「ホームページは会社の顔」は、攻撃者にとっても同じ
会社のWebサイトが改ざんされると、困るのは見た目だけではありません。訪問者が不正なサイトに誘導されたり、ウイルスを配る踏み台にされたり、問い合わせフォームに入力された個人情報が抜き取られたりします。被害者のつもりが、取引先やお客様から見れば「加害者側」になってしまうのがWebサイトの怖いところです。
IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026［組織］」でも、「システムの脆弱性を悪用した攻撃」が4位、「サプライチェーンや委託先を狙った攻撃」が2位に入っています。Webサイトはこの両方の入口になり得ます。
この記事では、IPAの「安全なウェブサイトの作り方」を軸に、中小企業のWebサイトで何をすればいいかを整理します。開発の細部よりも、発注者・運用担当者として知っておくべきことに重点を置きました。
---
IPA「安全なウェブサイトの作り方」とは
「安全なウェブサイトの作り方」は、IPAが公開しているWebサイトのセキュリティ対策の手引きです。IPAに届け出られた脆弱性の情報をもとに、Webサイトで特に問題になりやすい脆弱性と、その根本的な対策・保険的な対策をまとめています。PDFで無料公開されています。
2026年11月時点でIPAのページに掲載されているのは改訂第7版（第4刷、2021年3月31日）です。版は古く見えますが、扱っている脆弱性は今でもWebサイトの事故の原因として現役です。
本編のほかに、次の関連資料がまとめて公開されています。
- セキュリティ実装 チェックリスト（Excel）：開発時・納品時の確認に使える
- ウェブ健康診断仕様：最低限の脆弱性診断の項目と手順を定めたもの
- 安全なSQLの呼び出し方：SQLインジェクション対策の補足資料
- 安全なウェブサイトの運用管理に向けての20ヶ条：作ったあとの運用で守るべきこと
制作会社に「IPAの『安全なウェブサイトの作り方』に沿って作っていますか」「チェックリストで確認していますか」と聞くだけでも、相手の対応レベルがある程度わかります。
---
「安全なウェブサイトの作り方」が扱う11の脆弱性
本編で取り上げているのは次の11種類です。専門用語が多いので、何が起きるのかを一言で添えました。
| No. | 脆弱性 | 何が起きるか | |---|---|---| | 1 | SQLインジェクション | データベースの情報を盗まれる・書き換えられる | | 2 | OSコマンド・インジェクション | サーバー上で勝手に命令を実行される | | 3 | パス名パラメータの未チェック／ディレクトリ・トラバーサル | 公開していないファイルを読み取られる | | 4 | セッション管理の不備 | ログイン中の利用者になりすまされる | | 5 | クロスサイト・スクリプティング（XSS） | 偽の入力画面を表示される、Cookieを盗まれる | | 6 | CSRF（クロスサイト・リクエスト・フォージェリ） | 利用者が意図しない操作（投稿・設定変更）をさせられる | | 7 | HTTPヘッダ・インジェクション | 偽のページ表示や不正なCookie設定をされる | | 8 | メールヘッダ・インジェクション | フォームを悪用して迷惑メールを送られる | | 9 | クリックジャッキング | 透明なページを重ねられ、意図しないクリックをさせられる | | 10 | バッファオーバーフロー | プログラムを異常終了させられる、任意のコードを実行される | | 11 | アクセス制御や認可制御の欠落 | 他人の情報や管理機能にアクセスされる |
会社案内が中心のサイトでも、問い合わせフォーム、検索機能、会員ページ、CMSの管理画面があれば、これらの多くが関係してきます。特にメールヘッダ・インジェクションは、自作の問い合わせフォームでよく見つかる問題です。
根本的解決と保険的対策
「安全なウェブサイトの作り方」では、対策を2段階に分けています。
- 根本的解決：脆弱性そのものを作らない実装（例：SQL文を組み立てるときにプレースホルダを使う）
- 保険的対策：根本的解決が漏れたときに被害を抑える対策（例：エラーメッセージに内部情報を出さない、WAFで攻撃パターンを止める）
WAFは保険的対策の代表です。便利ですが、「WAFを入れたから作りは多少甘くていい」という考え方は逆です。両方そろえて初めて安心できる、と考えてください。
---
Webサイトのセキュリティ対策：運用編
作り方が正しくても、運用で穴が開くことはよくあります。IPAの「20ヶ条」の考え方を、中小企業向けに7つに絞ると次のようになります。
1. ソフトウェアを最新に保つ
CMS（WordPressなど）、プラグイン、サーバーのOS・ミドルウェア、PHPなどの言語。どれか1つでも古いと、そこが入口になります。レンタルサーバーならOSやミドルウェアはサーバー会社が更新してくれますが、CMSとプラグインは利用者側の責任です。WordPressの具体的な手順はWordPressのセキュリティ対策にまとめました。
2. アカウントとパスワードを管理する
サーバー管理画面、FTP、CMS、ドメイン管理会社。Webサイトには意外と多くのアカウントがあります。誰がどのアカウントを持っているかを一覧にし、使い回しのない長いパスワードと、可能なものは二段階認証を設定します。退職者や過去の制作会社のアカウントが残っていないかも確認してください。
3. HTTPSを常時有効にする
すべてのページをHTTPSで配信し、HTTPでアクセスされたらHTTPSに転送します。証明書の期限切れでサイトに警告が出る事故も多いので、自動更新されているかを確認しておきましょう。
