← よろずテック トップへ

セキュリティへの取り組み

事故は、どこから入ってくるのか

約6割ランサムウェア被害のうち中小企業の割合（2025年）[1]
84%感染の入口が VPN 装置か遠隔操作（リモートデスクトップ）だった割合[2]
2位「委託先を狙った攻撃」の脅威順位（2026年）[3]

狙われるのは古い装置、盗まれたパスワード、仕事を任せた業者。よろずテックは「任せられる業者」として、自らが入口にならないことを最優先にしています。

よくある事例とリスク、よろずテックの対策

1. 社内網につなぐ装置（VPN）・遠隔操作

よくある事例とリスク
  • 大阪の総合病院（2022年）：給食業者の VPN 装置から侵入。電子カルテが約2か月半停止[4]
  • 名古屋港（2023年）：保守用 VPN から侵入。コンテナの搬出入が停止[5]
よろずテックの対策
  • お客様側に VPN 装置・外から入れる口を置かない（ブラウザで使うだけ）
  • サーバーは外からの受け口を開けず、暗号化した専用の通り道だけで公開
  • サーバー管理は登録端末だけの専用網から

2. 盗まれたパスワード

よくある事例とリスク
  • Snowflake（2024年）：盗まれた ID・パスワードで約165社のデータ流出。2段階認証なし[6]
  • 士業の法人（2026年）：チャットのアカウントを乗っ取られ、偽の請求が送られた[7]
よろずテックの対策
  • 2段階認証（スマートフォンの認証アプリ）
  • 連続で間違えるとロック
  • パスワードは元に戻せない形で保存（よろずテックにも読めない）
  • パスワード変更で、ほかの端末のログインをすべて切断

3. 外部サービスとつなぐ「鍵」

よくある事例とリスク
  • Salesloft Drift（2025年）：Salesforce と連携する鍵（トークン）が盗まれ、多数の企業のデータが流出。Salesforce 自体は無傷[8]
よろずテックの対策
  • 鍵の権限は必要な範囲だけ（例：カレンダーは予定だけ）
  • 鍵はサーバー内だけに保管
  • お客様側でいつでも切断できる
  • 送る・受け取る項目は、つなぐ前にお客様と一覧で決定

4. 仕事を任せた業者（委託先）

よくある事例とリスク
  • 社労士事務所向けクラウド（2023年）：運営会社がランサムウェア被害。利用事務所と顧客の情報に流出のおそれ。個人情報保護委員会が指導[9]
  • 印刷・データ処理の委託先（2024年）：ランサムウェアで委託元の自治体・企業の情報が流出[10]
よろずテックの対策
  • お客様ごとにデータベースと鍵を分離（ほかのお客様のデータに届かない）
  • 見本（デモ）は本番と別の網
  • 控え（バックアップ）は暗号化して別の機械へ

5. 古いままの部品

よくある事例とリスク
  • 徳島の町立病院（2021年）：VPN 装置の既知の弱点を放置して侵入され、電子カルテが暗号化[11]
よろずテックの対策
  • サーバーの基本ソフトは毎日自動更新
  • 部品の弱点が公表されたら確認し、修正版へ
  • AI による模擬攻撃で定期的に穴を点検

6. 設定の誤り・権限の広げすぎ

よくある事例とリスク
  • 自動車メーカーの子会社（2023年）：設定ミスで約10年間データが外から見える状態[12]
  • 先の大阪の総合病院：全利用者に管理者権限があり、被害が拡大[4]
よろずテックの対策
  • 社内用システムは検索に出さない
  • 職員の追加・権限の変更は責任者だけ
  • 案件ごとに見られる人を限定
  • ほかのサイトへの埋め込み・すり替えを防ぐ設定

7. データを人質にとられる（ランサムウェア）

よくある事例とリスク
  • 東京の法律事務所（2019年）：ファイル共有サーバーが暗号化[13]
  • オーストラリアの大手法律事務所（2023年）：約4TB が盗まれ、一部公開[14]
よろずテックの対策
  • 控えは毎日、暗号化して別の機械へ
  • 置くたびに戻して中身を照合
  • 控えが止まれば即通知

8. Webシステムそのものの穴

よくある事例とリスク
  • 駿河屋.JP（2025年）：監視ツールの弱点を突かれ、決済ページが改ざん。カード情報約3万件に漏えいのおそれ[17]
よろずテックの対策
  • 画面を開くたび・操作のたびに、サーバー側でログインと権限を確認
  • 他人のデータが見えないかを AI による模擬攻撃で点検
  • 変更は試しの環境で確かめてから本番へ

9. 内部の人による持ち出し

よくある事例とリスク
  • NTT西日本の子会社（2023年）：保守担当の元派遣社員が管理者アカウントを悪用し、約900万件を持ち出し[18]
よろずテックの対策
  • 見られる範囲は必要な人だけ（案件ごとに限定）
  • 誰が・いつ・何を見たかを記録
  • 管理者アカウントを共用しない
  • 退職者はその日に停止

