ホームページのセキュリティ対策｜中小企業が最低限やる5つ

「自社のホームページ、セキュリティは大丈夫か」と聞かれて即答できる中小企業は多くありません。実際に起きる事故は高度なサイバー攻撃ばかりではなく、証明書の期限切れ、CMSの放置、ドメインの更新忘れ、そして「誰が管理しているか分からない」という管理不在です。この記事では、中小企業が自社サイトで最低限やるべきことを5つに絞り、優先順位と費用の目安、自社でやる範囲と外注する範囲の分け方まで整理します。

結論：中小企業が最低限やる5つ

先に結論です。予算も人手も限られる中小企業がホームページのセキュリティ対策を考えるなら、次の5つを上から順に潰すのが現実的です。順番には理由があり、上ほど「起きたときに事業が止まる」かつ「対策の手間が小さい」ものを置いています。

この5つに共通しているのは、攻撃を防ぐ話より「気づける状態」と「戻せる状態」を作る話が先に来ていることです。中小企業のサイトで実際に困るのは、侵入そのものより「侵入されたことに数か月気づかなかった」「戻したいがバックアップがない」というほうだからです。

なお、公的な整理としてはIPA（情報処理推進機構）の中小企業の情報セキュリティ対策ガイドラインが参考になります。2026年3月27日公開の第4.0版では、従来の「情報セキュリティ5か条」に「バックアップを取ろう!」が加わって6か条になり、付属の自己診断にも「ウェブサイトを安全に運用する」という項目が追加されました（IPA プレス発表 2026年3月27日）。バックアップとサイト運用が独立した項目に格上げされたこと自体が、この記事の5つとほぼ同じ方向を向いています。

なぜ中小企業の小さなサイトが狙われるのか

「うちは無名で、盗まれて困る情報も置いていない」という前提が、そもそも攻撃側の考え方と噛み合っていません。多くの攻撃は「この会社を狙おう」と決めて始まるのではなく、インターネット全体を機械的にスキャンして、脆弱なサーバーを見つけたら片っ端から入るという順序で動きます。狙われているのは会社ではなく、放置されたソフトウェアのバージョンです。

無差別スキャンは実際に観測されている

JPCERT/CC（JPCERTコーディネーションセンター）の四半期レポートには、システムの弱点を探る「スキャン」として報告された件数が載っています。2026年4月1日〜6月30日のレポート（2026年7月16日公開）では、スキャンの報告件数は190件で前四半期の156件から22%増加しました。スキャンの対象になったポートの上位はTelnet（23/TCP）、HTTP（80/TCP）、HTTPS（443/TCP）で、ウェブサイトが動いているポートがそのまま探索の対象になっていることが分かります。

ここで言う件数はあくまで「JPCERT/CCに報告があった数」であり、実際に走っているスキャンの総量ではありません。それでも、報告として上がってくる程度には日常的に起きている、という事実の裏付けにはなります。

脅威の順位も「脆弱性の放置」を上位に置いている

IPAが2026年1月29日に公表した情報セキュリティ10大脅威 2026の組織編では、1位が「ランサムウェア攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、4位が「システムの脆弱性を突いた攻撃」でした。3位には「AIの利用をめぐるサイバーリスク」が初選出されています。

中小企業にとって重いのは2位です。取引先の大企業に入るための踏み台として、セキュリティの手薄な中小企業が選ばれるという構図が、8年連続で上位に居座っています。自社の被害額が小さくても、取引先に迷惑をかけた瞬間に信用の問題になります。ホームページはインターネットに常時公開されている、いちばん外側の入口です。

事故①サイト改ざん・不正リダイレクト

最も多い「気づかない事故」がこれです。トップページが真っ黒になって犯行声明が出るような分かりやすい改ざんは、今はむしろ少数派です。実際には、見た目は何も変わらないまま、検索エンジンや一部の訪問者にだけ別の中身を見せるタイプが主流になっています。

