タイムズやEストアーの流出ニュース、他人事ではない？中小企業・BtoBが今すぐ見直すべきWEB保守の現実
2026年の秋は、大規模な情報流出のニュースが続きました。9月には、パーク24の子会社が運営するカーシェアリングサービス「タイムズカー」のWebシステムが不正アクセスを受け、退会者を含む最大約660万件のアカウントで、氏名や住所、運転免許証の画像などが漏えいしたと公表されました。10月には、ECサイト構築サービス「ショップサーブ」を運営するEストアーが調査の最終報を公表し、約2,335万人の情報が対象になったことが明らかになりました。Eストアーの発表では、原因は「サーバー上で稼働するアプリケーションの脆弱性を悪用されたこと」とされています。
こうしたニュースを見て、「大企業や有名なサービスの話で、うちには関係ない」と感じた方も多いのではないでしょうか。「うちはBtoBだから、個人情報はほとんど持っていない」「業界がニッチだから、わざわざ狙う人はいない」。経営層の方とお話しすると、こうした声をよく耳にします。現場の担当者が保守の必要性を説明しても、「今まで何も起きていないのだから、費用をかける必要はない」と判断されてしまう、という悩みもよく伺います。
しかし、現実はその逆です。現在のサイバー攻撃の多くは、人が一社ずつ狙いを定めて行うものではありません。自動化されたプログラムやAIを使って、インターネット上にあるサーバーやWebサイトを広く調べ、更新が止まっているシステムや、設定に不備のあるシステムを機械的に探し出す手法が広く使われています。攻撃する側から見れば、会社の規模や知名度は関係なく、「対策が手薄なところ」が入り口になります。また、Eストアーの事案では、ショップサーブを利用していた7,858店のネットショップが漏えいの対象になったと報じられています。自社でシステムを作っていなくても、利用しているサービスを通じて影響を受けることがあるのです。
この記事では、フリーランスのWebディレクター兼エンジニアとして、企業のWebサイトやシステムの制作・保守に関わってきた立場から、経営層の方に向けて、Webシステムの保守を「削るべき経費」ではなく「事業を続けるための経営コスト」として捉え直すための考え方を整理します。最近のニュースから読み取れること、「100%防げる対策はない」という前提に立った考え方、そしてこれからの経営に必要な「先手型の保守」という判断基準を、専門用語をできるだけ使わずにお伝えします。
第1章：経営者が陥りやすい「3つの思い込み」
思い込み1：「うちのような中小企業やニッチな業界は、誰も狙わない」
攻撃者が有名な企業だけを狙っている、というイメージは、現在の攻撃の実態とは合っていません。先ほど触れたとおり、現在の攻撃の多くは、自動化されたプログラムがインターネット上を巡回し、「鍵がかかっていない扉」を機械的に探す形で行われています。たとえるなら、住宅街のすべての家のドアノブを、ロボットが休みなく回して確かめているような状態です。ロボットは表札を見ていません。大きな家か小さな家かではなく、鍵が開いているかどうかだけを見ています。
経済産業省とIPA（情報処理推進機構）が公表した中小企業の実態調査でも、不正アクセスを受けた中小企業の48.0%が「脆弱性を突かれた」と回答しています。脆弱性とは、ソフトウェアの設計上の弱点や不具合のことで、いわば「扉の鍵の欠陥」です。規模の大小にかかわらず、鍵の欠陥を放置しているところが狙われやすいということが分かります。
思い込み2：「BtoBだから、個人情報は持っていないので大丈夫」
BtoBの企業でも、守るべき情報は数多くあります。取引先の担当者の名前や連絡先、見積書や契約書、製品の図面や仕様書、社内の打ち合わせの記録などは、どれも外部に漏れると取引に影響する情報です。問い合わせフォームから届いたメールや、採用ページに応募した方の履歴書も、立派な個人情報にあたります。
さらに見落とされやすいのが、自社が「踏み台」にされる危険です。侵入されたシステムから取引先にウイルス付きのメールが送られたり、自社のサーバーが別の攻撃の中継地点として使われたりすると、自社は被害者であると同時に、取引先に被害を与える立場にもなってしまいます。前述の調査では、サイバー被害を受けた中小企業のうち、約7割で取引先にも影響が及んだとされています。
思い込み3：「Webシステムは、一度作ればずっとそのまま使える」
Webサイトやシステムは、完成した時点の状態のまま安全に使い続けられるものではありません。WordPressのような仕組みや、サーバー、プログラムの言語は、日々改良され、見つかった弱点を直すための更新が繰り返し公開されています。これは車にたとえると分かりやすいかもしれません。車は購入したときにどれだけ新しくても、定期的な車検やオイル交換をしなければ、部品が劣化して故障や事故の原因になります。Webシステムの更新は、まさにこの車検やオイル交換にあたります。
第2章：前提として知っておきたい「100%防げる対策はない」
保守は、すべての攻撃を防ぐ魔法ではない
