ホームページが乗っ取られたら？企業が今すぐ確認すべきセキュリティ対策
2026年では、企業を狙ったサイバー攻撃が相次いでおり、情報漏えいやシステム停止など、深刻な被害が発生しています。特に2026年の被害件数は大幅に増加しており、情報流出事案は2026年1月～9月時点で454件発生しています。昨年同時期では304件と49%増加し、過去5年間の中で最多の被害が出ています。さらに、2026年10月13日時点で被害事案は458件へ伸びており、2025年通年の432件を既に上回っている勢いです。
参照：株式会社MM総研「サイバー攻撃による情報漏えい、2026年は4年前の約1.9倍に」
こうした被害は大企業だけでなく、中小企業にも広がっており、決して他人事ではありません。特に企業のホームページが改ざんされたり、サーバーが乗っ取られたりすると、顧客からの信頼低下やビジネス機会の損失につながる可能性があります。
もし今日、自社のホームページがサイバー攻撃を受けたら、何時間で元の状態に戻せるでしょうか？セキュリティ対策というと、「どうやって破られないようにするか」に目が向きがちです。もちろんそれは大切ですが、近年の被害事例を見ていくと、明暗を分けているのは「破られたかどうか」よりも、「破られた後にどれだけ早く業務を戻せたか」でした。攻撃の手口は日々進化しており、どれだけ守りを固めても侵入される可能性をゼロにはできません。だからこそ、“破られる前提”で復旧までの道筋を用意しておくこと、つまりBCP（事業継続計画）の視点が、企業活動を守るうえで欠かせなくなっています。
本記事では、実際の被害事例をもとに、企業が取り組むべきホームページのセキュリティ対策や、万が一の際に備えるBCP（事業継続計画）、バックアップ・復旧体制について解説します。
目次
中小企業も標的に！サイバー攻撃の現状と狙われる理由
警察庁の発表によると、企業・団体からのランサムウェア（データを暗号化して身代金を要求する攻撃）の被害報告件数は、令和3年の146件から、令和4年230件、令和5年197件、令和6年222件、令和7年226件と、高い水準のまま推移しています。
さらに、被害に遭った組織の約6割は中小企業です。サイバー犯罪の検挙件数も過去最高を更新しました。「うちは大企業じゃないから狙われない」と思われがちですが、実態は逆です。
参照：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
中小企業がサイバー攻撃の標的になりやすい3つの理由
①対策が手薄になりやすい
専任の担当者がおらず、更新作業や点検が後回しになりがちです。
②大企業への「踏み台」に
取引先の大企業へ侵入するための入口として、セキュリティの弱い中小企業が狙われます。
③業務停止を避けるため、身代金に応じてしまいやすい
止まっている間の損失が大きいほど、攻撃者にとっては“払ってもらいやすい相手”になります。
VPNやホームページなど外部との接続口が狙われる
侵入経路の6割以上は、社外から社内へつなぐための機器（VPN機器）の弱点でした。つまり攻撃者は、正面玄関ではなく「社外とつながっている勝手口」から入ってきます。ホームページ、お問い合わせフォーム、サイトの管理画面、サーバーへのログイン口も、まさに会社の外に向かって開いている入口のひとつです。
実際に起きた事例から見える「本当の被害」
ここでは、実際に国内で起きたサイバー攻撃の事例を4つご紹介します。どれも「特別な会社に起きた特別な話」ではなく、どの企業にも当てはまる原因から起きています。
【事例1】自動車部品メーカー（愛知県・2022年）
子会社のリモート接続機器の弱点を突かれ、ランサムウェアに感染しました。 その影響で、翌日には取引先であるトヨタ自動車の国内14工場・28ラインが稼働を停止。約13,000台分の生産に影響が出ました。
原因は、機器の更新（ファームウェア更新）が行われておらず、不審なアクセスに気づく仕組みもなかったことです。自社だけの問題では済まず、取引先にまで被害が広がる「サプライチェーンリスク」を象徴する事例です。