報告件数は直近で倍増している

前掲のJPCERT/CC四半期レポート（2026年4月〜6月）では、Webサイト改ざんとして報告された件数は181件（4月46件、5月55件、6月80件）で、前四半期の90件から101%増と大幅に増えました。同レポートは確認された改ざんの傾向として、検索エンジンのユーザーエージェント（Googlebotなど）でアクセスしたときだけ別のコンテンツが表示される状態にするSEOポイズニング目的のものと、閲覧者を別の不正なサイトへ誘導するものを挙げています。

気づき方

Googleも公式ドキュメントで、改ざんの類型として「コードの挿入」「ページの挿入」「隠しリンクや隠しテキストの追加」「リダイレクト」を挙げ、リダイレクトはリファラーやユーザーエージェント、デバイスの種類によって出し分けられると説明しています（Google 検索セントラル「ハッキングされたコンテンツとは」）。社内のPCから直接URLを打って開いても正常に見え、検索結果から来た人だけ怪しいサイトへ飛ぶ、ということが普通に起こります。自分で見て確認するやり方が効かないのはこのためです。

現実的な気づき方は次の3つです。ひとつめはGoogle Search Consoleの「セキュリティの問題」レポートを登録しておくこと。検知されると管理者宛にメールが届き、放置すると検索結果に警告ラベルが出たり、ブラウザで警告画面が挟まったりします（Google Search Console ヘルプ「セキュリティの問題レポート」）。ふたつめは「site:」検索で自社ドメインを検索し、見覚えのないページが増えていないか月1回見ること。みっつめは、サーバーのアクセスログを確認することです。IPAはiLogScannerというアクセスログから攻撃の痕跡を検出する無償ツールを公開しています。

初動でやること

改ざんが疑われたら、順番はだいたい決まっています。①サイトを一時的に閉じるか、少なくとも管理画面へのアクセスを止める。②レンタルサーバーの会社に連絡し、いつのバックアップが残っているかを確認する。③改ざん前のバックアップに戻す。④侵入経路（古いプラグイン、漏れた管理者パスワード、FTPアカウント等）を塞ぐ。⑤全アカウントのパスワードを変更する。⑥Search Consoleから再審査をリクエストする。

⑥は時間がかかります。Googleのヘルプは、再審査の結果が出るまで数日から数週間かかる場合があるとしています。つまり「戻してすぐ元通り」にはならず、その間は検索経由の問い合わせが落ちます。事故のコストは復旧作業だけではありません。

事故②SSL/TLS証明書の期限切れ

SSL証明書が切れると、ブラウザが「この接続ではプライバシーが保護されません」という全面警告を出し、訪問者は事実上サイトに入れなくなります。サーバーは動いていて中身も無事なのに、外から見ると「危険なサイト」になる。事故としては地味ですが、機会損失は改ざんより大きいこともあります。

有効期間は短縮の方向にはっきり動いている

ここは今後の運用に直結するので、確定している事実だけ書きます。ブラウザ各社と認証局が参加するCA/Browser Forumは、2025年4月11日にBallot SC-081v3を可決しました（認証局側25賛成・0反対・5棄権、ブラウザ側4賛成・0反対）。これにより、サーバー証明書の最大有効期間が段階的に短縮されます。現行のBaseline Requirementsに定められたスケジュールは次のとおりです。

すでに2026年3月15日から最大200日になっています。「1年に1回、担当者が手で更新する」という運用は、遅くとも2027年には破綻します。2029年に47日となれば、年8回前後の更新が必要になる計算です。

中小企業が今やること

やることは1つで、証明書を自動更新にすることです。多くのレンタルサーバーは無料SSL（Let's Encrypt等）の自動更新機能を標準で持っており、管理画面のチェックボックス1つで済む場合が多いです。すでに自動更新になっているなら、有効期間の短縮は基本的に意識しなくて構いません。

注意が必要なのは、有料の証明書を年契約で買って手で入れ替えている場合と、制作会社が入れたまま連絡が取れなくなっている場合です。この2つは今のうちに自動更新へ切り替えるか、切り替えられない事情があるなら更新期限をカレンダーに登録し、期限の30日前に通知が飛ぶようにしておくのが最低限です。証明書の有効期限はブラウザの鍵アイコンから誰でも確認できるので、月1回見るだけでも事故はかなり減ります。

