なぜ不正アクセスは増えている？日本のWebサイトが狙われる理由と企業ができる対策

ニュースでは大手企業の不正アクセスがピックアップされていますが、ニュースになっていなくても中小企業も攻撃対象になります。

「うちは大企業ではないから、サイバー攻撃の対象にはならないだろう」と考えてしまうことがあります。

しかし、現在の不正アクセスでは、必ずしも特定の企業だけを人間が選んで攻撃しているとは限りません。

インターネット上に公開されているWebサイトやサーバーを自動的に調査し、

• 古いCMS
• 古いプラグイン
• 脆弱性のあるソフトウェア
• 管理画面
• 推測しやすいログイン情報
• 放置されたシステム
• 古いAPI

などを探しているケースがあります。

つまり、企業の規模や知名度に関係なく、インターネット上にWebサイトを公開している以上、攻撃対象になる可能性があります。

攻撃の自動化が進んでいる

現在のサイバー攻撃では、攻撃者が一つひとつのWebサイトを調査する必要がありません。

ボットなどを利用して大量のIPアドレスやWebサイトを自動的に調査し、脆弱性のある環境を探すことができます。

例えば、

「このURLが存在するか」

「このCMSを使用しているか」

「このバージョンは古くないか」

「この管理画面にアクセスできるか」

といった情報を自動的に確認できます。

そのため、企業側が「うちのサイトは狙われない」と考えていても、機械的なスキャンの対象になっている可能性があります。

古いシステムが攻撃対象になりやすい

Webサイトでは、制作した時点では問題がなかったシステムでも、時間が経つことで脆弱性が発見されることがあります。

特に注意したいのが、

• CMS
• CMSのプラグイン
• PHP
• JavaScriptライブラリ
• サーバーソフトウェア
• 外部API
• 管理画面

などです。

「何年も正常に動いているから問題ない」という考え方ではなく、現在もサポートされているバージョンなのか、既知の脆弱性が存在しないかを確認することが重要です。

近年は生成AIの普及によって、攻撃者側の作業効率にも変化が起きています。

例えばフィッシングメールや偽の問い合わせ、企業を装った文章などを作成する際、以前より自然な文章を短時間で生成できるようになりました。

特に日本企業を狙う場合、日本語として不自然な文章ではすぐに怪しいと判断されてしまいます。

しかし、文章生成技術の進歩によって、以前より見分けにくいメールやメッセージが作られる可能性があります。

そのため、サイバーセキュリティでは「怪しい日本語だから大丈夫」と判断するのではなく、送信元やリンク先、添付ファイルなどを含めて確認する必要があります。

では、「最近のサイバー攻撃は日本を狙ったものなのか」という点について考えてみます。

結論として、日本企業もサイバー攻撃の対象になっています。

日本には、

• 多数の企業・Webサービスが存在する
• ECやオンラインサービスが普及している
• 個人情報や企業情報が大量に存在する
• 金融・物流・製造など重要な産業が集まっている
• Webサイトや業務システムがインターネットに接続されている

といった特徴があります。

攻撃者から見れば、情報や金銭的価値を持つシステムが数多く存在する市場です。

ただし、「最近の攻撃はすべて外国から日本を狙った攻撃」というわけではありません。

実際には、

• 金銭目的のサイバー犯罪
• フィッシング詐欺
• ランサムウェア
• 自動化されたBotによる攻撃
• 情報窃取を目的とした攻撃
• 国家を背景とするサイバー攻撃

など、目的や攻撃者はさまざまです。

そのため、「日本だけが狙われている」と考えるよりも、日本の企業やWebサイトも世界的なサイバー攻撃の対象になっていると考えるほうが実態に近いでしょう。

Web制作の現場で特に重要なのが、CMSなどの管理画面です。

例えば、

/wp-admin/

/admin/

など、管理画面のURLが一般的なものである場合、攻撃者によるログイン試行の対象になることがあります。

もちろん、管理画面のURLを変更するだけでセキュリティ対策が完了するわけではありません。

重要なのは、

• 強固なパスワードを使用する
• 多要素認証を導入する
• 不要なアカウントを削除する
• 管理者権限を必要以上に付与しない
• CMSやサーバーを最新の状態にする
• 不要なプラグインや機能を停止する
• ログイン試行を監視する
• 定期的にバックアップを取得する

