はじめに 2026年9月から10月にかけて、国内では不正アクセスによる情報漏えいやランサムウェア被害の公表が相次いでいます。あわせて、Webサイトの土台となるソフトウェアにも重大な脆弱性が次々と見つかりました。「うちは小さい会社だから狙われない」とは言えない状況です。この記事では、最近の攻撃の傾向と、今すぐやるべき対策を解説します。
最近の攻撃に見られる3つの傾向
1. Webサービス・アプリの脆弱性を狙った大量流出 会員サイトやアプリ、APIの裏にあるサーバーが狙われ、数百万件規模の個人情報が持ち出される事案が続いています。国の機関も、公開しているWebシステムやアカウントへの侵害が起点になっているとみて、事業者に点検を呼びかけています。
2. クラウドや委託先を経由した「連鎖被害」 国内のクラウド基盤がランサムウェア攻撃を受け、そのクラウドを使っていた約500の企業・自治体のシステムが一斉に影響を受けた事案がありました。自社の対策だけでなく、利用しているクラウドや委託先が被害を受けたときの備えも必要になっています。
3. 中小企業も被害の中心に ランサムウェアの被害は、資本金10億円未満の組織が全体の約8割を占めるという調査結果があります。攻撃者は「大企業」よりも「侵入しやすい企業」を狙っています。
相次ぐ重大な脆弱性 10月21日には、PHP本体に重大な脆弱性が見つかり、修正版が公開されました。ログインしなくても外部からサーバーを乗っ取れるおそれがある脆弱性です。PHPで動いていれば、WordPressなどアプリの種類に関係なく影響を受けます。 WordPressでも、7月と9月に、ログインなしで外部からサイトを乗っ取られるおそれのある脆弱性が公表されています。ほかにもJavaやWindowsなどで更新プログラムが続けて出ており、更新が追いつかない状況になっています。
今すぐやるべき5つの点検
- インターネットに公開しているものを書き出す Webサイト、予約システム、VPN、管理画面など、外部からアクセスできるものをすべて洗い出します。
- バージョンを確認して更新する OS、PHP、WordPress本体、プラグインのバージョンを確認し、修正版を適用します。自動更新にしている場合も、本当に更新されたか管理画面で確認してください。
- 直近のログを確認する まず直近1か月のアクセスログやログイン履歴を見て、ログイン失敗の急増や見覚えのないアクセス元がないか確認します。
- アカウントを見直す 多要素認証を有効にし、退職者のアカウントや使っていないアカウントを停止します。
- バックアップを「別の場所」に取る クラウドが止まっても復旧できるように、利用中のサービスとは別の場所にバックアップを保管し、実際に戻せるか確認しておきます。
「持たない」ことも対策になる 使い終わった個人情報や、不要になった問い合わせデータは削除しましょう。持っている情報が少なければ、万が一の被害も小さくできます。
まとめ 最近の攻撃は、Webシステムの脆弱性、クラウドや委託先の被害、アカウントの乗っ取りなど、入り口がさまざまです。特定のソフトを更新すれば終わりではありません。自社が公開しているもの全体を把握し、更新と監視を続けることが大切です。
株式会社INFINITY VERSEにご相談ください 当社では、システム開発から保守運用、セキュリティ診断までまとめて対応しています。「自社のサーバーは今回の脆弱性の対象なのか」「更新作業を任せたい」「一度診断してほしい」など、お気軽にご相談ください。
参考 IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日） IPA「Microsoft 製品の脆弱性対策について（2026年10月）」