【2026年最新版】ホームページのセキュリティ対策とは？Web担当者が今やるべき12の実務と最新リスク

自社サイトのセキュリティについて、「常時SSL化は済んでいるから大丈夫」と考えていないでしょうか。2026年度末から2027年度にかけて、Webサイトを取り巻く制度と技術要件は大きく変わります。個人情報保護法の改正による課徴金制度の新設と罰則の強化、経済産業省による任意のセキュリティ対策評価制度の開始、サーバー証明書の有効期間短縮。
いずれも情報システム部門だけの話ではなく、Webサイトを運用する担当者が直接影響を受けるテーマです。

本記事では、不動産業界を中心に、個人情報を扱う大規模サイトと基幹システムの構築、そして長期の保守運用を手がけてきたサービシンクが、いま押さえるべきリスクと具体的な対策を整理しました。自社サイトを点検するチェックリストも用意しています。

 

2026年度末から2027年度が「Webサイトのセキュリティ」の転換点になる3つの理由

理由1：個人情報保護法の改正で「課徴金」が新設され、罰則も強化される

2022年4月に全面施行された改正で、漏えい発生時の個人情報保護委員会への報告と本人への通知が義務化され、命令違反には最大1億円の罰金が科されるようになりました。ここからさらに規制は強化されます。

2026年7月17日に公布された改正個人情報保護法では、課徴金制度が新設されました。対象は、不適正利用の禁止違反・適正取得義務違反・第三者提供制限違反・統計作成等の特例違反の4類型です。影響を受ける本人が1,000人を超える重大な事案について、違反によって得た利益に相当する額の納付が命じられます（自主報告で50%減額、報告徴収等が行われた日から遡って10年以内に課徴金納付命令を受けたことがある場合は1.5倍）。あわせて、顔認証データや指紋などの「特定生体個人情報」への上乗せ規律、16歳未満の個人情報取得における法定代理人同意の原則化も導入されました。

ここで押さえておきたいのが、課徴金と「漏えい事故」の関係です。課徴金の対象は取得・利用・第三者提供の適法性に関わる4類型に限られ、サイバー攻撃による漏えいそのもの（安全管理措置義務違反）は対象外です。ただし漏えい時の報告・本人通知の義務は従来どおり課され、罰則も強化されます。つまり「守りを固める」だけでなく、「そもそも何をどこまで取得し、誰に渡しているか」を説明できる状態にしておくことが求められます。

課徴金制度など本体部分の施行は、公布から2年以内、遅くとも2028年7月までとされています。このうち罰則の強化は、公布から6か月後の2027年1月17日に先行して施行されます。新たな義務が生じるわけではありませんが、違反時のペナルティが先に重くなるということです（法定刑の引き上げ、法人に対する1億円以下の罰金、国外犯処罰の導入）。

裏を返せば、2026年度末から2027年度はまさに対応準備を進めるべき期間です。フォームで取得している項目、保存期間、アクセス権限、委託先との契約を棚卸しする最後のタイミングと考えるべきでしょう。

理由2：取引先からセキュリティ対策状況の「説明」を求められる

経済産業省は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、★3・★4の申請受付を2026年度末頃に開始する予定です（2026年3月27日公表の制度構築方針）。★3は専門家の確認を伴う自己評価、★4は第三者評価機関による評価という位置づけで、最上位の★5については開始時期が未定とされています。

重要なのは、これが任意の制度であるという点です。経済産業省はFAQで「企業のセキュリティ対策レベルを競わせることを目的とした（格付け制度等）ではありません」と明記しています。また制度開始は申請受付の開始を意味するため、開始時点で★を取得している企業は存在しません。

狙いは、発注側と受注側の間で毎回行われていたセキュリティチェックシートのやり取りを標準化し、対策状況を可視化することにあります。義務化されるわけではありませんが、取引契約のなかで委託元が委託先に★の提示を求める運用が想定されています。制作会社・開発会社・広告代理店など外部パートナーが多い事業会社ほど、影響は大きくなります。

