不正アクセスのニュースから考える、小さな会社のホームページの守り方

結論：持たない、置かない、戻して知らせる

2026年10月、セキュリティのニュースが3つ重なりました。

1. アンケートサイト「infoQ」で、会員の情報が持ち出された件
2. 「お名前.com デスクトップクラウド」で、サーバーが止められた件
3. プログラムの言葉「PHP」で、重大な穴を直した版が出た件

1と2は、GMOインターネットグループの会社のサービスです。3つは別々の話です。infoQは「サイトで使っていたソフトウェアの脆弱性を悪用された」と発表しています。どのソフトかは書かれていません。デスクトップクラウドの入られた経路は、調査中です。どちらの発表にも、PHPとは書かれていません。この記事でも、結びつけずに書きます。

それでも、同じ月に重なると、こう思った方もいるはずです。大きな会社でも破られる。では、うちのような小さな会社のホームページは、何をすればいいのか。

私は屋根職人です。屋根工事歴は20年以上です。いまは、職人や工事会社のホームページも作っています。ニュースが出ると、私は発表を読みます。そして、自分のサイトと、これから作るサイトのどこに当てはまるかを考えます。この記事は、その読み方と、そこから決めたことのまとめです。

結論は4つです。

1. 持っていない情報は、持ち出されません。サイトに名簿を作りません
2. 鍵は置きません。管理の入口には二段階認証を入れます
3. 騒ぎのあとの偽の連絡に備えます。私からパスワードを聞くことはありません
4. 何かあったら、止めて、戻して、知らせます。その手順を先に決めておきます

PHPの穴の細かい話と、WordPressのサイトでの確かめ方は、先に書いたコラムにまとめました。この記事は、その外側の話です。

2026年10月に重なった3つのニュース

GMOの2件については、発表を日付の順に並べたコラムも書きました。

ここには、発表と報道で分かっていることだけを書きます。分かっていないことは、分かっていないと書きます。

infoQ：会員の情報が外に持ち出された

infoQは、GMOリサーチ&AIが運営するアンケートサイトです。同社は、GMOインターネットグループの会社です。この件は、会社の発表（第1報・第2報）と報道をもとに書きます。

10月2日以降、第三者がサーバーに不正にアクセスしました。翌3日の午前、会員からの問い合わせで分かりました。サービスは、その日のうちに止められています。

10月5日の第1報では、対象は最大948,498件でした。会員の個人情報の全件です。10月14日の第2報で、外に持ち出された件数は894,082件と確定しました。

情報の種類は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号などです。会員ID、ニックネーム、ポイントの数、利用の状況も含まれます。パスワードは「暗号化されたもの」と発表されています。クレジットカードの情報とマイナンバーは、もともと持っていない、と発表されています。

一部の会員のポイントが、本人の意思によらず、Amazonのギフトコードに替えられていました。611件、286万9,500円相当です。会社は、全額を補う方針です。会社は、10月7日に全会員のパスワードを無効にした、と発表しています。

原因について、会社は「第三者が、当社サイトで使用していたソフトウェアの脆弱性を悪用して侵入した」と発表しています。どのソフトの、どんな弱点かは書かれていません。

お名前.com デスクトップクラウド：サーバーが止まり、脅迫が届いた

お名前.com デスクトップクラウドは、GMOインターネットのサービスです。ネットの向こうにある仮想のパソコンを、手元の画面から操作します。24時間動かせるので、FXの自動売買のソフトを動かす使い方が多い、と報じられています。

10月20日、一部のお客さんのサーバーで、不正なプログラムが確認されました。第三者が置いたものです。同じ日に緊急のメンテナンスに入り、新しい申し込みと、管理画面へのログインを止めています。