事故③WordPressを更新しない

日本の中小企業サイトの多くはWordPressで作られており、更新をやめた瞬間から時限爆弾になります。ここは数字がはっきりしている領域です。

脆弱性のほとんどはプラグインとテーマ側にある

WordPressのセキュリティを専門に扱うPatchstack社の年次レポートState of WordPress Security in 2026によると、2025年にWordPressエコシステムで新たに発見された脆弱性は11,334件で、2024年の7,966件から42%増加しました。内訳は91%がプラグイン、9%がテーマ、WordPress本体（コア）はわずか6件で、いずれも低優先度です。全体の17%（1,966件）が高深刻度と評価されています。

この内訳が実務上いちばん大事です。「WordPress本体が危ない」のではなく、入れっぱなしのプラグインが危ない。だから対策の第一歩は更新ですらなく、使っていないプラグインとテーマを削除することになります。停止しているだけのプラグインもファイルはサーバーに残っており、攻撃対象になり得ます。

直すまでの猶予は短い

同レポートは、最も激しく狙われる脆弱性について公表から最初の悪用までの加重中央値が5時間だったとしています。さらに、公表時点で修正パッチが用意されていなかった脆弱性が46%あったとも報告されています。「更新すれば必ず安全」ではなく、更新しても間に合わないケースが半分近くある、というのが現実です。

とはいえ、これは更新をやめる理由にはなりません。実際に攻撃されているサイトの大半は、5時間で悪用された最先端の脆弱性ではなく、何か月も前に修正版が出ている既知の脆弱性を放置しているサイトです。更新は万能ではないが、やらない選択肢はない、というのが正直なところです。

更新すると壊れることがある、という話を正直に

「更新したらレイアウトが崩れた」「フォームが動かなくなった」は実際に起きます。だから多くの会社が更新をためらう。WordPress公式のドキュメントも、更新前のバックアップを繰り返し求めており、「サイト全体とデータベースのバックアップが更新前に取られていなければ、ロールバックの成功はほぼ不可能」と明記しています（WordPress Developer Resources「Upgrading WordPress」）。

現実的な折衷案は3段階です。第一に、マイナーリリースの自動更新は切らないこと。WordPressはセキュリティ修正を含むマイナーリリースと翻訳ファイルの自動更新を既定で有効にしており、公式ドキュメントもこれを無効化しないよう強く推奨しています。第二に、プラグインのメジャー更新は月1回まとめて、バックアップを取った直後に行うこと。第三に、決済フォームや予約システムなど止まると売上に直結する機能があるサイトは、ステージング環境（本番と同じ構成のテスト用サイト）で先に試すことです。ステージングはレンタルサーバーの標準機能として提供されていることも多く、その場合は追加費用なしで用意できます。

ここまで読んで「毎月やるのは無理そうだ」と感じたなら、それが正しい判断だと思います。更新作業そのものは難しくありませんが、「壊れたときに戻せる人が社内にいるか」で話がまったく変わるからです。Mihataでもホームページ制作とあわせて保守をお引き受けしていて、こうした月次の更新と復旧の受け皿を担当しています。自社で回せそうならその方が安く済みますので、判断材料として見ていただければ十分です。

事故④ドメイン・サーバーの失効／管理者不明

技術的にはいちばん単純で、実害はいちばん大きいのがこれです。ドメインの更新を忘れるとサイトもメールも同時に止まり、しかも放置期間が延びるほど取り戻せなくなります。第三者に取得されてしまえば、法的手段以外に戻す方法はありません。詳しい猶予期間と復旧の流れは、ドメイン更新忘れでサイトが消えたときの復旧期限で整理しています。

そして中小企業でいちばん多いのが、そもそも誰が管理しているか分からないという状態です。10年前に頼んだ制作会社が廃業した、担当していた社員が退職した、請求書は毎月引き落とされているが何の費用か分からない。この状態だと、証明書の更新もCMSの更新もバックアップも、着手すらできません。調べ方の手順はドメインとサーバーの管理会社がわからないときの調べ方にまとめています。

