスワードそのものは台帳に書かず、パスワード管理ツールなどで別に管理します。
- ドメイン：登録事業者、名義、期限、自動更新の有無、支払い方法
- サーバー：会社とプラン、契約者、管理画面に入れる人
- SSL証明書：種類、自動更新の有無、期限
- CMS：バージョン、テーマ、プラグインの一覧
- アカウント：サイトの管理画面、サーバー、ドメイン、DNS、Googleアナリティクス、Search Console、外部のフォームサービスについて、だれが持ち、二要素認証を設定しているか
- バックアップ：保存場所、頻度、最後に復元を試した日
- 委託先：契約の範囲、連絡先、緊急時の対応時間
- 緊急時の連絡網：社内の判断者、保守会社、サーバー会社、相談先
制作会社との契約が終わり、これらの情報が手元にない場合は、まず名義と管理画面に入れる人を確かめます。引き継ぎの進め方はホームページの制作会社を変更・移管する手順で解説しています。
被害に気づいたときの初動
改ざんや不正アクセスに気づいたら、記録を残したうえで被害の拡大を止め、保守会社・サーバー会社と公的な相談先に連絡し、原因を取り除いてから復旧します。
被害に気づくきっかけ
- Search Consoleの「セキュリティの問題」に警告が出る、Googleから通知メールが届く
- 自社のドメインで検索すると、身に覚えのないページや外国語・宣伝の文言が出てくる
- 取引先や応募者から「サイトがおかしい」「変なメールが届いた」と連絡が来る
- サーバー会社や改ざん検知の仕組みから通知が届く
- 管理画面に知らない管理者アカウントがある、フォームから大量の送信がある
初動の手順
- 記録する：気づいた日時、画面、URLを記録する。ログやファイルは消さずに残す
- 拡大を止める：被害の内容に応じて、サイトの公開停止やメンテナンス表示をサーバー会社・保守会社と相談する。改ざんされたページを、ふだん使うパソコンのブラウザで何度も開かない
- パスワードを変える：安全な端末から、サイトの管理画面、サーバー、FTP、データベース、ドメインの管理画面のパスワードを変更する。知らないアカウントは、記録してから削除する
- 連絡する：保守会社・制作会社・サーバー会社に状況を伝え、必要に応じて次の表の公的な相談先に連絡する
- 原因を調べて取り除く：侵入の経路を特定し、不正なファイルと脆弱性を取り除く。バックアップから戻す場合は、侵入より前のものを選ぶ
- 復旧し、再発を防ぐ：更新と設定の見直しを終えてから公開を再開する。Search Consoleで警告が出ていた場合は、修正後に審査をリクエストする（審査には数日から数週間かかる）
- 報告と説明：個人情報が漏えいした、またはそのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要かを確認し、取引先への説明を準備する
バックアップから戻すだけでは、入口になった脆弱性や盗まれたパスワードが残り、再び改ざんされることがあります。原因を確かめずに元に戻すのは避けてください。
公的な相談先
| 相談先 | 相談・報告できること |
|---|
| IPA 企業組織向けサイバーセキュリティ相談窓口 | インシデント発生時の初動対応の助言、対応する専門業者の一覧の紹介、他の相談先の案内（調査・解析そのものは行わない）。ウイルス・不正アクセスの届出もここから案内されている |
| JPCERT/CC インシデント対応依頼 | 初動対応のサポート、改ざんされたサイトやフィッシングサイトの管理者への連絡と対処の依頼 |
| 警察（サイバー事案に関する相談窓口） | サイバー事案の通報・相談・情報提供（全国共通のオンライン受付と都道府県警察の窓口）。被害届は最寄りの警察署へ |
| 個人情報保護委員会（漏えい等の報告） | 不正アクセスなど不正な目的による個人データの漏えい（そのおそれを含む）は、人数にかかわらず報告の対象。改ざんで入力内容が第三者に送られた場合も例に挙がっている。発覚したら速やかに報告し、不正な目的によるおそれがある場合は発覚日から60日以内が期限 |
| Google Search Consoleの「セキュリティの問題」 | Googleが検出したハッキングやマルウェアの内容と影響を受けたページの例の確認、修正後の審査リクエスト |
IPAは、中小企業向けにガイドラインの付録として「中小企業のためのセキュリティインシデント対応の手引き」も公開しています。被害が起きる前に一度目を通し、自社の連絡網に当てはめておくと、いざというときに迷いません。
よくあるご質問
小さな会社のサイトでも狙われますか？
狙われます。攻撃の多くは、特定の会社を選ぶのではなく、既知の脆弱性や弱いパスワードがあるサイトを自動で探して行われます。会社の規模よりも、古いソフトウェアが残っていないか、管理が行き届いているかで被害に遭うかどうかが決まります。
レンタルサーバーのWAFを有効にしていれば十分ですか？
十分ではありません。WAFは攻撃の一部を入口で防ぎますが、すべてを止められるわけではなく、CMSやプラグインの更新、パスワードと二要素認証、バックアップと組み合わせて初めて効果が出ます。WAFは「更新が間に合うまでの時間を補う対策」と考えてください。
改ざんされたら、バックアップから戻せば終わりですか？
終わりではありません。侵入の入口になった脆弱性や盗まれたパスワードが残っていると、同じ方法で再び改ざんされます。原因を特定して取り除き、パスワードを変えてから復旧します。個人情報が漏れた可能性がある場合は、報告と本人への通知も検討します。
セキュリティ対策の費用はどのくらいかかりますか？
サーバー会社のWAFや無料のSSL証明書のように追加費用なしで使えるものもありますが、更新の検証、監視、バックアップ、障害時の復旧を外部に任せる場合は月額の保守費用がかかります。保守の内訳と相場は、関連記事の「WordPress保守の外注費用」で整理しています。
まとめ
企業のWebサイトは、規模にかかわらず、改ざん、不正ログイン、フォームの悪用、情報漏えい、DDoS攻撃、ドメイン・SSL証明書の失効、委託先や外部サービスを経由した被害の7つの脅威にさらされています。対策は、サーバー・ネットワーク、CMS・アプリケーション、アカウントとデータ、契約と管理の4つの層に分けて担当を決め、管理台帳で名義・期限・アカウントを把握することから始めます。被害に気づいたら、記録、拡大の防止、パスワードの変更、関係先と公的な相談先への連絡、原因の除去、復旧の順に進めます。
更新や監視、障害時の復旧を社内だけで担うのが難しい場合は、保守を外部に任せる方法があります。当社のWEBサイト運用保守では、保守ライト（月2万円〜・税別）でWordPressの更新、バックアップ、稼働監視（停止・改ざんの検知）、SSL・ドメインの期限管理を、保守スタンダード（月3万円〜・税別）でログイン保護・改ざん検知・WAFの設定を行い、契約中のサイトが改ざんされた場合はバックアップからの復元と原因調査を行います。
関連記事：ホームページが改ざん・乗っ取りされたときの対処／WAFとは：中小企業のサイトに必要か／WordPressのセキュリティ対策チェックリスト／WordPressを更新しないとどうなる？放置で起きる問題と更新手順／WordPress保守の外注費用：月額の内訳と「含まれない作業」一覧