10月21日、全プランのサーバーが止められました。同じ日、脅迫のメールが届きました。約80億円の要求です。会社は、応じない方針です。

影響の可能性があるサーバーは、26,739件と発表されています。これは、調べる対象になりうる数です。全部に侵入が確かめられた、という意味ではありません。

取引のソフト（MT4やMT5など）には、取引口座のログイン情報が保存されていました。それが盗まれたおそれがあります。10月24日の第4報では、利用者の情報が外に持ち出された事実を確認した、と発表されました。どの情報が何件かは、書かれていません。FXの口座で、不正な操作や取引があったという報告も出ています。クレジットカードの情報は、サーバーに持っていないので対象外だと説明されています。

会社は、利用者に次のことを頼んでいます。

• 取引のソフトと、取引口座のパスワードを変える
• 二段階認証を設定する
• ログインしたままの状態（セッション）を切る
• 端末のウイルスを調べる
• データの控え（バックアップ）を取る

あわせて、こうも書いています。会社が、パスワードや認証コードを尋ねることはない。メールやSMSのリンクは開かず、公式のページで確かめてほしい。

10月24日、会社は3つを決めました。お見舞金（一律5,000円）、不正な取引による損失の補償、代わりのサービスの提供です。

10月27日、会社は第10報を出しました。攻撃した者とみられる相手が、情報を公開したのを確認した、という内容です。会社は、中身は確認中で、事実と違う内容を含むおそれがあると説明しています。そして、そのサイトを見に行かず、広めないよう呼びかけています。

翌28日、情報が載っていたサイトのドメインが止まったことを、NHKが伝えています。

どこから入られたのかは、「セキュリティの専門会社と調べている」とされています。10月29日の第16報の時点でも、はっきりとは書かれていません。

PHP：重大な穴を直した版が出た

PHPは、多くのホームページを裏で動かしているプログラムの言葉です。WordPressも、PHPで動いています。

10月20日、PHPの公式サイトが、重大なセキュリティの直しを予告しました。21日、直した版の8.5.12、8.4.27、8.3.36、8.2.35が出ています。直された穴は2つです。どちらも、サーバーの上でプログラムを動かされるおそれがある穴です。ログインしていない誰かに、です。22日には、IPA（情報処理推進機構）が注意を呼びかけました。

先のコラムに書かなかったことを、1つ足します。PHP 8.2は、2026年12月31日でサポートが終わります。その先は、穴が見つかっても、直した版が出ません。8.1以前は、すでに終わっています。

PHPが、特別に弱いわけではありません。広く使われているので、穴が見つかったときの影響が大きいのです。直した版を当てれば、その穴はふさがります。気をつけたいのは、当てられないまま動いているサイトです。

3つを、1本の線でつながない

3つを並べると、「PHPの穴のせいで、GMOが破られた」と読みたくなるかもしれません。そうは書かれていません。infoQは「ソフトウェアの脆弱性を悪用された」と発表していますが、どのソフトかは書かれていません。デスクトップクラウドの侵入経路は、調査中です。

騒ぎのときは、話がつながって広まることがあります。私は、つながっていると書かれていないものを、つなげません。

私はニュースをこう読んでいる

セキュリティのニュースを読むとき、私は順番を決めています。

1. できるだけ、本人の発表を読む。 会社の発表、PHPの公式サイト、IPAのページです。報道は、それを補うものとして読みます
2. 分かっていることと、分かっていないことを分ける。 今回なら、infoQで悪用されたのがどのソフトかと、デスクトップクラウドがどこから入られたかは「分かっていない」の側です。分かっていないことの上に、自分の考えを組み立てません
3. 何が持ち出され、何が持ち出されなかったかを見る。 持っていなかったものは、持ち出されていません
4. 会社が利用者に何を頼んでいるかを読む。 そこには、守り方の手掛かりがそのまま書いてあります
5. 自分のサイトに置き換える。 同じことが起きたら、どこが入口で、何を持っていて、誰に知らせるか

屋根でも、私は同じ見方をします。大きな台風のあと、よその家の被害の話を聞いたら、どこから壊れたかを考えます。棟（むね・屋根のてっぺん）か、軒先か、板金の継ぎ目か。そこから、自分の現場の納め方を見直します。被害を受けた家を責めても、次の屋根は強くなりません。