理由3：サーバー証明書の有効期間が段階的に47日まで短縮される

CA/Browser Forum（Webブラウザの開発元と認証局で構成する業界団体）の決定により、SSL/TLSサーバー証明書の最大有効期間は次のように段階的に短縮されます。

「100日運用」が始まるのは2027年3月15日発行分から、つまり2026年度末です。2027年度は、その100日運用を通年で回す最初の年になります。年1回のカレンダー登録で更新を管理する運用は、確実に破綻します。
証明書の期限切れはサイト全体がブラウザ警告で閲覧できなくなる事故につながり、機会損失もブランド毀損も大きいものです。ACME（証明書の発行・更新を自動化するしくみ）への対応や、CDN・ロードバランサ（アクセスを複数のサーバーに振り分けたり配信を高速化したりする裏側のしくみ）側での自動更新を、2026年度内に設計しておく必要があります。

なお2026年10月1日には、能動的サイバー防御法（サイバー対処能力強化法）も施行されます。直接の義務対象は指定された基幹インフラ事業者ですが、その取引先には対策状況の説明や情報連携が求められる可能性があり、サプライチェーン全体に波及する制度です。

 

いま警戒すべきWebサイトの5大リスク

IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」の組織編では、1位にランサム攻撃、2位にサプライチェーンや委託先を狙った攻撃、そして3位に「AIの利用をめぐるサイバーリスク」が初選出されました。ここではWebサイト運用の観点から、押さえるべき5つのリスクに整理します。

リスク1：自社で書いていないコードが侵入口になる

現代のWebサイトは、自社で開発したコードだけで動いてはいません。CMS（WordPressなど、記事やページを管理・更新するシステム）のプラグイン、JavaScriptライブラリ、タグマネージャー経由の計測タグ、チャットボット、フォームSaaS、アクセス解析。これらの外部コードは、ブラウザ上では自社サイトと同じ権限で動作します。

2026年3月31日には、週約1億回ダウンロードされているJavaScriptライブラリ「axios」の不正バージョンが公開される事件が発生しました。攻撃者は盗まれた認証情報を使い、わずか39分の間に2つの細工したパッケージを公開。インストール時に実行されるスクリプトを悪用して遠隔操作ツールを送り込む手口でした。

axiosは開発時にビルドへ組み込まれる依存パッケージで、ブラウザが読み込む外部スクリプトとは取り込み方が違います。ただし、自社で書いていないコードを信頼して動かしているという点は同じです。Webサイトでも、第三者のスクリプトが1つ改ざんされるだけで、フォームに入力された情報が外部へ送信される状態になり得ます。
CSP（Content Security Policy）による読み込み元の制限、SRI（Subresource Integrity）による改ざん検知、タグマネージャーの編集権限の見直し、そして「誰がいつ入れたか分からないタグ」の棚卸しが必要です。

リスク2：AIの利用が新たな攻撃面をつくる

IPAが「AIの利用をめぐるサイバーリスク」を初めてランクインさせた背景には、生成AIの急速な普及とセキュリティ対策の遅れというギャップがあります。Webサイト運用の文脈では、次の4点が実務的な論点になります。

• AIが生成したコードの脆弱性：レビューなしに本番投入することで、入力値検証の漏れや認可制御の不備が混入する
• プロンプトインジェクション：設置したAIチャットボットが、細工された入力によって非公開情報を回答したり意図しない操作を実行したりする
• 偽サイトの大量生成：自社ブランドを模したフィッシングサイトが低コストで量産される。不動産のように高額取引を扱う業種は標的になりやすい
• AIクローラーや自動収集ツールによるスクレイピング：物件情報や会員限定コンテンツが大規模に収集される

対策の基本は次の3点です。

• AIが生成したコードの人的レビューを、開発フローに組み込む
• チャットボットに与える権限とデータの範囲を最小化する
• ブランド名を含む類似ドメインの監視を運用に加える