【事例2】大阪の急性期病院（2022年）
給食の委託業者が使っていたVPN機器から侵入され、電子カルテが暗号化されました。
委託先の機器の弱点は約4年間放置されており、さらに複数のサーバーで共通のパスワードが使われていました。そして最も痛手だったのが、バックアップが本番と同じネットワーク上にあり、一緒に暗号化されてしまったことです。電子カルテは長期間停止し、救急の受け入れや手術も制限され、復旧費用は約2億円にのぼりました。
「バックアップを取っていたのに、戻せなかった」。この事例の教訓はここにあります。
【事例3】名古屋港のコンテナターミナル（2023年）
国内最大の貿易港で、コンテナの搬出入を管理するシステムがランサムウェアに感染しました。5つのターミナルで業務が全面停止し、コンテナの積み降ろしが約3日間完全にストップ。物流が大きく混乱しました。
ここで指摘されたのが、事前にインシデント対応の計画が作られておらず、初動の判断に時間がかかったことです。また、バックアップにも不正なプログラムが混入していました。
【事例4】印刷・発送を請け負う情報処理会社（2024年）
ランサムウェアの感染により、複数のサーバーや端末が暗号化されました。本来であれば業務終了後に削除すべきデータがサーバーに残っており、委託元である公的機関や金融機関の個人情報、約300万件がダークウェブ（盗まれたデータが売買される匿名の闇サイト）に公開されてしまいました。
原因は、既知の機器の弱点の長期放置、多要素認証（後述）の未導入、そして「不要なデータは消す」というルールが形骸化していたことでした。 個人情報保護委員会から異例の行政指導を受け、社会的な信用も大きく損なわれました。
4つの被害事例に共通するセキュリティ上の問題点
4つの事例に共通していることを整理すると、次のようになります。
- 侵入口は「社外とつながる接点」に集中している
- パスワードの使い回しや、多要素認証の未導入が侵入を許している
- 準備がないと初動が遅れ、被害が拡大する
- バックアップがあっても「使えない」ことがある
- 被害は自社だけでなく、取引先やお客様へと広がる
特に注目したいのは、被害を大きくしたのが「侵入されたこと」そのものよりも、「戻せなかったこと」「動けなかったこと」だったという点です。
企業のホームページに必要な5つのセキュリティ対策
とはいえ、守りの基本ができていなければ話は始まりません。ホームページに関して、最低限押さえておきたい対策を5つご紹介します。「全部できている」と言い切れるか、ぜひチェックしながらお読みください。
① CMS・プラグイン・サーバーを最新の状態に保つ
WordPressなどのCMS本体、プラグイン、テーマ、そしてサーバーのPHPなどは、弱点（脆弱性）が見つかるたびに修正版が公開されます。攻撃者は修正版が公開された直後から、その弱点を狙って一斉に攻撃を仕掛けてきます。
実際に2026年10月21日、多くのWEBサイトが緊急対応に追われたのも、プログラミング言語PHPの脆弱性に対する修正版が公開され、同時に攻撃者に弱点が知られてしまうことからひと騒動となりました。
「数年前に作ってから一度も更新していない」サイトは、鍵の壊れたドアを開けっぱなしにしているのと同じ状態です。サポート期限が切れたバージョンを使い続けていないかも、あわせて確認が必要です。
② 多要素認証で管理画面への不正ログインを防ぐ
サイトの管理画面やサーバーのコントロールパネルに、IDとパスワードだけでログインできる状態になっていませんか？
パスワードは総当たりや流出によって破られることがあります。スマートフォンのアプリやワンタイムパスワードで本人確認を追加する「多要素認証」は、費用が少なく効果が大きい、最も優先したい対策です。あわせて、他サービスとのパスワード使い回しをやめること、退職者や制作時に作った不要なアカウントを削除することも重要です。
③ お問い合わせフォームの個人情報を「溜めない」