保守の大切さをお伝えする一方で、誠実にお伝えしなければならないことがあります。それは、どれだけ丁寧に保守をしていても、攻撃を100%防ぐことはできないという事実です。攻撃の手口は日々新しく生まれており、まだ誰にも知られていない弱点を突かれることもあります。セキュリティの専門家であっても、「絶対に破られない」と約束することはできません。
これは、健康管理にたとえると理解しやすくなります。インフルエンザの予防接種を受けても、感染を完全に防げるわけではありません。それでも、予防接種を受けておくことで、感染する可能性を下げ、もし感染しても重症化しにくくなります。定期健診も同じで、病気を完全に防ぐものではありませんが、早い段階で異変に気付き、大きな手術を避けられる可能性が高まります。Webシステムの保守も、これと同じ考え方で捉えることが大切です。
保守の本当の目的は2つある
保守の目的は、大きく分けて次の2つです。
- 侵入される可能性をできるだけ下げること：弱点を直す更新を早めに適用し、不要な機能やアカウントを整理することで、攻撃の入り口を減らします。
- 万が一突破されたときに、被害を小さく抑え、早く復旧すること：バックアップを定期的に取得し、異常に早く気付ける仕組みと、問題が起きたときの連絡体制を整えておきます。
この2つ目の目的が理解されていないと、「保守費用を払っているのに事故が起きたではないか」という不満が生まれやすくなります。保守を「事故を絶対に起こさないための契約」と捉えていると、事故が起きた瞬間に、それまでの費用がすべて無駄だったように感じてしまいます。しかし実際には、保守がされていたからこそ、被害の範囲を早く特定でき、バックアップから短期間で復旧できた、ということもあります。保守の価値は、事故が起きなかったときだけでなく、事故が起きたときの被害の小ささにも表れます。
保守を依頼する側とされる側が、この前提を最初に共有しておくことが、信頼関係を保つうえでも大切です。契約の段階で、「どこまでを予防として行い、事故が起きたときには何をどの順番で行うのか」を言葉にしておけば、万が一のときにも落ち着いて判断しやすくなります。経営層の方にとっても、保守の成果を「事故がゼロだったかどうか」だけで評価しないことが、適切な投資判断につながります。たとえば、「更新を何回適用したか」「バックアップが正常に取れているか」といった日頃の作業の報告を受けることで、目に見えにくい保守の価値を確かめやすくなります。
第3章：保守契約には「後手型」と「先手型」がある
経営層の方が自社の保守の状態を判断するうえで、知っておいていただきたいのが、保守契約には大きく分けて「後手型」と「先手型」の2種類があるということです。
後手型：問題が起きてから対応する保守
後手型の保守は、Webサイトが表示されない、改ざんされた、といったトラブルが起きてから、原因を調べて復旧する契約です。これまでの保守契約では、この形が多く見られました。
- 内容：トラブルの連絡を受けてから、原因の調査と復旧の作業を行う
- メリット：日頃の作業が少ないため、月々の費用を抑えやすい
- リスク：対応が始まるのは事故が起きた後になるため、情報の流出や業務の停止が発生してからの対応になりやすい
健康にたとえると、病気になってから救急車で運ばれ、緊急手術を受ける状態に近いといえます。手術がうまくいけば回復できますが、体への負担は大きく、治療費もかさみます。そして、手術が終わるまでの間、仕事は止まってしまいます。
先手型：弱点を見つけたら、被害の前に直す保守
先手型の保守は、使っているソフトウェアに新しい弱点が見つかったという情報が公表されたら、被害が出る前に修正のための更新を適用する契約です。これからの保守のあり方として、私が推奨している形です。
- 内容：弱点に関する情報を継続的に確認し、修正の更新を検証したうえで適用する
- メリット：攻撃の入り口になる「扉の鍵の欠陥」を塞ぎ続けることで、事故が起きる可能性を下げやすくなる
- コスト：情報の確認や、更新しても表示や機能に問題が出ないかを検証する作業が継続的に発生するため、その分の費用がかかる
こちらは、予防接種や定期健診にあたります。毎年の費用と手間はかかりますが、大きな病気を防ぎ、早い段階で異変に気付ける可能性が高まります。
自社の契約がどちらに近いかを確かめる
現在の保守契約がどちらに当たるのかは、契約書の作業内容を見ると判断しやすくなります。たとえば、契約内容が「障害発生時の対応」だけであれば後手型、「定期的な更新の適用」「脆弱性情報の確認」が含まれていれば先手型に近いといえます。判断に迷う場合は、保守を依頼している会社に「最後に更新を適用したのはいつか」を尋ねてみるのも一つの方法です。
なお、先手型と後手型のどちらが正しいかは、一概には言えません。情報をほとんど扱わない小さな案内用のサイトと、顧客の情報を預かる受注システムとでは、守るべきものの重さが異なるためです。大切なのは、自社のWebシステムが何を扱っているのかを把握したうえで、どちらの保守を選ぶのかを経営判断として決めておくことです。
