Webサイトで情報漏えい・改ざんが疑われたら｜最初の数日にやること・やってはいけないこと

「問い合わせフォームから送られた個人情報が、外部に漏れているかもしれない」「会社のWebサイトを開いたら、見覚えのない画像やリンクが表示されている」「管理画面にログインできなくなった」。こうした連絡を受けたとき、多くの経営者やWeb担当者の方は、まず強い焦りを感じると思います。一刻も早く元に戻したい、なかったことにしたい、という気持ちになるのは自然なことです。

しかし、情報漏えいや改ざんが疑われる場面では、その焦りから取った行動が、かえって被害の範囲を分からなくしてしまうことがあります。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害に遭った場合について、慌てて電源をオフにするとログなどの侵入の痕跡が失われ、その後の調査が困難になる可能性があると注意を促しています。初動では、被害拡大の防止とログなどのデータの保全を行い、対応の体制を整えたうえで調査と復旧に取り組むべきだ、とされています。

また、個人情報の漏えいが関わる場合は、法律で定められた報告の期限もあります。個人情報保護法では、一定の条件にあたる漏えいやそのおそれがある場合、個人情報保護委員会への報告と、本人への通知が義務になっています。最初の数日の動き方が、その後の調査や報告、顧客への説明のしやすさを大きく左右します。

この記事では、Webサイトを運営する中小企業の経営者・Web担当者の方に向けて、情報漏えいや改ざんが起きた、または疑いがあるときの初動対応を整理します。最初の数時間から数日でやること、やってはいけないこと、個人情報保護委員会への報告の期限、相談できる公的な窓口、そして事前に用意しておきたい連絡先リストです。

内容は、IPA（情報処理推進機構）が公開している「中小企業のためのセキュリティインシデント対応の手引き」や、経済産業省の案内ページ、個人情報保護委員会の公式情報をもとにしています。この記事は一般的な考え方を整理したものであり、個別の事案での法的な判断や技術的な調査を代わりに行うものではありません。実際に事案が起きた場合は、後半で紹介する窓口や専門家に早めに相談してください。

私はフリーランスのWebディレクター兼エンジニアとして、関西を中心にWebサイトの制作から公開後の保守まで携わっています。Webサイトの運営者の立場で「最初に何をすればよいか」が分かるよう、できるだけ具体的な手順に落とし込んでお伝えします。

最初の数時間でやること：被害の拡大を止め、記録を残す

まずは報告と体制づくり

IPAの「中小企業のためのセキュリティインシデント対応の手引き」では、対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3つの段階に分けて説明しています。最初の段階で求められているのは、次のような動きです。

• インシデントが疑われる兆候を見つけたら、情報セキュリティの責任者に報告する
• 外部から通報を受けた場合は、通報者の連絡先などを控える
• 責任者は、対応すべきインシデントだと判断したら、速やかに経営者に報告する
• 経営者は対応の体制を立ち上げ、責任者と担当者を決めて役割分担を明確にする

小さな会社では、責任者も担当者も経営者自身、ということも多いでしょう。その場合でも、「誰が判断し、誰が外部とやり取りし、誰が記録を取るのか」を最初に決めておくだけで、対応のばらつきを減らせます。

被害の拡大を止める

同じ手引きでは、初動対応として、対象の情報が外部からアクセスできる状態にある場合や被害が広がる可能性がある場合に、ネットワークの遮断、情報や対象機器の隔離、システムやサービスの停止を行うとしています。そのうえで、対象機器の電源を切るなど、不用意な操作でシステム上に残された記録を消さないよう注意が必要だとしています。

Webサイトの場合に考えられる対応としては、たとえば次のようなものがあります。

• 改ざんされたページや、不正なプログラムが動いている疑いがあるサイトを、メンテナンス表示に切り替えて公開を止める
• 個人情報を受け付けている問い合わせフォームや会員登録を、一時的に停止する
• 不正に使われた疑いのある管理者アカウントのパスワードを変更し、見覚えのないアカウントがないか確認する

