「うちみたいな小さい会社が狙われるはずがない」——この感覚は、いまのインターネットでは通用しません。攻撃の大半は自動化され、会社名も規模も見ずに、脆弱性のあるサイトを機械的に探して回っています。選定基準は知名度ではなく、入りやすさです。この記事は、攻撃手法の専門的な解説ではなく、中小企業の経営者が実際に判断できることに絞りました。被害にどう気づくか、受けたら何から手を付けるか、どこに相談できるのか、そして費用をかけずにできる対策は何か。Web制作と保守を行う事業者の立場から、実務の順番で整理します。
- 規模ではなく「入りやすさ」で狙われる仕組み
- 自分では気づけない——実際の発見経路4つと、検知の仕組みづくり
- 攻撃を受けたときの初動（保全→停止判断→パスワード→相談）
- 警察・IPA・個人情報保護委員会——どこに何を相談・報告するか
- 費用ゼロでできる対策と、お金をかける場合の優先順位
なぜ小さな会社のサイトが狙われるのか
攻撃者があなたの会社を選んだわけではありません。選んでいないからこそ、全員が対象になっています。
- 探索が自動化されている：プログラムがインターネット上を巡回し、既知の弱点を持つサイトを機械的に見つけます。1件あたりのコストがほぼゼロなので、価値の低い相手も対象になります。
- 踏み台としての価値がある：盗む情報が無くても、乗っ取ったは他社への攻撃・スパムメールの発信・不正サイトの設置に使えます。むしろこれが主目的です。
- 取引先への侵入経路になる：セキュリティの堅い大企業を直接狙うより、取引のある中小企業を経由するほうが容易です。自社の被害が、取引先への加害につながります。
- 更新が止まっているサイトが多い：作って以来触っていないサイトは、既知の弱点が放置されたままです。攻撃側から見れば、鍵の壊れた家が並んでいる状態です。
仮に情報が一切無くても、乗っ取られたサイトは他人を攻撃する道具になります。そのとき自社は被害者であると同時に、加害の踏み台を提供した側として説明を求められる立場になります。守るべきは情報だけでなく、取引先と訪問者に対する責任です。
攻撃を受けたことに、どうやって気づくか
最も重要な現実を先に書きます。被害の多くは、自分では気づけません。攻撃側は気づかせないことを目的に動くためです。実際の発見経路はこの4つが大半です。
| きっかけ | 気づくまでの時間 | 備えておくべきこと |
|---|---|---|
| Google検索結果に警告が表示される | 数日〜数週間 | 定期的に自社名で検索して確認する |
| Search Consoleから通知が届く | 比較的早い | Search Consoleに登録し、通知の受信先を現役のアドレスに |
| お客様・取引先から指摘される | 遅い（信用の毀損後） | 指摘を受けやすい窓口を明示しておく |
| サーバー会社から利用停止の連絡が来る | 最も遅い（被害拡大後） | 契約情報と連絡先を最新に保つ |
この表から導かれる結論はシンプルです。Search Consoleへの登録（無料）と、月1回スマホで自社サイトを開く習慣。この2つが、中小企業にとって費用対効果が最も高い検知手段です。特にスマホでの確認は、パソコンでは正常に見える改ざんを見つける有効な方法です（改ざんの多くは訪問者の環境を判定して発動します）。
中小企業のサイトが実際に受ける攻撃
攻撃手法の名称を網羅した記事は世に多くありますが、経営判断に必要なのは「何が起きるか」です。実際に中小企業のサイトで起きることを、結果の側から整理します。
| 起きること | 背景にある攻撃 | 実害 |
|---|---|---|
| サイトが書き換えられる・別サイトに転送される | 改ざん（脆弱性の悪用、管理者権限の奪取） | 信用失墜、検索結果に警告、訪問者への加害 |
| 管理画面に不正ログインされる | パスワードの総当たり・使い回しの悪用 | 全権限の喪失、任意の書き換え |
| フォームや会員情報から情報が漏れる | プログラムの脆弱性の悪用 | 報告義務、賠償、取引先への説明責任 |
| サイトが重くなる・落ちる | 大量アクセスによる負荷攻撃 | 機会損失、サーバー費用の増加 |
| スパムメールの発信源にされる | サーバーの乗っ取り | 自社が迷惑メール扱いに（メールが届かなくなる） |
| 検索結果に無関係なページが大量に出る | SEOスパム目的の改ざん | 検索評価の毀損、ブランド毀損 |
このうち最も見落とされるのが、最後から2番目のスパム発信です。自社ドメインが迷惑メールの発信元として登録されると、取引先へ送る普通のメールまで届かなくなります。サイトの見た目は正常なままなので、原因究明が遅れる典型例です。
被害はサイトの中では終わらない
サイバー攻撃を「ホームページの問題」と捉えると、対応の優先度を読み違えます。実際の波及範囲はこうです。
- 検索結果に警告が出る：取引先も求職者も、自社名で検索したときにそれを見ます。
- メールが届かなくなる：ドメインの評価が落ちると、営業メールも請求書も相手に届きません。
