「情報漏洩のニュースを見るたびに不安になる。でも、うちは何に気をつければいいのかわからない」。そう感じていませんか？

実は、漏洩の入口になりやすいのが「何年も手を入れていないホームページ」や「使い終わったまま残っているページ」です。この記事では実際の事例をもとに、専門知識がなくても判断できるポイントと、もし漏洩してしまったときにやるべきことを順にご紹介します。

実際に起きた事例

事例1：使っていないページから約10万人分が漏洩

2024年5月、積水ハウス株式会社が運営する会員サイトがサイバー攻撃を受け、約10万人分の個人情報が漏洩したと発表されました。原因は「現在は運用していないページ」のセキュリティ設定の不備でした。いま使っているページではなく、使わなくなったページが狙われたのです。

（出典：積水ハウス株式会社「会員サイトへの不正アクセスについて」 2024年5月24日発表）

事例2：小さな施設のサイトでも

2025年4月、秋田市の文化施設「旧松倉家住宅」の公式サイトが不正アクセスを受けました。問い合わせフォームを使った385人分の氏名・電話番号・メールアドレス・問い合わせ内容が流出したおそれがあります。サイトの書き換えを防ぐ機能が無効のままになっていたことと、2段階認証（パスワードに加えて確認コードを入れるしくみ）を入れていなかったことが、問題点として挙げられています。

（出典：秋田市「旧松倉家住宅公式サイトへの不正アクセスについて」 2025年4月25日発表）

大企業でも小さな施設でも起きています。会社の規模は関係ありません。

なぜ古いサイトは狙われやすいのか

・誰も見ていない：使っていないページは社内で気にかける人がおらず、異変があっても気づくのが遅れます。

・中身が古いまま：ホームページを動かすソフトは、弱点が見つかるたびに修正版が出ます。古いままだと、弱点が開いたままになります。

・攻撃者は機械で探している：攻撃者は、弱点のあるサイトを自動で探すツールを使っています。「うちは小さいから狙われない」は通用しません。

・詳しい人がもういない：「作った担当者が退職した」「どこのサーバーかわからない」というのは、よくあるケースです。

経営者が気をつけたい5つのこと

 1. 自社のサイトを「全部」把握する

本体のホームページだけでなく、過去のキャンペーンサイト、採用サイト、古い問い合わせフォームも含めて書き出してみましょう。次の3点がわかれば十分です。

・誰が管理しているか（社内の担当者、制作会社）

・どこのサーバーに置いてあるか

・最後に更新したのはいつか

 2. 「動いている」と「安全」は別だと考える

ページが表示されていても、安全とは限りません。ソフトの更新を誰がしているか、制作会社との保守契約に更新作業が入っているかを確認しましょう。「契約していると思っていたが、実は更新は含まれていなかった」ということもあります。

 3. 使い終わったサイトは「正しく」閉じる

・ページを見えなくするだけでなく、サーバーにあるデータごと削除する

・問い合わせフォームの内容がサイトの中に保存されていないか確認し、不要なら削除する

・ドメイン（ホームページの住所）はすぐには手放さない

ドメインを手放すと、第三者に取得されて怪しいサイトに使われることがあります。実際に、企業の旧採用サイトのドメインが取得され、アダルトサイトへの誘導に使われた例も報じられています。

4. いなくなった担当者のログインアカウントを残さない

退職した社員や、以前お願いしていた制作会社のログインアカウントが、そのまま残っていませんか？ 使われていないアカウントは、パスワードが古いままだったり、ほかのサービスと使い回されていたりすることが多く、乗っ取られても誰も気づきません。持ち主のいないアカウントは、攻撃者にとって格好の入口です。

・管理画面にログインできる人の一覧を確認し、今はいない人のアカウントは削除する

・全員を「管理者」にせず、必要な人に必要な権限だけを与える

・パスワードの使い回しをやめ、2段階認証を設定する（WordPressには標準で付いていないため、プラグインで追加します。制作会社に相談してみましょう）

5. 使用しなくなったメールアカウントをサイト上やお問い合わせフォームで使わない

退職者のメールアドレスや、もう使っていないメールアカウントが、サイトに問い合わせ先として載っていたり、問い合わせフォーム（Contact Form7など）の通知先に設定されたままになっていたりしませんか？ そのままだと、お客様からの連絡や、名前・電話番号・相談内容が、誰も見ていない場所や社外の人のところに届き続けてしまいます。使われていないメールアカウントは乗っ取られても気づきにくく、なりすましメールに悪用されるおそれもあります。

・サイトに載せているメールアドレスが、今使っているものか確認する

・問い合わせフォームの通知先や自動返信の送信元が、今使っている社内のアドレスか確認する

・使わなくなったメールアカウントは、サイトから外したうえで削除する

4と5は、人の入れ替わりや、制作会社の変更があったときが見直しのタイミングです。

もし漏洩してしまったら

慌てないために、流れだけでも知っておきましょう。

① 被害を広げない

サイトを一時的に止め、管理画面のパスワードを変更します。秋田市の事例でも、改ざんに気づいたその日にサイトを閉鎖し、警察に通報しています。

② 専門家に相談する

制作会社やサーバー会社に連絡し、何が起きたかを調べてもらいます。警察のサイバー犯罪相談窓口にも相談しましょう。

③ 個人情報保護委員会へ報告する

不正アクセスによる漏洩（またはそのおそれ）の場合、件数に関係なく報告が必要です。期限は次のとおりです。

報告	期限（発覚してから）
速報（第一報）	3〜5日以内
確報（詳しい報告）	30日以内（不正アクセスなどの場合は60日以内）

（出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」）

④ お客様へ知らせる

報告が必要なケースでは、情報が漏れたご本人へのお知らせも必要です。何が漏れたか、どう対応しているか、お客様に気をつけてほしいことを、わかりやすくお伝えします。

⑤ 原因を調べ、再発を防ぐ

なぜ起きたのかを確かめ、同じことが起きないよう対策します。

一番大切なのは、「もしもの時に誰に連絡するか」を今のうちに決めておくことです。発覚してからでは、調べる時間がありません。

まとめ

・情報漏洩の入口は、使っていないページや古いままのサイトであることが多い

・まずは自社のサイトをすべて書き出し、誰がどう管理しているかを把握する

・使い終わったサイトは、データの削除まで含めて正しく閉じる

・いなくなった担当者のアカウントや、使わなくなったメールアドレスを残さない

・漏洩したら「止める → 相談 → 報告 → お知らせ → 再発防止」。不正アクセスなら件数に関係なく報告が必要

「何から手をつければいいかわからない」という不安が、少し整理できましたでしょうか？ 完璧な対策でなくても大丈夫です。自社のサイトを書き出してみるだけでも、大きな一歩になります。

あわせて読みたい