どの操作をどの順番で行うかは、サイトの構成によって変わります。制作会社や保守会社がいる場合は、自分で操作する前に連絡を入れ、記録を残しながら進める方法を相談するのが安全です。

時系列のメモを、最初の瞬間から取る

初動で見落とされやすいのが、記録です。「いつ、誰が、何に気付き、何をしたか」を、気付いた時点からメモに残しておきます。IPAの手引きでも、インシデント対応時に整理しておくべき事項として、発覚日時、発生事象、発生から現時点までの時系列の経過、想定される原因などが挙げられています。

メモは、きれいにまとめる必要はありません。「10時15分、顧客から電話で、サイトに不審な広告が出ていると連絡あり」「10時40分、保守会社に電話。担当者不在のためメールで連絡」といった書き方で十分です。この記録は、後の調査や個人情報保護委員会への報告、顧客への説明の土台になります。

やってはいけないこと：慌ててサーバーを初期化しない

「早く元に戻したい」が、調査の手がかりを消してしまう

被害に気付いたとき、最もやってしまいがちなのが「サーバーを初期化して、バックアップから戻す」ことです。見た目の上では、すぐに元の状態に戻ったように見えます。しかし、この操作によって、侵入の経路や時期、どのデータが持ち出されたのかを調べるための手がかりが失われてしまうことがあります。

調べる手がかりがなくなると、「どの範囲の個人情報が漏えいしたのか」が特定できなくなります。範囲が特定できなければ、影響のある本人を絞り込めず、報告や通知の対象を広く取らざるを得なくなることも考えられます。また、侵入の原因が分からないまま元に戻すと、同じ弱点から再び侵入されるおそれもあります。NISCの「重要インフラのサイバーセキュリティ部門におけるリスクマネジメント等手引書」でも、サービスを復旧する前に、被害の原因の分析・特定・対処を行うことが考慮事項として挙げられています。

悪い例と改善例

改ざんが疑われる場面での動きを、よくある対応と見直した対応で比べてみます。

身代金については、警察庁の資料で、支払った金銭が犯罪グループの活動資金になることが懸念されることや、支払っても暗号化されたデータの復号が保証されるわけではないことが説明されています。

現場でつまずきやすい点：ログが残っている期間は長くない

レンタルサーバーなどのアクセスログやエラーログは、保存される期間が限られていることがあります。保存期間はサービスによって異なり、一定の期間が過ぎると自動的に消えてしまう場合もあります。改ざんや漏えいの疑いがある時点で、管理画面からログをダウンロードして保管しておくか、サーバー会社のサポートに連絡し、ログの保全について相談しておくと安心です。

もう一つのつまずきやすい点は、「感染したかもしれない端末」から、そのまま管理画面にログインして作業してしまうことです。パソコンそのものが不正なプログラムに感染している場合、変更したパスワードが再び盗まれるおそれがあります。パスワードの変更は、問題がないと考えられる別の端末から行うようにしましょう。

個人情報保護法の漏えい等報告：速報と確報の期限を押さえる

報告と本人への通知が必要になる4つの事態

2022年4月1日から、個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、個人情報保護委員会への報告と本人への通知が義務になりました（個人情報保護委員会「漏えい等報告・本人への通知の義務化について」）。対象となるのは、次の4つの事態です。

1. 要配慮個人情報が含まれる個人データの漏えい等
2. 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
3. 不正の目的をもって行われたおそれがある個人データの漏えい等
4. 個人データに係る本人の数が1,000人を超える漏えい等

いずれも、実際に漏えいした場合だけでなく、「発生したおそれがある」場合も含まれます。Webサイトへの不正アクセスは、3つ目の「不正の目的をもって行われたおそれがある」事態にあたる可能性があり、この場合は本人の数が少なくても対象になります。

報告の期限

個人情報保護委員会の「漏えい等の対応とお役立ち資料」や事業者向けリーフレットでは、報告の期限が次のように示されています。

確報の期限は、個人情報の保護に関する法律施行規則の第8条で定められています。報告は、個人情報保護委員会のWebサイトにある報告フォームから行います。なお、業種によっては、報告先が事業を所管する省庁などになる場合があります。

