最終更新：10 月 24 日 02:09（日本時間）
IPA がページを更新したら追記します。
すぐ見る：どうすればいい？ ／ すぐ行う点検 ／ その後の対策 ／ 中小企業向けの道具
要点
IPA の注意喚起：不正アクセスによる漏えいを踏まえて速やかに行う対策（2026 年 10 月 9 日）
- 国内の幅広い事業者で、不正アクセスによる情報漏えいの公表が相次いでいる。IPA は、外部に公開しているアプリケーションやサービスの侵害と、アカウントの侵害が起点になっているとみられるとしている（特定の製品の弱点を狙った攻撃とは断定されていない）
- すぐ行う点検は 3 つ。外部に公開しているアプリケーションのログと更新、使っている外部サービス（クラウド・VPN など）のログとアカウント、持っているデータの見直し
- 点検で異常がなくても、多要素認証の導入、アカウントと権限の見直し、ログの取り方と保存期間の見直し、不要なデータを持たないことなど、より強い対策を検討するよう求めている
どうすればいい？
中小企業が、まずやること
ホームページや会員サービスを持つ会社
- 自社で作って動かしている、外から見えるシステム（ホームページの管理画面、予約や会員のページなど）を書き出し、直近のログに異常がないかを確かめる
- まだ当てていない更新（脆弱性への修正）があれば、できるだけ早く当てる
クラウドサービスを使っている会社
- 使っている外部サービスをすべて書き出し、作った覚えのないアカウントや、止めたはずのアカウントが使える状態になっていないかを確かめる
- 異常が見つかったら、すぐにセキュリティインシデントとして扱い、専門のセキュリティ会社に調べてもらう
この記事では、情報セキュリティの相談窓口や注意喚起を担う独立行政法人 IPA（情報処理推進機構）が 10 月 9 日に公開した、不正アクセスによる漏えいを踏まえて速やかに行う対策についての注意喚起だけをもとに、すぐ行う点検とその後の対策を、ホームページやクラウドサービスを使う中小企業が読める言葉で整理します。
何が書かれているか
注意喚起が出された背景からです。IPA は、国内の金融機関や通信事業者など幅広い事業者から、不正アクセスの被害による情報漏えいの公表が相次いでいるとしています。とくに、大量の個人情報を扱うオンラインサービスやアカウントのサービスのシステムに侵入され、個人情報を含むデータが盗まれる事案が続いているとしています。
大量の情報や、取り扱いに注意が要る情報を持つ事業者の経営者には、サイバーセキュリティのリスクを自社の重要な課題と認識し、自ら先頭に立って対策の点検や見直しを急ぐよう求めています。攻撃の手口については、現時点では特定の製品やサービスの弱点を狙った攻撃とは断定されておらず、公表された事例の傾向から、外部に公開しているアプリケーションやサービスの侵害と、アカウントの侵害が起点になっているとみられる、としています。
すぐ行う点検（IPA の注意喚起から）
| 点検 | 確かめること |
|---|---|
| 外部に公開しているアプリケーションの精査 | 自組織が独自に作って動かしている、外部に公開しているアプリケーションやサービスがあるか。それぞれの直近のログに、エラーの量や平時との違いなどの異常がないか（直近の 1 か月から始め、段階的に範囲を広げる）。まだ当てていない脆弱性への修正がないか。あればできるだけ速やかに当てる |
| 使っている外部サービスの洗い出し | クラウドサービスや VPN サービスなど、組織全体や部署ごとに使っているものをできる限りすべて書き出す。サービスごとのログに、ログインの失敗の多さや、いつもと違う接続元・時間などの異常がないか。作った覚えのないアカウントや、削除・無効化したはずのアカウントが有効になっていないか |
| 持っているデータの再点検 | 「不要な情報は持たない」を基本に、自社が持っている情報を正確に把握し、必要最小限にする |
公開しているアプリケーションでも外部サービスでも、異常なログやアカウントが見つかったら、すぐにセキュリティインシデントと判断して対応を進めるよう求めています。情報漏えいの可能性も考え、専門のセキュリティ会社に詳しい調査を頼むことを強く勧めています。盗まれた情報は、「公開する」という脅しや不正な売買など、二次被害につながる傾向が強まっているとしています。
