なぜ中小企業のWebサイトが狙われるのか

「うちのような小さな会社のサイトを、わざわざ狙う人はいないだろう」。そう考えるのは自然なことです。けれども、いまのサイバー攻撃の多くは、人が相手を選んで始めるものではありません。

攻撃は「選ばれて」ではなく「見つかって」始まる

インターネット上では、弱点のあるサイトやサーバーを探すプログラムが、昼夜を問わず動いています。こうしたプログラムは、会社の規模や知名度、業種を気にしません。確かめているのは、ただひとつ。入りやすい弱点があるかどうかです。

たとえば次のような手がかりは、外からすぐに分かります。

• 応答に含まれるソフトウェアの名前と版（バージョン）
• 置き忘れられた設定ファイルやバックアップ
• 誰でも開ける管理画面のログインページ
• 暗号化されていない通信や、古い暗号方式

古い版のソフトウェアが見つかれば、公開されている脆弱性の一覧と照らし合わせるだけで、攻撃の手順まで分かってしまうことがあります。

中小企業が「入りやすい相手」になりやすい理由

大企業には専任のセキュリティ担当者がいることが多い一方、中小企業では次のような状況がよく見られます。

• サイトの制作も更新も外部の制作会社に任せていて、いまの状態が分からない
• 社内に IT の担当者がいない、または兼任で手が回らない
• 公開から何年も経ち、CMS やプラグインの更新が止まっている

どれも珍しいことではありません。ただ、攻撃する側から見ると「対策が手薄で、入りやすい相手」に映ってしまいます。

被害は自社だけで終わらない

サイトに入り込まれると、ページの書き換えや不正なプログラムの設置、顧客情報の持ち出しにつながることがあります。さらに、乗っ取ったサイトやメールを足がかりに、取引先への攻撃の踏み台にされることもあります。大きな会社が、取引先の小さな会社を経由して被害を受ける「サプライチェーン攻撃」は、近年とくに注目されています。

また、不正アクセスによって個人データが漏えいしたおそれがある場合、個人情報保護委員会への報告や本人への通知が必要になることがあります。対応には時間も費用もかかり、何より取引先や顧客からの信用に関わります。

では、何から始めればいいのか

いちばん効果があるのは、派手な対策よりも基本の弱点をひとつずつ閉じることです。弱点がひとつ減るたびに、自動で巡回するプログラムから見た「価値」は下がります。

そのための第一歩は、自分のサイトが外からどう見えているかを知ることです。

1. 外から見える弱点を点検する
2. 見つかった問題を、効果の大きいものから直す
3. サイトは変わり続けるので、定期的に確かめる

具体的な対策は「まず見直す基本対策5つ」で紹介しています。

参考になる公的な情報

• IPA（独立行政法人情報処理推進機構）：毎年「情報セキュリティ10大脅威」を公表しています。
• 警察庁：サイバー空間をめぐる脅威の情勢を定期的にまとめています。
• JPCERT/CC：注意喚起や、脆弱性への対応情報を発信しています。