- 取引先への説明が必要になる：情報を預かっている場合、経緯と対処の報告を求められます。
- 復旧費用と休業損失が発生する：サイトを止めている間、問い合わせはゼロになります。
- 法的な報告義務が発生する場合がある：個人情報の漏えいが絡むと、対応の性質が変わります。
つまり、技術的な復旧より、信用の回復のほうが時間がかかります。だからこそ、起きてからの対応より、起きにくくすることの費用対効果が圧倒的に高い領域です。
攻撃を受けたときの初動
いま被害の渦中にいる方向けです。順番を守ってください。
- 証拠を保全する（削除より先）画面のスクリーンショット、発生日時、サーバーのアクセスログを別の場所に保存します。不正なファイルを先に消すと、侵入経路を特定する手がかりが消え、塞がないまま再発します。ここが最も間違えられる工程です。
- 訪問者に実害が及ぶなら、公開を停止する不正サイトへの転送、ウイルス配布、偽の入力フォームが確認できる場合は直ちに停止します。判断に迷う場合は停止側に倒してください。なお、ドメインやサーバーの契約は絶対に解約しないこと（ログもデータも失われます）。
- パスワードをすべて変更する管理画面、FTP、サーバー、データベース、関連するメールアカウント。使い回していた他サービスも含めて変更してください。侵入経路がパスワード漏えいだった場合、ここを飛ばすと即座に再侵入されます。
- 相談先に連絡するサーバー会社（サーバー側の状況確認）、制作・保守の委託先、必要に応じて次章の公的窓口。顧客情報が絡む場合は、早い段階で専門家に相談してください。
改ざんが確認された場合の詳しい復旧手順は、「ホームページが改ざんされたときの対処と復旧」の記事で、公開停止の判断基準から検索結果の警告解除まで通しで解説しています。
どこに相談するのか（公的窓口の一覧）
意外なことに、この整理はセキュリティ関連の解説記事でもほとんど書かれていません。しかし実務では最も知りたい情報です。
| 窓口 | 扱う内容 | 位置づけ |
|---|---|---|
| IPA（情報処理推進機構）情報セキュリティ安心相談窓口 | 技術的な相談、対処方法の助言、届出の受付 | 任意。中小企業向けの資料も充実 |
| 都道府県警察のサイバー犯罪相談窓口 | 不正アクセス等の犯罪被害としての相談・通報 | 任意（記録として重要） |
| 個人情報保護委員会 | 個人情報の漏えい等の報告 | 要件に該当すれば義務 |
| JPCERTコーディネーションセンター | インシデントの報告と対応調整 | 任意 |
| 契約中のサーバー会社 | サーバー側の状況確認、ログ取得、緊急停止 | 実務上ほぼ必須。最初に連絡すべき先 |
| 委託先の制作・保守会社 | サイト側の調査と復旧 | 契約があれば最初の窓口 |
IPAは中小企業向けの情報セキュリティ対策ガイドラインや、取り組みを自己宣言できる制度も提供しています。被害を受けていない平時のうちに一度目を通しておくと、いざというときの判断が速くなります。
報告義務が生じる場合
顧客情報、会員情報、問い合わせフォームの履歴などが漏えいした、またはその恐れがある場合、個人情報保護法に基づく個人情報保護委員会への報告と、本人への通知が義務となるケースがあります。報告には期限の定めがあり、判断の先延ばしは別のリスクを生みます。通販サイト、会員制サイト、顧客名簿を扱うサイトは特に該当しやすいため、被害が疑われた段階で専門家や弁護士へ相談してください。この記事は一般的な整理であり、個別の法的判断に代わるものではありません。
費用をかけずにできる対策
有料のサービスを検討する前に、無料でできることを全部やってください。侵入経路の大半はここで塞げます。
- ・プラグイン・テーマを最新に保つ：侵入の最多経路は「古いまま放置されたプログラム」です。自動更新を有効にし、更新後の表示確認をセットにします。
- 使っていないプラグイン・テーマを削除する：停止中でもファイルが残っていれば侵入経路になります。「使わないものは消す」が原則です。
- パスワードを強化し、使い回しをやめる：他サービスから漏れたパスワードで入られる被害が多数あります。管理者アカウントだけでも見直してください。
- 二段階認証を有効にする：パスワードが漏れても、これだけで侵入をほぼ防げます。
- 管理者アカウントを棚卸しする：退職者、以前の制作会社、テスト用アカウントが残っていないか確認を。
- ログインURLを標準から変更する：自動探索の大半は標準のURLを叩きます。変えるだけで機械的な攻撃の大半が外れます。
- Search Consoleに登録する：異常の第一報がここから届きます。無料です。
- 自動バックアップを有効にし、年1回は復元テストをする：最後の砦です。「取れているつもりで壊れていた」が最悪の結末です。
これらは、いずれも専門業者に頼まなくても実行できます。ここまでやってから有料の対策を検討するのが、費用対効果の正しい順番です。
お金をかける場合の優先順位
| 優先度 | 内容 | 費用の目安 |
|---|---|---|