リスク3：CMSの脆弱性は公開から数時間で悪用が始まる

Webサイトの脆弱性対策で最も現実的な脅威が、CMSとそのプラグインです。Patchstack社のレポートによれば、2025年に公開されたWordPress関連の脆弱性は11,334件で前年比42%増。そのうち91%がプラグイン起因でした。悪用されやすい（highly exploitable）脆弱性は前年比113%増、高深刻度のものは1,966件（全体の17%）で、自動化された大規模攻撃で悪用される可能性が高いと分類されています。

特に深刻なのが悪用までのスピードです。大規模に悪用された脆弱性は公開から悪用開始までの中央値が5時間、高影響の脆弱性の約50%は24時間以内に悪用が始まります。さらに46%は公開時点で修正パッチが存在しなかったとされています。「月次のメンテナンスでまとめて更新」という運用では、構造的に間に合いません。

現実解は3つです。使っていないプラグイン・テーマを削除して攻撃対象そのものを減らすこと。WAF（Web Application Firewall／不正な通信を検知・遮断するしくみ）による仮想パッチで、修正版が出るまでの空白時間を埋めること。そして、ステージング環境（本番公開前に動作確認を行うテスト用の環境）での検証を前提とした自動更新の仕組みを整えることです。

リスク4：フォームに集まる個人情報の「機微性」

不動産会社のWebサイトが扱う個人情報は、他業種と比べて格段に機微です。問い合わせ・資料請求・来場予約・査定依頼といったフォームには、氏名や連絡先だけでなく、年収、家族構成、勤務先、現在の住居、転居理由、希望エリアと予算までが集まります。金融機関が扱う情報に匹敵する機微性であり、名寄せ（氏名や連絡先を手がかりに、複数の記録を同一人物のものとして突き合わせること）されれば個人の生活実態がほぼ再構成できてしまいます。
なお、年収・家族構成・勤務先は、個人情報保護法上の要配慮個人情報にはあたりません。法律上の分類は通常の個人情報ですが、漏えいしたときの実害は大きい、という性質の情報です。

実際に、業界のインフラとして使われているサービスが侵害された事例があります。2026年4月5日、不動産業向けクラウドサービス「いえらぶCLOUD」（株式会社いえらぶGROUP）が不正アクセスを受け、同社は4月8日にこれを公表しました。同社は、インフォスティーラーによって窃取された正規のアカウント情報が悪用された可能性が高いと発表しています。流出した可能性のある情報には、氏名・メールアドレス・電話番号・住所や、希望物件条件などのやり取り履歴が含まれます。利用企業側からも、順次公表が行われました。

ここから読み取るべきは、反響データは自社サイトの対策だけでは守りきれないという点です。利用しているSaaSや委託先について、どの情報がどこに保管され、誰がアクセスできるのかを説明できる状態にしておく必要があります。

対策は技術的な防御だけではありません。そもそも取得する項目を必要最小限に絞る、保持期間を定めて自動削除する、管理画面からのCSV出力を権限で制御する、通知メールに個人情報を平文で載せない。こうした設計・運用ルールが、漏えい時の被害規模を直接左右します。

リスク5：認証情報の窃取と「野良サイト」の放置

2026年8月28日、三井不動産は自社が利用するシステムへの不正アクセスを確認し、9月1日にこれを公表しました。役職員および社外関係者あわせて最大5万5,000件のメールアドレス等が漏えいした可能性があるとしています。同社の発表では、システムの資格情報が不正に利用されたことが確認されています。
この種の事案で繰り返し論点になるのが、正規の認証情報が悪用されるという侵入経路です。脆弱性を突かれたわけではないため、WAFや脆弱性診断だけでは検知できません。

加えて、Webサイト特有の問題が「野良サイト」です。終了したキャンペーンサイト、リニューアル前の旧サイト、テスト用サブドメイン、代理店が独自に立てたLP。更新が止まったこれらのサイトは古いCMSのまま放置され、侵入口になりやすい状態です。

対策は、管理画面への多要素認証（MFA）とIP制限の徹底、共有アカウントの廃止と退職者アカウントの棚卸し、そして自社ドメイン配下に存在するすべてのサイトを可視化するASM（攻撃対象領域管理）の実施です。