といった複数の対策を組み合わせることです。

不正アクセスというと、Webサイトが突然表示できなくなる、トップページを書き換えられる、といった被害をイメージするかもしれません。

しかし、実際にはそれだけではありません。

不正に侵入されたWebサイトが、

• フィッシングサイトへの誘導
• 不正な広告の表示
• SEOスパム
• マルウェアの配布
• 不正なメール送信
• 顧客情報の窃取
• 他のサーバーへの攻撃

などに利用される可能性もあります。

つまり、自社サイトが被害を受けるだけではなく、知らないうちに第三者への攻撃に利用されるリスクもあります。

Webサイトのセキュリティは、公開した時点で終わるものではありません。

サイトを公開した後も、

「使用しているCMSやPHPはサポートされているか」

「不要な機能が残っていないか」

「管理者アカウントは適切か」

「バックアップは取得できているか」

「アクセスログに不審な動きがないか」

などを継続的に確認することが重要です。

また、WordPressだけでなく、ProcessWireなど別のCMSを利用する場合でも、CMSそのものだけに依存するのではなく、サーバー・PHP・認証・権限・フォーム・外部サービスなどを含めて総合的に考える必要があります。

サイバーセキュリティで重要なのは、「うちは小さい会社だから大丈夫」「有名なサイトではないから大丈夫」と考えないことです。

自動化された攻撃では、企業規模や知名度に関係なく、多数のWebサイトが対象になることがあります。

だからこそ、特別なセキュリティ対策をいきなり導入する前に、基本的な対策を確実に実施することが重要です。

• CMSやソフトウェアを更新する
• 管理者アカウントを整理する
• 強固なパスワードを設定する
• 不要な機能を停止する
• バックアップを取得する
• アクセスログを確認できるようにする

こうした基本的な対策だけでも、リスクを減らすための重要な一歩になります。

「自社サイトも対策したほうがいいとは思うけれど、何を確認すればいいのかわからない」という場合も少なくありません。

特に、

• 長年運用しているWebサイト
• 制作会社が変わっていて構成がわからないサイト
• 古いCMSを使っているサイト
• 複数の担当者が管理しているサイト
• 不審なアクセスが増えているサイト
• サーバーやPHPのバージョンがわからないサイト

は、一度現在の構成を確認しておくことをおすすめします。

夢双では、Webサイトの制作だけでなく、現在のサイト構成や運用状況を確認し、どこから対策すべきかを整理することも大切だと考えています。

「不正アクセスが心配だけど、何を確認すればいいかわからない」

「古いWebサイトをそのまま使い続けて大丈夫なのか知りたい」

「CMSやPHPのバージョンが古くなっていないか確認したい」

「最近、サイトへの怪しいアクセスが増えている」

「Webサイトのセキュリティについて相談できる会社を探している」

このような場合は、お気軽にご相談ください。

Webサイトの現状を確認し、必要な対策と優先順位を一緒に整理します。

→ Webサイトのセキュリティについて相談する

不正アクセスが増えている背景には、攻撃の自動化、Webサービスの普及、脆弱性を持ったシステムの増加、フィッシングなどの手法の高度化など、さまざまな要因があります。

日本企業もサイバー攻撃の対象となっていますが、すべての攻撃が日本だけを狙ったものというわけではありません。

現在は、インターネットに公開されているWebサイトであれば、企業規模や知名度に関係なく自動的なスキャンや攻撃の対象になる可能性があります。

Webサイトを制作する側・運営する側の双方が、「攻撃されるかもしれない」ではなく「常にスキャンされている可能性がある」という前提でサイトを管理することが、これからのWeb運用では重要になっていくでしょう。