結論の表で①を最上位に置いたのはこのためです。ドメインの登録者・管理者、サーバーの契約者、SSL証明書の発行元、CMSの管理画面URLと管理者アカウント、この5点を1枚の紙にまとめる。費用は0円で、所要時間はせいぜい半日です。ここが埋まっていないと、他の4つはどれも実行できません。

自社でやる範囲と外注する範囲の分け方

「セキュリティは専門家に任せるもの」と考えると、かえって何も進みません。判断の軸はシンプルで、壊す可能性がある作業は外注、情報を持っておく作業は自社です。パスワードやアカウントの管理を外注に丸投げすると、管理者不明の状態が再生産されます。

保守契約に何が含まれ、何が含まれないか

ここは正直に書きます。ホームページの「保守契約」という言葉は業界で定義が統一されておらず、会社によって中身がまったく違います。月額数千円のプランで「サーバー・ドメインの管理」とだけ書かれている場合、CMSの更新やバックアップは含まれていないことが珍しくありません。

契約前に確認したい項目は4つです。①CMS・プラグインの更新は含まれるか、頻度は月何回か。②バックアップは誰が取り、何世代・何日分残り、復旧は無償か有償か。③改ざん・障害時の一次対応は含まれるか、連絡可能な時間帯はいつか。④文言や画像の修正は月何回まで含まれるか。この4つが書面に書かれていない保守契約は、実質「サーバー代の取次ぎ」であることがあります。

費用の目安は、更新代行を含む保守で月額5千円〜3万円程度の幅に収まることが多い印象です。ページの更新代行まで含めるとこれより上がります。ただしサイトの規模や機能（ECや会員機能の有無）で大きく変わるため、相場だけで判断せず、上の4項目で中身を比べたほうが確実です。分担と費用の考え方はホームページ運用・更新代行の分担と費用相場でも整理しています。

もうひとつ正直な話として、古すぎるサイトは保守で延命するより作り直したほうが安いことがあります。サポートが終了したPHPで動いている、使われなくなったプラグインに依存している、スマートフォン表示に対応していない、といった場合、毎月の保守費を払い続けても土台のリスクは減りません。判断の目安はホームページをリニューアルすべきサインにまとめています。

まとめ：今日できるチェックリスト

最後に、今日から着手できる形に落とします。上から順に、下に行くほど時間がかかります。

1. ブラウザで自社サイトを開き、鍵アイコンから証明書の有効期限を確認する（3分）。2026年3月15日以降に発行された証明書は最大200日なので、以前より期限が近いはずです。
2. Google Search Consoleに自社サイトを登録し、「セキュリティの問題」を確認する（30分）。通知の受信先は必ず社内のアドレスにします。
3. Googleで site:自社ドメイン と検索し、見覚えのないページが出ていないか見る（5分）。改ざんの発見手段として実用的です。
4. ドメイン・サーバー・SSL・CMSの管理情報を1枚にまとめる（半日）。分からない項目があれば、それが最優先の課題です。
5. WordPressの管理画面で、停止中のプラグインとテーマを削除する（30分）。作業前にバックアップを取ってください。
6. バックアップが「いつ・どこに・何世代」残っているかを確認し、1つ実際に復元してみる（半日〜）。取れているつもりで壊れていた、が最も多い失敗です。
7. 管理者アカウントを一覧化し、退職者や関係の切れた業者のアカウントを削除する（1時間）。残ったアカウントは2要素認証を有効にします。

1〜3は今日中に終わります。4〜7は誰かが手を動かす必要がありますが、外注しても大きな費用にはなりません。セキュリティ対策というと大掛かりな投資を想像しがちですが、中小企業のホームページで実際に起きる事故のほとんどは、この7つのどれかが抜けていたことが原因です。

自社サイトの現状が分からない、どこから手を付ければいいか判断がつかない、という段階でもかまいません。Mihataでは中小企業のホームページ制作と保守を行っており、現状の確認と優先順位の整理からご相談いただけます。無理に契約をおすすめすることはありませんので、気になる点があればお気軽にお声がけください。