国内で不正アクセスが相次ぐ。自社サイトの何を確認すればいい？

結論

不正アクセスによる情報漏えいのニュースを見ると、「うちのホームページは大丈夫だろうか」と気になります。しかし、サイトが普段どおり表示されているかを見るだけでは、必要な点検はできません。

確認したいのは、公開ページだけでなく、その裏側にある管理画面やデータの出入口です。技術的な点検を自分で行えなくても、管理担当者や保守会社に確認する項目を整理することはできます。

最近、何が発表された？

JPCERT/CCは2026年10月8日、国内組織で相次ぐ不正アクセスについて注意喚起を公開し、翌9日に更新しました。一般向けのアプリに加え、従業員向け管理システムや、データを分析するBIツールの被害も取り上げています。すべての事案で同じ攻撃手法が使われたという発表ではありません。

この発表から、自社を点検するときも「お客さまが見るホームページだけ」に範囲を限らないことが大切です。

サイトの裏側には、別の出入口がある

例えば、予約サイトで利用者が日時を選ぶと、その情報はサーバーへ送られます。サーバーは空き状況を確認し、結果を返します。

こうしたシステム同士のやり取りに使う窓口が「API」です。画面にボタンが表示されていなくても、サーバー側に処理の窓口が存在する場合があります。

そのため、画面上で操作を隠すだけでは十分ではありません。サーバー側でも「誰が利用しているか」「その人に何を許可するか」を確認する必要があります。受付担当者は予約を確認できるが、全利用者の権限は変更できない。このように、仕事に必要な操作だけを許可する考え方です。

「URLを教えていない」はアクセス制限になる？

管理画面のアドレスを社内の人だけに知らせていても、それだけで部外者のアクセスを防げるとは限りません。

URLを知っていることと、その操作を許可されていることは別です。管理画面やAPIには、適切な認証と権限の確認が必要です。

ここでいう「認証」は本人を確認すること、「権限の確認」は、その本人が実行してよい操作を確認することです。ログインできた人全員に、すべての操作を許可する必要はありません。

担当者に確認したいこと

まず、次の四つを確認しましょう。

• 管理対象：公開サイト、管理画面、予約システムなどを一覧にしているか。
• 更新：使用中のソフトウェアと、セキュリティ更新の担当者が分かるか。
• アクセス制限：管理機能やAPIで、利用者ごとの権限を確認しているか。
• 記録と連絡：不審な操作を調べるログと、異常時の連絡先があるか。

これらは点検の入口です。回答がそろったことだけで、安全が証明されるわけではありません。

保守会社への確認文例

当社サイトと関連システムのセキュリティ管理状況を確認したいです。
管理対象、更新状況、管理画面・APIのアクセス制限、ログの保存状況、異常時の連絡先を教えてください。
未確認の項目と、追加点検が必要な項目も分けてご回答ください。

不審なアクセスが見つかった場合は、記録を消したり、原因を推測して変更を重ねたりする前に、担当者へ連絡します。