そして、セキュリティ対策は「何か起きてから」ではなく、何も起きていない段階で現状を確認しておくことが重要です。

Webサイトの安全性や運用について気になることがあれば、まずは現在の状況をお聞かせください。

小さな会社のWebサイトでも不正アクセスされますか？

はい、可能性はあります。

自動化されたBotやスキャンによって、企業規模や知名度に関係なく、多数のWebサイトが調査されることがあります。

「有名な会社ではないから大丈夫」と考えるのではなく、インターネット上に公開している以上、一定のリスクがあることを前提に運用することが重要です。

最近、海外からのアクセスが増えています。不正アクセスでしょうか？

海外からのアクセスだけで、不正アクセスと判断することはできません。

検索エンジンのクローラーやBot、CDN・外部サービスなどによる正常なアクセスもあります。

一方で、存在しない管理画面を大量に探している、短時間に大量のリクエストを送っているなど、不審な挙動が見られる場合は、アクセスログなどを確認する必要があります。

WordPressだけが危険なのでしょうか？

いいえ。

WordPressに限らず、CMS、PHP、サーバー、プラグイン、JavaScriptライブラリ、外部APIなど、Webサイトを構成するさまざまなシステムに脆弱性が存在する可能性があります。

重要なのは、特定のCMSを使っているかどうかだけではなく、サイト全体を適切に管理・更新することです。

管理画面のURLを変更すれば安全ですか？

URLを変更するだけでは、十分なセキュリティ対策とはいえません。

強固なパスワード、多要素認証、適切な権限設定、ソフトウェアの更新、アクセス制限など、複数の対策を組み合わせることが重要です。

古いWebサイトをそのまま使い続けても大丈夫ですか？

長期間更新されていないWebサイトは、一度現在の環境を確認することをおすすめします。

CMSやPHPなどのバージョンが古くなっていたり、現在は使用していないプラグインや機能が残っていたりすると、セキュリティ上のリスクにつながる可能性があります。

「問題なく表示できている」ことと「安全に運用できている」ことは別の問題です。

不正アクセスを完全に防ぐことはできますか？

インターネットに公開している以上、攻撃やスキャンそのものを完全になくすことは困難です。

そのため、

• 攻撃を受けにくくする
• 不審なアクセスを検知する
• 被害を最小限に抑える
• バックアップから復旧できるようにする

といった、複数の観点から対策することが重要です。

Webサイトを制作するときからセキュリティ対策は必要ですか？

はい。

セキュリティは公開後に追加するものだけではありません。

要件定義や設計の段階から、認証、権限管理、フォーム、CMS、サーバー環境、バックアップなどを考慮しておくことで、運用開始後のリスクを抑えやすくなります。

自社サイトのセキュリティについて相談できますか？

はい。

「不正アクセスが心配だけど、何から確認すればいいかわからない」「現在使用しているCMSやPHPが古くないか確認したい」「最近、サイトへの不審なアクセスが増えている」など、Webサイトの運用について気になることがあればご相談ください。

夢双では、現在のWebサイトの構成や運用状況を確認し、必要な対策や優先順位を整理するところからご相談いただけます。

Q. セキュリティ対策だけでも相談できますか？

サイトの状況やご相談内容によって対応範囲は異なりますが、既存Webサイトの構成確認や、CMS・サーバー環境などについてのご相談も承っています。

まずは現在のサイトについてお聞かせください。

「何となく不安」という段階でも、現在の状況を整理することから始められます。

夢双合同会社では、

• ゲーム公式サイト制作
• Steam向けLP制作
• インディーゲームサイト制作
• リッチアニメーション実装
• SEO/AIOを意識した構成設計
• SNS連動型Web制作

など、ゲーム業界向けのWeb制作を行っています。

RPG・FPS・ノベルゲーム・アクションなど、ジャンルごとの世界観に合わせたデザイン・演出設計にも対応しています。

新作タイトルのプロモーションサイト制作や、既存サイトの見直しについてお悩みの方は、お気軽にご相談ください。

企画段階からのご相談にも対応しており、「何から考えればいいか分からない」といった状態でも問題ありません。

内容を整理しながら、最適なサイトの方向性をご提案いたします。

実際にご相談いただくケースでも、「まだ具体的な要件が固まっていない」という段階からスタートすることがほとんどです。

そのため、初期の方向性整理から伴走する形でサポートしています。

制作実績 → https://6sou.site/works.php

壁打ち相談はこちら → https://6sou.site/free_consult.php