フォームから届いた個人情報が、サーバー上に何年分も保存されたままになっていませんか？事例4のように、本来消すべきデータが残っていたことが、漏えいの規模を大きくしてしまいます。
必要な期間を過ぎたデータは削除する、そもそもサーバーに保存しない設定にする、といった見直しだけでも、万一の際の被害を大きく減らせます。もちろん、通信の暗号化（SSL化／URLが「https」で始まること）は今や必須です。
関連記事：ホームページのSSL化とは？必要性・リスクとリニューアルの判断基準
④ ドメイン・サーバーなどの管理状況を把握する
ドメイン、サーバー、CMS、フォーム、アクセス解析……。ホームページは、意外と多くのサービスの組み合わせで成り立っています。
「サーバーの契約者が退職した担当者の名前のまま」「ドメインの管理画面に誰もログインできない」というケースは決して珍しくありません。何がどこで動いていて、誰が管理しているのかが分からなければ、守ることも、被害の範囲を調べることもできません。
異変に気づける仕組みをつくる
攻撃者は、侵入してから実際に被害を起こすまで、数週間から数か月潜伏することがあります。
管理画面のログイン履歴、ファイルの改ざん、見覚えのないアカウントの追加などを定期的に確認したり、監視サービスを利用したりすることで、被害が広がる前に気づける可能性が高まります。「深夜・休日のログイン」「見覚えのない場所からのアクセス」は特に要注意のサインです。
サイバー攻撃からの早期復旧に必要なホームページのBCP対策
ここからが今回、最もお伝えしたいことです。先ほどの事例を振り返ると、同じように侵入されても、「どれだけ早く業務を戻せるか」で被害の大きさは何倍にも変わります。
ホームページは、お客様が最初に会社を確かめに来る場所であり、問い合わせや採用応募の窓口でもあります。止まっている時間がそのまま、機会損失と信用の低下につながります。そこで重要なのが「BCP(事業継続計画)」です。ホームページのBCPとして、最低限決めておきたいのは次の4つです。
① ホームページの復旧時間と復旧時点の目標を決める
例えば「24時間以内に表示を戻す」「最大1日前の状態まで戻せればよい」といった目標です。
この目標が決まって初めて、バックアップの頻度や保管方法、復旧の手順を具体的に決めることができます。毎日更新するECサイトと、年に数回しか更新しない会社案内サイトとでは、必要な備えはまったく違います。
② バックアップを別の場所に保管する「3-2-1ルール」
サーバー会社の自動バックアップは心強い存在ですが、それだけに頼るのは危険です。事例2のように、本番と同じ環境に置いたバックアップは、攻撃を受けたときに一緒に暗号化されたり、消されたりしてしまいます。目安として知られているのが「3-2-1ルール」です。
- データのコピーを3つ持つ
- 2種類の異なる保存先に保管する
- そのうち1つは別の場所（オフライン、または別のクラウドアカウントなど）に保管する
さらに、事例3のようにバックアップ自体に不正なプログラムが紛れ込むこともあるため、「いつのバックアップなら安全か」をさかのぼれるよう、複数世代を残しておくことも大切です。
③ バックアップから復旧できるか年に1回はテストする
バックアップは「取っている」だけでは意味がありません。いざというときに戻せなければ、無いのと同じです。
年に1回は、実際にバックアップからサイトを復元してみて、きちんと表示されるか、何時間かかったかを記録しておきましょう。この「戻すのにかかった時間」が、①で決めた目標を守れるかどうかの答えになります。
④ サイバー攻撃発生時の初動対応と連絡体制を整える
いざ被害が発覚したとき、「誰に連絡すればいいの？」と迷っている間にも被害は広がります。事例3でも、事前の計画がなかったことで初動の判断に時間がかかりました。感染や改ざんが分かったときの初動は、大きく5つのステップです。
- 感染した端末やサーバーをネットワークから切り離す（慌てて再起動しない）
- あらかじめ決めた社内の責任者へすぐに報告する