今回の2件も、被害を受けた側の話です。お名前.comの件では、会社自身が脅迫を受けています。infoQの件は、分かったその日にサービスを止めています。お名前.comの件は、10月29日の第16報まで発表が重ねられています。私が教訓を引けるのは、そうして発表された中身があるからです。

ニュースから引いた4つの教訓

教訓1：持っていない情報は、持ち出されない

infoQでは、会員の個人情報894,082件が、外に持ち出されました。一方で、クレジットカードの情報とマイナンバーは、もともと持っていなかったと発表されています。持っていないものは、持ち出されようがありません。

小さな会社のホームページで、これに当たるのは問い合わせの中身です。名前、電話番号、住所、相談の内容。フォームの作り方によっては、届いた問い合わせを、サイトの側にも溜めていることがあります。溜まった分だけ、持ち出されうるものが増えます。

これから作るサイトでは、問い合わせの中身をサイトの側に溜めません。届くのはメールです。サイトの中に、お客さんの名簿は作りません。このサイトの受付口も、記録に名前やメールの中身を残していません。

ただし、メールは受信箱に残ります。だから、メールのアカウントも守る対象に入れます。ここで、教訓2につながります。

教訓2：鍵は置かない。入口には二段階認証

お名前.com デスクトップクラウドの件を思い出してください。取引のソフトに保存されていたログイン情報が、盗まれたおそれがあります。機械の中に置いた鍵は、機械が破られると、一緒に持っていかれることがある。私はそう読みました。

ホームページにも鍵があります。パスワードや、よそのサービスとつなぐための鍵（APIキー）です。これから作るサイトでは、これをページやプログラムの中に書きません。置く場所は、配信会社の鍵置き場（環境変数）だけにします。ページのソースを見られても、鍵は出てきません。

もう1つは、管理の入口です。ドメイン、配信会社、メール。この3つの管理画面に入られると、サイトもメールも乗っ取られかねません。会社が利用者に頼んだことの中にも、二段階認証の設定がありました。

二段階認証は、パスワードのほかに、スマホに届く番号などでも本人を確かめる仕組みです。パスワードが漏れても、それだけでは入れません。

ドメインとメールは、お客さんの名義で作ります。配信会社のアカウントをどちらの名義にするかは、費用と合わせて見積の書面で決めます。どの名義でも、二段階認証を設定してからお渡しします。私の作業の権限は、あとから外せる形で付けます。名義の話は、名義の確かめ方のコラムに書きました。

教訓3：騒ぎのあとの、偽の連絡に備える

お名前.comの発表は、利用者にこう呼びかけていました。会社が、パスワードや認証コードを尋ねることはない。メールやSMSのリンクは開かず、公式のページで確かめてほしい。

会社がわざわざこう書くのには、理由があると私は読んでいます。騒ぎに乗じた、偽の連絡が出やすいからです。たとえば、こんな文面です。「お使いのサイトに危険が見つかりました。こちらから確認してください」。「制作会社です。点検のため、パスワードを教えてください」。

だから、先に約束しておきます。私から、パスワードや認証コードを聞くことはありません。電話でも、メールでも、LINEでもです。作り始める前に、書面でもそうお伝えします。私を名乗ってパスワードを聞く連絡が来たら、それは私ではありません。

もう1つあります。お名前.comの件では、攻撃した者とみられる相手が情報を公開しました。会社は、見に行かず、広めないよう呼びかけています。私も見に行きません。騒ぎの周りに近づかないことも、守りのうちです。

教訓4：止めて、戻して、知らせる

infoQは、分かったその日にサービスを止めました。お名前.comは、緊急のメンテナンスに入った翌日、全プランのサーバーを止めました。そのうえで、利用者への発表を重ねています。

止めるのは、重い判断です。止めれば、使っている人が困ります。それでも、まず止めて、広がらないようにする。そして、分かったことを知らせ続ける。この順番は、小さな会社のサイトでも同じだと私は考えています。