| 1 | バックアップの確実な確保（サーバーの自動バックアップ機能等） | 月額数百円〜、または契約に含まれる |
| 2 | 更新・監視・バックアップを含む保守契約 | 月額6,000円〜（当社の場合） |
| 3 | サーバー付帯のWAF（攻撃検知）機能の有効化 | 多くのレンタルサーバーで無料 |
| 4 | 専門的な脆弱性診断・高度な監視サービス | 規模により大きく変動 |
最優先はバックアップです。防ぎきれずに侵入された場合でも、正常な状態の控えがあれば戻せます。逆に、どれだけ守りを固めてもバックアップが無ければ、一度の被害で全損します。
参考として、当社の場合、改ざんからの復旧は50,000円〜（10万円を超えることもあります）、保守契約は月額6,000円〜（年72,000円〜）です。復旧1回のスポット費用と保守の年額がほぼ同水準なので、「起きてから払う」か「起きにくい状態を保つ」かの選択になります。判断材料としてお使いください。
まとめ：規模ではなく、入りやすさの問題
サイバー攻撃は、あなたの会社を選んで来るわけではありません。自動化されたプログラムが、入りやすいサイトを無差別に見つけているだけです。だから「うちは小さいから大丈夫」は成立せず、逆に「更新しているから素通りされる」は十分に成立します。
いま無料でできることは3つに集約されます。更新を止めない。使わないものを消す。バックアップを確保する。そして検知のために、Search Consoleに登録し、月に一度スマホで自社サイトを開く。ここまでで、中小企業が現実的に取れる対策のかなりの部分がカバーできます。
すでに被害が疑われる場合、あるいは自社の状態が分からず不安な場合は、当社の緊急対応窓口へご相談ください。現状確認と見立てまでは無料で、他社で制作されたサイトも対象です。「何が起きているか分からない」という状態のままで構いません。
よくある質問
小さな会社のホームページでも、本当に攻撃されるのですか？
されます。現在の攻撃はほぼ自動化されており、攻撃側はインターネット上を機械的に巡回して、脆弱性のあるサイトを無差別に探しています。会社の規模も知名度も、選定の基準になっていません。むしろ、更新が止まった中小企業のサイトは「侵入しやすい」という理由で優先的に狙われ、他社を攻撃するための踏み台や、スパムメールの発信源として利用されます。「うちには盗まれて困る情報がない」は、残念ながら防御の理由になりません。
サイバー攻撃を受けたことは、どうやって気づけますか？
多くの場合、自分では気づけません。実際の発見経路は、(1)Google検索結果に警告が表示された、(2)Search Consoleから通知が来た、(3)お客様や取引先から「変なサイトに飛ばされる」と指摘された、(4)サーバー会社から利用停止の連絡が来た、の4つが大半です。だからこそ、Search Consoleへの登録（無料）と、月1回自分のサイトをスマホで開く習慣が、実務上もっとも有効な検知手段になります。
攻撃を受けたら、まず何をすればいいですか？
順番が重要です。(1)証拠を保全する（画面のスクリーンショット、サーバーのログを別の場所に保存）。(2)訪問者に実害が及ぶ状態（不正サイトへの転送、ウイルス配布、偽フォーム）なら公開を停止する。(3)すべてのパスワードを変更する。(4)相談先に連絡する。よくある失敗は、先に不正なファイルを削除してしまうことです。原因を突き止める手がかりが消え、侵入口が塞がらないまま再発します。
攻撃を受けた場合、警察やIPAに報告する義務はありますか？
警察やIPAへの相談・通報は任意です（ただし記録として重要で、相談は推奨されます）。一方、個人情報の漏えい、またはその恐れがある場合は、個人情報保護法に基づき個人情報保護委員会への報告と本人への通知が義務となるケースがあります。報告には期限が定められているため、顧客情報を扱うサイトで被害が疑われる場合は、早い段階で専門家や弁護士に相談してください。
中小企業のセキュリティ対策は、月いくらくらいかかりますか？
費用をかけずにできる対策だけでも、リスクは大きく下げられます。CMSとプラグインの更新、使っていないプラグインの削除、パスワードの強化と使い回しの廃止、二段階認証、Search Consoleの登録——ここまではすべて無料です。そのうえで外部に任せる場合、更新・監視・バックアップを含む保守契約が月額6,000円程度〜が一つの目安になります（当社の場合）。まずは無料の対策を全部やってから、有料を検討する順番をおすすめします。
WordPressのままで大丈夫ですか？無料でできる対策はありますか？
WordPress自体が危険なのではなく、更新されずに放置されたWordPressが危険です。世界で最も使われているため攻撃対象になりやすい一方、開発体制も対策情報も充実しています。無料でできる対策は、本体・テーマ・プラグインを最新に保つ、使っていないものを削除する、管理者アカウントを棚卸しする、パスワードを強化して二段階認証を入れる、ログインURLを変更する、自動バックアップを有効にする。これだけで侵入経路の大半は塞げます。