第4章：保守は「保険」ではなく「事業を続けるための投資」
事故が起きたときにかかるコスト
保守の費用を判断するときには、事故が起きた場合にどれくらいのコストがかかるのかを知っておくことが欠かせません。事故が起きると、主に次のような費用や損失が発生します。
- 調査と復旧の費用：何が起きたのか、どこまで被害が広がったのかを専門の会社に調べてもらう費用と、システムを元に戻すための費用
- 損害賠償や顧客対応の費用：被害を受けた方へのお詫びの連絡、問い合わせ窓口の設置、場合によっては賠償の費用
- 業務が止まることによる損失：Webサイトや受注システムが使えない間の売上の減少や、納期の遅れ
金額の目安として、総務省の資料で紹介されている日本ネットワークセキュリティ協会（JNSA）のインシデント損害額調査では、Webサイトからの情報漏えい（クレジットカード情報および個人情報）の平均被害金額は3,843万円とされています。また、IPAの中小企業等実態調査では、中小企業の被害額の平均は73万円でしたが、最大で1億円に達した例もあり、復旧までに最大で360日を要した例も報告されています。被害の大きさは事案によって大きく異なりますが、一度の事故で、数年分の保守費用を上回る負担が生じることは十分に考えられます。
中小企業にとって最も重いのは「信用」の損失
金額に表しにくい損失もあります。それが、取引先や顧客からの信用です。大企業であれば、事故の後も事業を続けながら信用の回復に取り組む体力があります。しかし中小企業にとっては、「あの会社に情報を預けて大丈夫だろうか」と思われることが、取引の見直しにつながり、経営に深刻な影響を与えることがあります。反対に、前述の経済産業省の調査では、セキュリティ対策に投資している企業の約5割が「取引につながった」と回答しています。保守や対策への取り組みは、信用を守るだけでなく、取引先から選ばれる理由にもなり得るのです。
保守費は「無駄な固定費」ではなく「経営コスト」
こうして考えると、保守費用は、使わなければ無駄になる保険料とは性質が異なります。車の車検費用を「事故が起きなかったから無駄だった」と考える人はいません。車検は、車を安全に使い続けるために必要な費用だからです。Webシステムの保守も同じで、事業を止めずに続けるための経営コストとして位置付けることが、これからの経営判断には求められています。予算を検討する際は、保守費用の金額だけを見るのではなく、「このシステムが1週間止まったら、どれくらいの売上や信用に影響するか」と並べて比べてみると、判断の基準が明確になります。
まとめ：経営層が今すぐ確認したいチェックリスト
ここまで、最近の情報流出のニュースをきっかけに、Webシステムの保守について考えてきました。最後に、経営層の方が自社に持ち帰って確認できるチェックリストをまとめます。
- 自社のWebシステムやWebサイトが、最後に更新された日を把握しているか：更新が何年も止まっている場合は、弱点が放置されている可能性があります。
- 現在の保守契約は「後手型（事故対応）」と「先手型（予防対応）」のどちらか：契約書の作業内容を確認し、判断に迷う場合は保守会社に尋ねてみてください。
- 万が一のときの「緊急連絡体制」と「バックアップ体制」はあるか：誰に連絡し、どのデータから復旧するのかが決まっているかを確認します。
この3つの質問に、すぐに答えられない項目があれば、それが自社の保守を見直すきっかけになります。すべてを一度に整える必要はありません。まずは現状を知ることが、保守を見直すための最初の一歩になります。現場の担当者の方であれば、このチェックリストを経営会議の資料として使っていただくのも一つの方法です。経営層と現場が同じ質問を前にして話し合うことで、保守に対する認識のずれを埋めやすくなります。
Webサイトやシステムは、かつては「作って終わり」のものとして扱われることが少なくありませんでした。しかし、攻撃が自動化され、規模に関係なく弱点が探される今、Webシステムは、車や建物と同じように、手入れを続けながら使い続ける「会社の資産」として扱う必要があります。資産を守るための費用は、事業を続けるための費用でもあります。手入れの記録が残っていれば、担当者が替わったときや、取引先からセキュリティ対策について尋ねられたときにも、自社の取り組みを説明しやすくなります。
今回取り上げたタイムズカーやEストアーの事案は、どちらも大規模なサービスで起きたものです。しかし、「アプリケーションの弱点を突かれた」というEストアーの原因や、7,858店の店舗が影響を受けたという事実は、中小企業にとっても決して遠い話ではありません。ニュースを他人事として眺めるのではなく、自社の状態を確かめる機会として活用していただければ幸いです。
自社のWebサイトやシステムの保守の状態が分からない、今の保守契約が十分なのか判断できない、といったお悩みがあれば、まずは現状を一緒に整理するところからお手伝いします。自社サイトの課題を一度洗い出してみませんか。相談・お問い合わせからお気軽にご連絡ください。