10. 人のミス（誤送信・誤操作）

よくある事例とリスク
  • 上場企業の漏えい・紛失事故のうち、約2割が誤表示・誤送信（2025年）[19]
よろずテックの対策
  • 書類はメールに添付せず、システム内のリンクで共有
  • 見られる人をシステム側で限定（送り間違えても中身は開けない）
  • 変更・削除の記録を残し、元に戻せる

11. パソコン・スマートフォンの感染や紛失

よくある事例とリスク
  • CircleCI（2022年）：社員のパソコンがウイルスに感染。2段階認証済みのログイン状態ごと盗まれ、本番環境に侵入された[20]
よろずテックの対策
  • データは端末に残さず、ブラウザで見るだけ
  • ログインには有効期限
  • パスワード変更で、ほかの端末のログインを一括で切断

話題の事例：ホームページの土台「PHP」の深刻な穴（2026年10月）

2026年10月23日 追記

2026年10月21日、ホームページを動かす土台の仕組み「PHP」の本体に、深刻な穴（脆弱性）が2つ見つかり、同じ日に修正版が出ました[21]。 PHP は、使われている言語が分かっているサイトの約7割で動いています[23]。レンタルサーバー各社も緊急の対応に入りました[24]。

深刻度10点満点で 9.2（2つとも）
何をされるかログインしていない外の人が、インターネット越しにサーバー（ホームページを置いているコンピューター）を操れてしまうおそれ。勝手な入口を作られる、会員情報を盗まれる、支払いの画面をすり替えられる、といった被害につながります
対象PHP で動いているホームページすべて。穴は PHP そのものにあるため、WordPress（ホームページ作りの定番ソフト）や追加機能を最新にしても防げません
直し方穴を直した新しい版（8.5.12／8.4.27／8.3.36／8.2.35）に上げる。公式の発表では「確実なのは更新だけ」。8.1 より古い版は、もう直してもらえません

10月23日には、まれな設定のときだけ起きる関連の穴について、次の定期更新まで一部の機能を切るよう、追加の注意も出ています[22]。

よろずテックが納めているシステム公表の当日に、当てはまるかを確かめました。よろずテックのシステムは PHP を使っていないため、影響はありません。
お客様のホームページレンタルサーバーでホームページを持っている場合は、下の手順で確かめてください。確かめ方が分からなければ、ご相談ください。

レンタルサーバーでホームページを持っている場合

  1. サーバー会社のお知らせで、今回の対応が済んでいるかを見る
  2. サーバー会社の管理画面で、いま使っている PHP の版（数字）を確かめる
  3. 切り替える前に、サイト全体の控え（バックアップ）を取る
  4. WordPress と追加機能（プラグイン）を最新にする
  5. PHP を 8.4 以降に切り替える（8.2 は2026年末で直してもらえなくなります）
  6. トップページ・問い合わせフォーム・予約や決済の画面が、いつも通り動くか見る

穴は、どの仕組みにも必ず見つかります。大事なのは、公表されたら当てはまるかをすぐ確かめ、当てはまれば直すまでの速さです。 よろずテックは使っている部品を自分たちで把握しているので、公表の当日に確かめられました（上の 5.）。そもそも、よろずテックのシステムは PHP を使っていないため、今回の穴は当てはまりません。

今月（2026年10月）の事例と、よろずテックの備え

10月だけでも、よく知られた会社や役所の事故が次々に公表されました。そのうち原因が公表されたものを、上の 1〜11 の「入口」に当てはめています。 いちばん上のお名前.com の件は、入られた経路がまだ分かっていないため、分かっていることと、被害を広げないための備えだけを示しています。

2026年10月23日時点。原因は各社の発表のとおりで、推測は入れていません。同じ備えがあれば防げた、という意味ではなく、それぞれの入口にどう備えているかを示すものです。

目立った入口

このほか、バーガーキングのアプリ[39]、ふるさとチョイス[40]、カプコン[41]、ファンケル・アテニア[42]なども公表されましたが、原因は調査中か公表されていないため、当てはめていません。

「ひとつにまとめると、守りが緩くなるのでは？」

半分はその通りです。鍵が集まる所は狙われます（上の 3.）。だから、まとめるなら守りも同時に強くします。

一方、まとめなければ情報の写しが散らばります。チャットに貼った書類、個人のカレンダーに書いた顧客名、個人スマートフォンのファイル。どれも、お店や事務所からは止められず、誰が見たかも追えません。

まとめれば、ログイン確認・閲覧範囲・操作記録を1か所でかけられ、退職者も1回で止められます。 さらに、チャットやカレンダーには中身を流さず、システムへのリンクだけを出します。

外部サービスとつなぐときの決まり

乗り換えの途中も、抜かれないように

データの移行中と、両方を使う期間は、情報がふだんと違う道を通ります。

STEP 1データを移す
  • メール添付・USB で受け取らない
  • 作業は運営者本人だけ
  • 件数と中身を照合して報告
STEP 2両方を使う期間
  • 始まりと終わりを先に決める
  • つなぐ鍵は読み取りだけ
  • 項目ごとにどちらが正かを決める
STEP 3終わったら
  • その日につなぐ鍵を切る
  • 受け取ったファイルを消去し報告
  • 元システムの解約・消去を一緒に確認

