最近のサイバー攻撃・情報流出と対策（2026年）｜中小企業のサイトで見直すこと【随時更新】

最終更新：10 月 23 日 12:38（日本時間） 新しい出来事が公表されるたびに、一覧の上に足していきます。
すぐ見る：最近の出来事の一覧 ／ 今すぐ見直すこと ／ 最近の傾向

ここ数か月、ホームページの仕組みの重大な弱点（脆弱性）の公表と、大規模な情報流出の公表が続いています。この記事では、2026 年 7 月以降に起きたサイバー攻撃・不正アクセス・情報流出のうち、被害を受けた組織や開発元、公的機関の発表で確かめられたものを新しい順に並べ、会社のホームページの持ち主が見直すことを添えます。

最近の傾向

• サイトの仕組みそのものの重大な弱点が続いた 7 月の WordPress（wp2shell）、10 月の Movable Type、PHP（PHP2Shell）と、多くの会社のサイトが使う仕組みで重大な脆弱性が続きました。wp2shell は公表のあと実際に悪用され、大学や企業のサイトの改ざん・情報流出が公表されています。弱点は公表されてから悪用されるまでが短いため、更新を続ける体制が要ります（保守の記事）。
• 使っている外部サービス経由の流出が大きい Web 制作サービス、EC サイトの構築サービス、予約管理、後払い決済など、多くの会社が共通で使うサービスで不正アクセスが起き、それを使っていた側の顧客の情報まで流出しました。自社で作ったサイトでなくても、集めた個人情報についての説明は集めた側に求められます。
• 流出した情報を使ったなりすましが増えている 予約や購入の情報を使い、本物の店や施設を装って偽サイトへ誘うメッセージが確認されています。フィッシング対策協議会への 9 月の報告は 94,661 件で、前の月より増えました。

最近のサイバー攻撃・情報流出（新しい順）

被害を受けた組織・開発元・公的機関の公式の発表で確かめられたものだけを載せています（日付は公表日）。右の列の「サイトの持ち主がやること」は、その出来事から中小企業のホームページの持ち主が見直したいことを、この記事で整理したものです。

PHP の脆弱性（PHP2Shell）については、サーバー会社やサービスごとの対応状況を 別の記事 にまとめています。

中小企業のサイトで今すぐ見直すこと

上の出来事から、会社のホームページで見直したいことを 6 つにまとめました（この記事での整理）。

1. WordPress・テーマ・プラグイン・PHP が最新か確かめる。PHP は公式のサポート期間内のバージョンにする（プラグインの脆弱性の確かめ方・PHP のバージョンの確かめ方）
2. 使っている外部サービス（フォーム・予約・EC・メール配信・制作サービス）を一覧にし、それぞれの事故のお知らせを見られるようにする
3. 問い合わせフォームの受信内容や古い顧客データを、サイトやサービスの中に溜めっぱなしにしない
4. 管理画面・サーバー・ドメイン・外部サービスのパスワードを使い回さず、2 段階認証を有効にする。使っていない連携やアカウントは消す
5. バックアップを、サーバーとは別の場所にも残し、戻せるかを試す（バックアップの取り方と戻し方）
6. 被害が疑われたときの相談先（サーバー会社・制作会社・IPA の相談窓口）と、顧客への連絡のしかたをメモしておく

最初に整える対策は 「ホームページのセキュリティ対策」、なぜ続ける体制が要るのかは 「ホームページの保守」 で整理しています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

• オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。

  オーダーメイド制作を相談する オーダーメイド制作との違い

• 自分で作る（自作） 費用は抑えられます。そのかわり、ここに並ぶような脆弱性の公表を追い、更新とバックアップを公開後もずっと自分で続けることになります。
• 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。

  完成済みのサイトを実物で見る