 

押さえておきたい情報セキュリティの7要素

対策を体系的に考えるうえで基礎になるのが、情報セキュリティの7要素です。従来はCIA（機密性・完全性・可用性）の3要素が基本とされてきましたが、現在は4要素が加えられています。

1. 機密性（Confidentiality）

   許可された者だけが情報にアクセスできる状態

2. 完全性（Integrity）

   情報が改ざんされず、正確な状態が保たれていること

3. 可用性（Availability）

   許可された者が必要なときに情報を利用できること

4. 真正性（Authenticity）

   利用者やシステムが本物であること（なりすましの防止）

5. 責任追跡性（Accountability）

   誰がいつ何をしたかを追跡できること

6. 否認防止（Non-repudiation）

   行われた事実を後から否定できないようにすること

7. 信頼性（Reliability）

   システムが意図したとおりに一貫して動作すること

前述のリスク4・5は、単なる「機密性」ではなく真正性（なりすまし）や責任追跡性（ログ）の欠如に起因する問題です。この7つの視点で漏れがないかを確認すると、対策の抜けを発見しやすくなります。

 

Webサイトのセキュリティ対策12項目

ここまでのリスクを踏まえ、実務として着手すべき対策をレイヤー別に整理します。

通信・インフラ層

1. 常時SSL化と証明書の自動更新：全ページのHTTPS化に加え、有効期間短縮に対応した自動更新を構築する
2. WAF／IPS（不正侵入防止システム）の導入：既知の攻撃パターンを遮断し、修正パッチ公開までの空白を仮想パッチで埋める
3. サーバー・ミドルウェアのEOL（サポート終了）管理：OS、PHP、データベースのサポート期限を一覧化し、年度単位の更新計画を持つ
4. バックアップと復旧テスト：取得するだけでなく、実際に復旧できるかを定期的に検証する

アプリケーション層

5. CMS・プラグイン・ライブラリの棚卸しと更新：導入物を一覧管理し、不要なものは削除。バージョンを固定したうえで計画的に更新する
6. 入力値の検証とサニタイジング（不正な文字列を無害化する処理）：XSSやSQLインジェクション（サイト改ざんやデータベースの不正操作を狙う代表的な攻撃手法）、ファイルアップロードの脆弱性を設計段階から潰す
7. 外部スクリプトの管理：CSP・SRIの適用、タグマネージャーの編集権限の限定、不要タグの削除
8. フォームの設計見直し：取得項目の最小化、ボット対策、保存先と保持期間のルール化

運用・組織層

9. 管理画面の多要素認証・IP制限・権限設計：役割ごとに権限を分離し、共有アカウントを排除する
10. ログの取得と保全：アクセスログ・操作ログを一定期間保管し、追跡できる状態にする
11. 定期的な脆弱性診断：年1回以上、およびリニューアルや大規模改修のタイミングで実施する
12. インシデント対応フローと委託先契約の整備：報告手順・連絡先・判断者を事前に決め、委託先との責任分界点を契約で明確にする

 

不動産会社のWebサイトで特に効く3つのポイント

ポイント1：物件データ連携とAPIの点検

自社サイト、ポータルサイト、社内基幹システムの間で物件データや反響データを連携している場合、その接続点が攻撃対象面になります。認証方式、通信の暗号化、連携用アカウントの権限範囲、エラー時のログ出力内容を点検してください。特に「開発当時のまま長年動いている連携バッチ」は要注意です。

ポイント2：ブランドサイト・キャンペーンサイトの一元管理

複数ブランド、複数エリア、分譲物件ごとの専用サイトを持つ企業では、サイト数が数十から百を超えることも珍しくありません。ドメイン・サーバー・CMS・保守契約の有無・公開終了予定を一覧化した管理台帳を作ることが、最も費用対効果の高い対策になります。