記録を残す

誰が・いつ・何を見て、何を変えたか（書類を開いた記録を含む）を記録。万一のとき「どこまで見られたか」を調べる根拠になります。 業種ごとの点検にも使えます（例：弁護士情報セキュリティ規程〈2024年6月施行〉の年1回の点検[15]）。

万一のとき

  1. 気づく停止・控えの停止・ログイン失敗の連続を通知
  2. 止める外部の鍵と関係するログインを即停止
  3. 知らせる判明した時点で連絡。分かったこと・分からないことを分けて報告
  4. 戻す別の機械の控えから復旧
  5. 引き継ぐ続けられなくなっても、データとプログラム一式を渡す

保険での備え（加入予定）

保険は事故のあとの備えで、漏れないことの代わりにはなりません。三井住友海上のサイバー保険「サイバープロテクター」（IT業務特約つき）への加入を予定しています[16]。

お客様への賠償情報漏えい（おそれを含む）、システムの不具合・停止による損害
事故対応の費用原因調査・復旧・法律相談・関係者への連絡など

補償の内容と金額は加入手続きで確定します。加入後にこのページを更新します。

お客様にお願いしていること

セキュリティについて相談する →

出典

  1. 警察庁の統計（2025年のランサムウェア被害 226件）の報道：ScanNetSecurity
  2. 警察庁の統計（感染経路の内訳）：富山県警察の資料（PDF）
  3. IPA「情報セキュリティ10大脅威 2026」：情報処理推進機構
  4. 大阪急性期・総合医療センター 調査報告書の概要：同センター（PDF）
  5. 名古屋港のシステム障害について：国土交通省（PDF）
  6. Snowflake の利用企業への攻撃：Decipher
  7. 社会保険労務士法人のチャットアカウント乗っ取り：ScanNetSecurity
  8. Salesloft Drift の連携トークン流出：BleepingComputer
  9. 社労士向けクラウドへの行政指導：ScanNetSecurity
  10. 印刷・データ処理の委託先のランサムウェア被害：ScanNetSecurity
  11. つるぎ町立半田病院の事案（厚生労働科学研究の報告書）：PDF
  12. クラウドの設定ミスによる漏えい：Car Watch
  13. 法律事務所のランサムウェア被害（2019年）：ScanNetSecurity
  14. オーストラリアの法律事務所の被害：SecurityWeek
  15. 弁護士情報セキュリティ規程：日本弁護士連合会
  16. サイバー保険「サイバープロテクター」：三井住友海上
  17. 駿河屋.JP への不正アクセス：ScanNetSecurity
  18. NTT西日本子会社の顧客情報持ち出し：ITmedia
  19. 上場企業の個人情報漏えい・紛失事故の原因（東京商工リサーチ）：Web担当者Forum
  20. CircleCI のセキュリティ事故報告：CircleCI
  21. PHP 本体の深刻な脆弱性（CVE-2026-109618・CVE-2026-109619）の告知：PHP 公式
  22. セッションのアップロード進捗に関する追加の注意（2026年10月23日）：PHP 公式
  23. サーバー側の言語の利用割合（2026年10月23日時点で69.3%）：W3Techs
  24. レンタルサーバー各社の緊急メンテナンス：IT入門
  25. 岩井コスモ証券への不正アクセス（第2報）：岩井コスモ証券
  26. 委託先へのサイバー攻撃による情報漏えい：NEC
  27. 防災メール配信への不正アクセスの経過：アルカディア（PDF）
  28. ソースネクストの会員情報流出：piyolog
  29. skyticket への不正アクセス：アドベンチャー
  30. ユミルリンクの情報流出：Security NEXT
  31. Commune への不正アクセス：コミューン
  32. Studio の情報流出：Studio
  33. i-ask への不正アクセス：スカラコミュニケーションズ
  34. 日本経済新聞社のアカウントからのなりすましメール：日経BP
  35. ハイホーの利用者ページへの不正ログイン：piyolog
  36. ライドオンエクスプレスHD の情報流出の可能性：Security NEXT
  37. IDCFクラウドの障害（第5報）：IDCフロンティア
  38. お名前.com デスクトップクラウドへの不正アクセス：お名前.com
  39. バーガーキングのアプリ会員情報の流出：Security NEXT
  40. ふるさとチョイスの会員情報流出（第2報）：トラストバンク
  41. CAPCOM ID への不正アクセス：Security NEXT
  42. ファンケル・アテニアの会員情報流出：Security NEXT
  43. お名前.com のFX自動売買VPS、不正アクセスで金銭被害か：ITmedia NEWS
  44. 顧客資産狙い、企業に圧力か　GMO系不正アクセス、異例の攻撃手口：朝日新聞

事故の内容は、各出典の公表・報道の範囲で要約しています。