小さな会社のサイトなら、手順はこうです。

1. おかしな状態を見つけたら、まず止める
2. 前の版に戻す
3. お客さんに、何が起きたかを知らせる
4. 原因と直したことを、書面でお渡しする

伏せません。このサイトは、公開した版の控えを残し、前の版にすぐ戻せる形にしています。これから作るサイトも同じです。この手順も、先に書面にしてお渡しします。何か起きてから考えると、手が止まるからです。

これから作るサイトに、標準で入れること

ここまでの教訓を、これから作るサイトの決まりにしました。オプションではなく、標準で入れます。

作るときにすること

• ページは出来上がった形で配ります。PHP、データベース、ログイン画面を置きません
• 通信を暗号化し、暗号化した通信でだけ開くよう、ブラウザに覚えさせます
• よそのサイトの枠に埋め込ませない、などのセキュリティの指示を全ページに付けます
• 外の会社のプログラムは読み込みません。地図や動画がどうしても要るときは、理由と中身を説明してから、最小限にします
• フォームはサイトの中の受付口を通し、迷惑な送信を落とします。フォームの送り先のアドレスは、ページのソースに書きません
• 問い合わせの中身を、サイトの側に溜めません
• パスワードやAPIキーを、ページやプログラムの中に書きません
• ドメインとメールは、お客さんの名義で作ります。配信会社のアカウントの名義は、費用と合わせて見積の書面で決めます。どの名義でも、二段階認証を設定してお渡しします
• 公開の前に、検収と機械の照合を通します
• すべての版の控えを残し、前の版にすぐ戻せるようにします
• ドメインの自動更新の設定を確かめてお渡しします。期限が切れて、ほかの人に取られないようにするためです

お渡しするもの

• 作り始める前に、「私からパスワードや認証コードを聞くことはありません」という約束の書面
• 納品のときに、誰がどこに入れるかの一覧（アカウント、権限、連絡先）
• 納品のときに、何か起きたときの手順（止める、戻す、知らせる、書面で報告する）
• 納品のときに、お客さんのサイトでしたセキュリティ対策の一覧。何をして、どう確かめられるか

公開したあとに続けること（定期の点検など）は、月額の契約の範囲です。何をどこまでするかは、見積の段階で書面にします。

一つひとつの中身と、お渡しするものの形は、標準で入れる対策の一覧にまとめました。10月の3件の事実は、セキュリティ対策のページの、10月の3件をまとめた章にも書いています。

対策には万全を期しています。そのうえで、言い切りはしません。大きな会社でも、破られることがあります。明日見つかる穴を、今日知っている人はいません。私が約束できるのは、結果ではなく、やり方です。持たない。置かない。重ねて守る。戻せるようにしておく。起きたら知らせる。していることは、全部お見せします。

今日、自分のサイトとアカウントで確かめる5つ

ニュースを見て不安になった方へ。慌てなくて大丈夫です。今日、次の5つだけ確かめてください。

1. 管理の入口に、二段階認証が入っているか。 ドメインの管理画面、サーバー、メール、SNS。パスワードだけで入れるなら、二段階認証を設定してください
2. 同じパスワードを、ほかで使い回していないか。 1か所で漏れると、使い回した先にも入られるおそれがあります。管理の入口だけでも、別々にしてください
3. 誰の名義で、誰が入れるか。 ドメインやサーバーの名義は自社か。辞めた人や、前の制作会社が入れるままになっていないか
4. サイトに、要らない情報が溜まっていないか。 古い問い合わせの控えや、終わった募集の応募者の一覧など。残す理由が無いなら、制作会社と相談して片付けてください
5. WordPressのサイトなら、PHPの版。 確かめ方は、冒頭で紹介したコラムに書きました。8.2を使っているなら、12月31日でサポートが終わることも、制作会社と話しておいてください

もし、パスワードや認証コードを聞く連絡が来たら、リンクは開かないでください。相手の公式のページや、前から知っている電話番号で確かめてください。

1つでも気になるところがあっても、すぐにサイトを作り替える必要はありません。まずは設定と更新です。そのうえで、この先も手入れを続けられるかを考えれば足ります。