ポイント3：IT重説・電子契約への導線

オンライン内見やIT重説（IT重要事項説明／対面ではなくオンラインで行う不動産取引の重要事項説明）、電子契約への導線をWebサイト上に持つ場合、サイト側の脆弱性が契約プロセスへの入口になり得ます。外部サービスへの遷移方法、セッション管理、リダイレクト先の検証を確認しましょう。

 

セキュリティ対策セルフチェックリスト

自社サイトの現状を確認してください。3つ以上「いいえ」がある場合は、専門家への相談をおすすめします。

 

よくある質問

Q. 規模の小さいコーポレートサイトでも狙われますか？

狙われます。現在の攻撃の多くは対象を選ばず、脆弱性を持つサイトを自動探索する形で行われます。むしろ更新が滞りがちな小規模サイトのほうが踏み台にされやすく、自社ドメインからのマルウェア配布やフィッシングサイト設置といった二次被害につながります。

Q. WAFを導入すれば安心でしょうか？

WAFは有効ですが万能ではありません。前述のPatchstack社のレポートでは、一般的なホスティング環境の標準的なWAF構成が実際の攻撃を遮断できた割合は26%にとどまり、WordPress固有の既知の悪用攻撃に限ると12%とされています。同レポートは、この差は各社のWAF設定の違いによる可能性が高いとしており、WAF一般の有効性を否定する数字ではありません。設定と運用次第で効果が大きく変わるということです（なお同社は仮想パッチを提供する事業者です）。
正規の認証情報を悪用した侵入や内部不正も防げません。更新管理・権限管理・ログ保全と組み合わせて、はじめて機能します。

Q. 脆弱性診断はどのくらいの頻度で実施すべきですか？

個人情報を扱うサイトであれば年1回以上、加えてリニューアルや決済機能の追加といった大きな改修の直後を推奨します。診断は「実施すること」ではなく「指摘事項を修正しきること」が目的です。

Q. 制作会社と保守会社が別々でも問題ありませんか？

問題はありませんが、責任分界点を契約書で明確にしておくことが前提です。「CMS本体の更新はどちらの担当か」「プラグインの脆弱性情報は誰が監視するか」「インシデント発生時の一次対応は誰か」が曖昧なまま運用されている例は少なくありません。

Q. 対策にはどのくらいの費用がかかりますか？

サイトの規模と現状によって大きく異なります。ただし棚卸し・権限整理・不要ファイル削除・保持期間のルール化など、費用のかからない対策だけでもリスクは相当に下げられます。まずは現状把握から始めることをおすすめします。

 

まとめ：30日／90日／2027年度に向けた着手ステップ

優先順位をつけた進め方は次のとおりです。

まず30日：現状把握

• 自社ドメイン配下のサイト・サブドメインの棚卸し
• CMS・プラグイン・外部スクリプトの一覧化
• 管理画面アカウントの棚卸しと退職者アカウントの削除

90日：リスクの高い穴をふさぐ

• 不要サイト・不要プラグイン・不要ファイルの削除
• 管理画面への多要素認証・IP制限の適用
• 証明書の自動更新の設計と実装
• フォーム取得項目と保持期間の見直し

2026年度内から2027年度：体制として仕上げる

• 脆弱性診断の実施と指摘事項の修正
• WAFの導入・チューニング
• インシデント対応フローの文書化と委託先契約の見直し
• 改正個人情報保護法の施行を見据えた社内規程の整備

セキュリティ対策は一度実施すれば終わるものではありません。脆弱性は日々公開され、法制度も動き続けます。重要なのは、Webサイトを「作って終わり」にせず、継続的に守り続ける体制を持つことです。

 

Webサイトのセキュリティ対策は、サービシンクにご相談ください

サービシンクは、不動産業界を中心に、個人情報を扱う大規模サイトや基幹システムの構築を数多く手がけてきたWeb制作・システム開発会社です。6年以上にわたる長期保守運用の実績があり、プライバシーマーク（Pマーク）も取得しています。

「何から手をつけるべきか分からない」という段階でも構いません。現状をお伺いしたうえで、必要な対策と概算のお見積もりを無料でご提示します。お気軽にご相談ください。