本人への通知

本人への通知は、施行規則の第10条で、事態の状況に応じて速やかに、本人の権利利益を保護するために必要な範囲で行うとされています。個人情報保護委員会は、通知の方法の例として文書の郵送や電子メールの送信を挙げ、本人への通知が困難な場合には、ホームページでの公表や問い合わせ窓口の設置といった代替措置も可能だとしています。

現場でつまずきやすい点：「確定してから報告しよう」と考えてしまう

よくあるのが、「漏えいしたかどうか、はっきりしてから報告しよう」と考えて、速報を先延ばしにしてしまうことです。速報は、報告しようとする時点で把握している内容で構いません。調査が終わっていなくても、「おそれ」の段階で期限の考え方が始まる点に注意が必要です。

また、Webサイトの制作や保守を外部に委託している場合、委託先が漏えいに気付くこともあります。個人情報保護法では、委託を受けた側が委託元に通知した場合に、委託先の報告義務を免除する仕組みもあります。どちらがいつ報告するのかを、契約の段階で確認しておくと、いざというときに迷わずに済みます。

相談窓口と報告先：どこに何を相談するか

公的な窓口の役割を整理する

インシデントが起きたとき、どこに相談すればよいか分からず、時間が過ぎてしまうことがあります。IPAの手引きや各機関の公式情報をもとに、主な窓口を整理すると次のようになります。

IPA：まず迷ったときの相談先

IPAの「サイバーセキュリティ 相談・届出窓口一覧」では、連絡先に迷った場合は「企業組織向けサイバーセキュリティ相談窓口」に連絡するよう案内されています。この窓口では、起きている事象を聞き取ったうえで被害発生の可能性について助言し、被害が発生している場合は応急処置案の助言や、インシデント対応を行う専門業者の一覧、他に必要な報告先の紹介を行うとされています。一方で、相談された事案の調査や解析は対応していないと明記されています。実際の調査が必要な場合は、紹介を受けた専門業者に依頼することになります。

JPCERT/CC：改ざんサイトへの対応依頼

JPCERT/CCの「インシデント対応依頼」では、改ざんされたサイトへの対応依頼などを受け付けています。報告は原則としてWebフォームか電子メールで行い、電話での報告は受け付けていないとされています。自社のサイトの改ざんに加えて、自社を装った偽サイトを見つけた場合などにも、報告先の候補になります。

警察：犯罪性がある場合の通報・相談

警察庁の「サイバー事案に関する相談窓口」には、全国統一のオンライン受付窓口があり、都道府県警察に対する通報・相談・情報提供ができます。よくある相談事例として、会社のWebサイトが改ざんされて身に覚えのない画像が掲載されたり、管理画面にアクセスできなくなったりしたケースも紹介されています。なお、被害届を出す場合は、最寄りの警察署などに連絡するよう案内されています。IPAの手引きでも、不正アクセスや内部犯行は犯罪性があるため、警察への届け出も必要になるとしています。

民間の専門業者

調査を依頼する専門業者を探す場合、IPAの手引きでは、日本ネットワークセキュリティ協会（JNSA）の「サイバーインシデント緊急対応企業一覧」も紹介されています。費用や対応範囲は業者によって異なるため、事前に候補を確認しておくと、いざというときに比較する時間を短くできます。

事前に用意する連絡先リスト：平時の準備が、有事の迷いを減らす

なぜ「平時」に用意するのか

インシデントが起きてから連絡先を探し始めると、思った以上に時間がかかります。サーバー会社のサポート窓口の番号、ドメインを管理している会社、フォームサービスのアカウントの持ち主。普段は意識しない連絡先ほど、いざというときに見つかりません。