4. セキュリティヘッダを設定する
ブラウザ側の防御機能を有効にする設定です。たとえば、クリックジャッキング対策としてページを他サイトの枠内に表示させない設定（X-Frame-Options や CSP の frame-ancestors）、HTTPSを強制するHSTSなどがあります。サーバーの設定ファイルや配信サービスの設定で追加できます。
5. 使っていないものを消す
キャンペーンで作った古いLP、テスト用のディレクトリ、使っていないフォーム。管理されていないページは更新もされないので、攻撃者にとっては格好の標的です。
6. バックアップとログを残す
ファイルとデータベースのバックアップを複数世代、サーバー外にも保存します。アクセスログは、被害に遭ったときに「いつ、どこから入られたか」を調べる唯一の手がかりになります。保存期間を確認しておきましょう。
7. 外部サービスの読み込みを把握する
アクセス解析、チャット、広告タグなど、外部のスクリプトを読み込んでいるサイトは多いはずです。読み込み先が乗っ取られると、自社サイトに何も問題がなくても被害が出ます。何を、なぜ読み込んでいるのかを一覧にし、不要なタグは外してください。
---
ホームページ改ざんの兆候と、起きたときの対応
こんな兆候があったら要注意
- 見覚えのないページやファイルが増えている
- スマホからアクセスしたときだけ別のサイトに飛ばされる
- Googleの検索結果に、海外のブランド品や医薬品などスパムのような説明文が表示される
- Google Search Consoleから「セキュリティの問題」の通知が届いた
- ブラウザやセキュリティソフトが警告を出す
改ざんは、運営者に気づかれにくい形で行われることが多いです。「特定の条件のときだけ転送する」「検索エンジンにだけ別の内容を見せる」といった手口があるので、自社の社員がPCで見て普通に表示されていても安心はできません。
対応の手順
社内だけで原因を特定するのが難しい場合は、フォレンジック（調査）を専門会社に依頼することになります。
---
対策の優先順位：中小企業ならここから
予算も人手も限られる中で、どこから手をつけるかの目安です。
| 優先度 | 対策 | 費用の目安 | |---|---|---| | 最優先 | CMS・プラグインの更新、不要なものの削除 | 自社作業なら0円 | | 最優先 | パスワード変更と二段階認証 | 0円 | | 最優先 | バックアップの自動化（サーバー外保存を含む） | 0円〜月数百円 | | 高 | サーバーのWAFを有効化 | レンタルサーバーなら無料のことが多い | | 高 | HTTPS・セキュリティヘッダの設定 | 0円〜 | | 中 | 保守契約（更新作業の外注） | 月数千円〜数万円 | | 中 | 脆弱性診断（フォームや会員機能がある場合） | ツール診断は数万円〜、手動診断は数十万円〜 |
脆弱性診断の費用感は脆弱性診断の費用相場で詳しく解説しています。また、Webサイトに限らず会社全体の対策を整理したい場合は中小企業のセキュリティ対策ガイドが参考になります。
---
作り方で攻撃面を減らすという考え方
更新や監視を続けるのが難しいなら、そもそも攻撃される部分を少なくする作り方を選ぶのも有効です。
Next.jsなどで事前にHTMLを生成する静的サイト（SSG）は、公開サーバー上に管理画面もデータベースもありません。CMSの脆弱性やログインの総当たりといった攻撃が、そもそも成立しにくくなります。表示も速くなりやすく、SEOにもプラスです（Next.jsのSEO対策ガイド）。
ただし、静的サイトにすれば安全、というほど単純でもありません。お問い合わせフォームのAPI、外部スクリプト、開発時に使うライブラリ、サーバーやドメインのアカウント管理は残ります。作り方を変えるのは「対策の量を減らす」手段であって、対策をゼロにする手段ではありません。
---
制作会社に確認したいこと
新規制作やリニューアルで依頼するときは、見積もりの段階で次の点を確認しておくと安心です。
- IPA「安全なウェブサイトの作り方」やチェックリストに沿った実装・確認をしているか
- 納品後の更新（CMS・プラグイン・ライブラリ）は誰が担当するか。保守契約の範囲はどこまでか
- サーバーやドメインのアカウントは自社名義で持てるか
- 問い合わせフォームのスパム対策、入力値のチェックはどうしているか
- 改ざんなどの事故が起きたときの連絡・対応の流れ
制作費の相場や、保守を含めた見積もりの見方はホームページ制作費用の相場で解説しています。
---
まとめ
- Webセキュリティの基本は、IPA「安全なウェブサイトの作り方」（改訂第7版）と関連資料にまとまっている
- 11の脆弱性は「作り方」で防ぎ、WAFなどの保険的対策で被害を抑える
- 運用では、更新・アカウント管理・HTTPS・バックアップ・不要なページの削除が要
- 改ざんに気づいたら、記録と保全、パスワード変更、侵入経路の特定、報告の順に動く
- 続けられないなら、静的サイトのように攻撃面の少ない作り方を選ぶ
Swaaabでは、社内のIT・AI利用ルールの整備、セキュリティを考慮したシステム設計、社員向けの研修をAIセキュリティ対策支援として提供しています。脆弱性診断が必要な場合は、提携する専門会社と連携してご案内します。Webサイト自体の作り直しはWeb制作でご相談ください。どこから手をつけるべきかわからない段階でも構いませんので、お問い合わせからご連絡ください。
Written by
Swaaab編集部
広島を拠点に、AI開発・DX支援・Web制作を手がける株式会社Swaaabの編集チーム。現場で得た知見をもとに、実践的な情報を発信しています。