なぜ今、Webサイトの点検が必要なのか

狙われるのは「会社」ではなく「弱点」

攻撃者は、インターネットにつながっているサーバーや機器を、プログラムを使って機械的に調べています。古いバージョンのソフトが動いていないか、管理画面が開いたままになっていないか、といった決まったパターンの弱点を探し、見つかった相手から順に攻撃を試みます。

このやり方では、会社の名前や規模、知名度はほとんど関係ありません。大企業より対策が手薄になりやすい分、むしろ小さな会社のサイトのほうが「入りやすい相手」として残ってしまうこともあります。狙われる理由は「有名だから」ではなく、「弱点が見えているから」です。

しかも、こうした探索は一度きりではありません。新しい脆弱性が公表されるたびに、その弱点を抱えたサーバーを探す動きが繰り返されます。昨日まで問題がなかったサイトでも、ソフトの欠陥が公表された翌日には「狙える相手」に変わることがあるのです。

数字で見る、中小企業の被害

警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）↗（新しいタブで開きます）によると、令和7年に警察へ報告されたランサムウェアの被害は226件で、被害に遭った組織のおよそ6割が中小企業でした。被害組織へのアンケートでは、感染経路の6割以上をVPN機器からの侵入が占めています。

これはWebサイトに限った数字ではありませんが、インターネットに向けて開いている入口の弱点が狙われるという点は共通しています。また、サイバー攻撃を想定した業務継続計画（BCP）を策定していた被害組織は約18%で、多くの組織が「止まったときの備え」を持たないまま被害に遭っていることも分かります。

「外から見える弱点」とは

Webサイトやメールの設定には、建物の外観のように、誰でも外から確かめられる部分があります。攻撃者が最初に見るのも、この部分です。たとえば、次のようなものがあります。

• ページやサーバーの応答に、使っているソフトの古いバージョンが表示されている
• Webサイトの管理画面のログインページが、誰でも開ける状態になっている
• SSL証明書（https通信のための証明書）の期限切れや、設定の不備がある
• 会社のドメインをかたった「なりすましメール」を防ぐ設定が入っていない
• テスト用のページや古いファイルが、公開されたまま残っている

どれも、それだけで直ちに被害につながるとは限りません。けれども、攻撃者にとっては「手入れがされていないサイト」だと判断する材料になります。逆に言えば、ここが整っているだけで、自動で探し回る攻撃の多くから外れやすくなります。

起きてからの負担と、予防の負担

被害が起きると、原因の調査、サイトやシステムの復旧、顧客や取引先へのお知らせとお詫び、問い合わせへの対応が一度に押し寄せます。個人情報が漏れた場合には、関係機関への報告が必要になることもあります。その間、本来の業務は止まり、失った信用は簡単には戻りません。

一方、予防のための作業の多くは、ソフトの更新、パスワードと認証の見直し、設定の確認といった地味なものです。一度に完璧を目指す必要はなく、「どこに弱点があるか」を知り、優先順位をつけて一つずつ片づけていけば十分に効果があります。そのための最初の一歩が、点検です。

また、Webサイトは会社の「顔」として、取引先や採用の応募者、これから問い合わせをしようとしているお客さまが最初に目にする場所でもあります。改ざんされたり、なりすましメールの差出人に使われたりすれば、自社だけでなく、サイトを訪れた人やメールを受け取った人にまで迷惑が及びます。点検は、自社を守るだけでなく、お客さまや取引先を守るための手入れでもあります。

外からの点検で、わかること・わからないこと

まもりスキャンの診断は、公開されている情報と、Webサイトの通常の応答だけを使う非侵入型の点検です。サイトに負荷や改変を加えることはありません。そのぶん、わかることとわからないことがあります。

• わかること：外から見えるバージョン表示、管理画面の公開状況、SSL証明書やメール認証の設定、公開されたままの不要なファイルなど、攻撃者が最初に目にする部分の状態
• わからないこと：社内のパソコンやネットワークの状態、パスワードの強さ、ログインした先の機能やプログラム内部の不具合、表示を隠している古いソフトなど

つまり、点検で問題が見つからなかったとしても、それは「安全が保証された」という意味ではありません。外から見える範囲に、目立つ弱点がなかったということです。ソフトは日々更新され、新しい脆弱性も公表され続けるため、一度きりではなく、定期的に確かめることが大切です。

また、点検の結果は、制作会社やサーバー会社と話し合うときの共通の材料にもなります。「何となく不安」ではなく、「この項目が古いと表示されている」と具体的に伝えられれば、対応の相談もしやすくなります。まずは、自社のサイトが外からどう見えているかを知ることから始めてみてください。