警察庁の長期休暇前の注意喚起では、インシデントを認知した際の連絡体制として、対応の決定権者や担当者の連絡先、連絡が取れなかった場合の予備の連絡先が最新になっているかを確認するよう求めています。あわせて、システムベンダーや保守業者、外部サービス提供者などのサポート窓口について、夜間・休日の連絡先も含めて確認するよう呼びかけています。

連絡先リストのひな形

Webサイトを運営する中小企業であれば、次のような項目を1枚にまとめておくことをおすすめします。

現場でつまずきやすい点：リストの「置き場所」

連絡先リストを、社内のファイルサーバーやクラウドのフォルダだけに置いていると、そのシステム自体が使えなくなったときに開けません。印刷した紙を、経営者と担当者がそれぞれ手元に保管しておくなど、複数の場所に分けて置いておくと安心です。

また、リストは一度作って終わりではありません。担当者の異動や退職、契約しているサービスの変更があれば、そのたびに内容が古くなります。管理画面のログイン情報やアカウントの持ち主の整理については、「担当者が退職した後の契約とログイン情報の控え方」でも詳しく取り上げていますので、あわせて見直してみてください。年に1回、決算の時期や保守契約の更新の時期など、決まったタイミングで見直す習慣をつけておくと、更新が漏れにくくなります。見直しの際には、実際に電話をかけたりメールを送ったりして、連絡先が今も使えるかを確かめておくと、より実際の場面に近い確認になります。

まとめ：慌てずに「止める・残す・伝える」を順番に

Webサイトで情報漏えいや改ざんが疑われたとき、最初の数時間から数日の動き方は、その後の調査、報告、顧客への説明のすべてに影響します。早く元に戻したいという気持ちは自然なものですが、慌ててサーバーを初期化したり、不審なファイルをすぐに削除したりすると、何が起きたのかを調べる手がかりが失われてしまうことがあります。

この記事で取り上げたポイントを振り返ります。

• 気付いたら責任者と経営者に報告し、役割分担を決める
• 公開やフォームの受け付けを止めて被害の拡大を防ぎつつ、電源を切るなど記録を消す操作は避ける
• 気付いた時点から、時系列のメモを残す
• 原因を調べ、弱点を修正してから再公開する
• 個人情報が関わる場合は、個人情報保護委員会への速報（概ね3〜5日以内）と確報（30日以内、不正の目的によるおそれがある場合は60日以内）の期限を意識する
• 迷ったら、IPAの企業組織向け相談窓口などの公的な窓口に相談する

見出しに掲げた「止める・残す・伝える」は、この流れを短く言い表したものです。被害が広がらないように止める。何が起きたのかを後から確かめられるように残す。そして、社内、委託先、公的機関、影響を受ける本人へ、確認できた事実を順番に伝える。この3つを、手順書の最初の1行に書いておくだけでも、慌てた場面で立ち返る目印になります。

そして、これらを有事に落ち着いて進めるために欠かせないのが、平時の準備です。まずは、次の3つを確認するところから始めてみてください。

1. Webサイトのサーバー、ドメイン、フォームサービスの管理者と、サポート窓口の連絡先が分かるか
2. 制作会社や保守会社に、夜間や休日に連絡が取れるか、どこまで対応してもらえる契約か
3. 個人情報の漏えいが疑われたとき、社内で誰が報告の判断をするか決まっているか

答えに詰まる項目があれば、そこが最初に整えるべき点です。連絡先リストを1枚作るだけでも、いざというときに迷う時間を大きく減らせる可能性があります。

インシデントを完全に防ぐことは、大手企業でも難しいのが現実です。だからこそ、「起きたときにどう動くか」をあらかじめ決めておくことが、被害を小さく抑え、顧客からの信頼を守ることにつながります。今回の内容を、自社の対応手順を見直すきっかけにしていただければ幸いです。

「自社サイトで異常が起きたときの連絡体制や対応手順を整理したい」「サーバーやフォームの管理状況を一度洗い出したい」とお考えの企業・店舗の方は、現状の確認と運用の見直しのご相談を承っています。相談・お問い合わせからお気軽にご連絡ください。