ログの確認では、サービスごとにログを残す期間が違うことや、サービスの提供者と利用者とで確かめられるログが違う場合があることにも触れています。誰が、いつ、どうやって確かめられるかを整理し、今後何度か調べ直すことも考えて、調べ方を把握しておくよう求めています。
その後に取り組む対策
点検で異常がなかった場合も、次のような、より強い対策を検討するよう求めています。
| 対象 | 対策 |
|---|---|
| 外部に公開しているアプリケーション | 外部に公開する範囲の見直し／認証（多要素認証・パスワード）の強化／アカウントに与える権限の見直し／API 連携など部品ごとの管理と権限の見直し／ログの取り方と保存期間の見直し／追加できるセキュリティ対策の検討 |
| 使っている外部サービス | 認証（多要素認証・パスワード）の強化／アカウントを渡す範囲の見直し／アカウントの棚卸しのやり方の見直し／API 連携など部品ごとの管理の見直し／ログの取り方と保存期間の見直し／使えるセキュリティ対策の検討 |
| 持っているデータ | そのデータを持ち続けるかの再検討／保管場所の再検討／データへのアクセスのログの取り方と保存期間の見直し／データの暗号化 |
さらに、社内の体制だけでなく、海外の拠点や取引先・委託先まで考えた対応が要るとして、経済産業省の「サイバーセキュリティ経営ガイドライン」を参考に、経営者が先頭に立って進めるよう求めています。
中小企業向けに IPA が案内している道具
注意喚起の末尾では、活用できる IPA の取り組みとして、中小企業向けのものも紹介しています。
- 5 分でできる！情報セキュリティ自社診断 25 個の診断項目に答えると、自社の対策の状況をかんたんに把握できる。取り組みの手がかりになる「解説編」もある。
- 中小企業の情報セキュリティ対策ガイドライン 第 4.0 版 中小企業向けに、対策の考え方と、段階的に進める方法を紹介している。
- SECURITY ACTION（セキュリティ対策自己宣言） 中小企業が自ら対策に取り組むことを宣言する制度。取り組みの段階に応じてロゴマークを無料で使える。
- サイバーセキュリティお助け隊サービス 「見守り」「駆けつけ」「保険」などをひとまとめにして、民間の事業者が提供するサービス。
- サイバーセキュリティ相談窓口（企業組織向け） インシデントが起きたときの初動対応の相談や、一般的な相談ができる。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 16 日 | 被害を受けている、またはその可能性がある企業・組織向けに「不正アクセス特別相談窓口」を開設。この注意喚起を参考情報に挙げた |
| 10 月 9 日 | 注意喚起を掲載。追記する情報があれば、そのつど更新する予定としている |
自社で見直すこと
ここからは、IPA の点検の項目を、ホームページを持つ中小企業に当てはめるとどうなるかをまとめたものです（この記事での整理）。
- 「外部に公開しているアプリケーション」はホームページそのもの WordPress などで作ったホームページ、お問い合わせフォーム、予約や会員のページは、外から誰でも触れるシステム。本体・テーマ・プラグイン・PHP の更新が止まっていないか、使っていないプラグインが残っていないかを確かめる。
- 管理画面のアカウントを棚卸しする ホームページの管理画面、サーバーの管理画面、ドメインの管理画面に、辞めた人や以前の制作会社のアカウントが残っていないかを見る。残すアカウントには 2 段階認証を設定する。
- フォームで集めた情報をため込まない お問い合わせフォームの送信内容が、サーバーやプラグインの中にずっと残る設定になっていないかを確かめる。要らなくなった情報は消し、残すものは保管場所と見られる人を決める。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、ホームページの安全対策の基本は 「ホームページのセキュリティ対策」、プラグインの弱点への備えは 「WordPressのプラグインの脆弱性」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、更新の適用やログの確認、アカウントの棚卸しを、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