- 被害の範囲を確認する（自力で直そうとしない）
- 制作会社・保守会社、専門家、警察の相談窓口などへ連絡する
- 「何時に何を見つけ、何をしたか」を時系列で記録する
加えて、個人情報の漏えいが発生した、またはその恐れがある場合には、個人情報保護法にもとづき、個人情報保護委員会への報告やご本人への通知が必要になります。
「知らなかった」「担当者に任せていた」では済まされず、対策の不備を問われれば、お客様や取引先から損害賠償を求められる可能性もあります。また、ホームページが復旧するまでの間に「臨時のお知らせページ」を表示できるよう準備しておくと、お客様や取引先への説明もスムーズになります。「隠す」という選択は、後でより大きなリスクになります。
いずれも、平常時に30分ほど「もし今日サイトが乗っ取られたら、誰が何をする？」と話し合っておくだけで、いざというときの動きが大きく変わります。
自社ホームページのセキュリティ対策を見直そう
ここまでお読みいただき、
「うちのサイト、最後に更新したのはいつだろう？」
「バックアップがどこにあるのか、正直分からない」
「管理画面のパスワード、誰が知っているんだっけ？」
と感じた方もいらっしゃるのではないでしょうか。
実際、中小企業を対象にした調査でも、「バックアップからの復元テスト」や「インシデント対応の訓練」は、必要性は分かっていても手が回っていない企業が大半という結果が出ています。裏を返せば、今から手を打てば、多くの企業より一歩先に備えられるということです。
3分でできる！ホームページのセキュリティチェック10項目
次の10項目のうち、「はい」と即答できるものはいくつありますか？
□ CMS本体・プラグイン・テーマを、この3か月以内に更新した
□ サーバーのPHPなどが、サポート期限内のバージョンで動いている
□ 管理画面に多要素認証を設定している
□ 管理画面のアカウントを誰が持っているか把握しており、不要なアカウントがない
□ フォームの個人情報を、必要以上にサーバーへ溜めていない
□ ドメイン・サーバーの契約者と、ログインできる人が社内で分かる
□ バックアップが、本番サーバーとは別の場所にもある
□ この1年以内に、バックアップから実際にサイトを復元してみた
□ 「何時間で戻すか」の目標が決まっている
□ 被害に気づいたとき、最初に誰へ連絡するかが決まっている
7つ以上「はい」なら、かなり備えができている状態です。4〜6つなら、守りはあるものの「戻す力」に不安が残る状態。3つ以下なら、早めに一度、専門家の目で現状を確認されることをおすすめします。
ホームページのセキュリティチェック・改善・運用サポート
エムズコーポレーションでは、ホームページの制作・運用でこれまで培ってきた知見をもとに、自社サイトのセキュリティとBCPを次の3つのステップでお手伝いしています。
STEP1：セキュリティチェック
CMSやプラグインのバージョン、管理画面のログイン設定、フォームの個人情報の扱い、バックアップの有無と保管場所、ドメイン・サーバーの管理者などを確認し、現状を「見える化」します。
STEP2：改善案のご提案
チェック結果をもとに、「今すぐ対応すべきこと」「計画的に進めればよいこと」を優先順位をつけて整理し、貴社の規模やご予算に合わせた改善案をご提案します。
STEP3：改修・運用のお手伝い
システムの更新、多要素認証の設定、バックアップの仕組みづくりと復元テスト、いざというときの連絡体制の整理まで、必要に応じて実際の改修・運用もサポートいたします。
最後に
「他社で制作したサイトだけど見てもらえる？」
「何から手をつければいいか分からない」
「とりあえず、今のサイトが危ないのかだけ知りたい」
といった段階でも、もちろん大丈夫です。
自社のHPやECサイトなど、WEB周りのセキュリティが不安な方はぜひお気軽にご相談下さい。
サイバー攻撃は「いつか来る」ものです。大切なのは、来たときに慌てず、すぐに元へ戻せること。貴社の大切なお客様と事業を守るために、まずは現状の確認から始めてみましょう。
