「予算優先の提案」はもう限界。H2O顧客情報流出から考える、AI時代のWebセキュリティ提案戦略
2026年10月19日、阪急百貨店・阪神百貨店を傘下に持つエイチ・ツー・オー リテイリング（H2O）が、グループの3つのWebサービスで不正アクセスがあったことを公表しました。発表によると、「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムへの不正アクセスが確認され、「H2O ID」会員のほぼすべてにあたる約126万件の氏名や住所、電話番号、生年月日などが漏えいしたとされています。「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスが確認され、3つのサービスはいずれもシステム全体が停止されました。原因と侵入経路については、発表の時点では調査中とされています。
関西で暮らす方にとって、阪急・阪神の百貨店は日常の一部です。関西でWeb制作の仕事をしている私にとっても、身近な企業で起きた出来事として、受け止め方が大きく変わるニュースでした。十分な体制と予算を持つ大手企業であっても、被害を完全に防ぐことは難しい。この現実を、改めて突きつけられた出来事だったと感じています。
前回の記事では、タイムズカーやEストアーの事案を取り上げながら、自動化されたプログラムやAIを使って、インターネット上の弱点を機械的に探し出す攻撃について解説しました。その後わずか数日で、関西の身近な企業でも大規模な事案が公表されたことは、こうした脅威が決して遠い話ではないことを示しています。
もう一つ、見直す必要があると感じているのが、「日本語の壁」に対する安心感です。これまで日本のWebサイトは、日本語という独特の言語で作られていることや、国内向けの小さなシステムが多いことから、海外の攻撃者にとっては扱いにくい対象だと考えられてきました。不自然な日本語の詐欺メールを見て、「すぐに見抜ける」と感じた経験がある方も多いと思います。しかし、生成AIの進化によって、自然な日本語の文章を作ることも、日本語で書かれたシステムの画面や説明を読み解くことも、以前よりはるかに容易になりました。「日本語のサイトだから」「地方の小さな会社だから」という理由は、以前ほど身を守る壁として機能しなくなっています。
この記事では、Webサイトを発注する企業の経営者や担当者の方、そして予算とセキュリティの間で提案に悩むWeb制作者やディレクターの方に向けて、これまでの「予算優先の提案」を振り返り、AI時代の攻撃に備えるための実践的な提案の考え方を整理します。
過去の振り返り：制作現場が陥っていた「予算優先の提案」の落とし穴
クライアントの予算に合わせることを「親切」と考えてきた
Web制作の現場では、クライアントの予算に合わせて柔軟に提案することが、長く「良い制作者」の条件とされてきました。「予算が限られているなら、WordPressで早く安く作りましょう」「ECは月額の安いサービスや無料のプラグインで始めましょう」。こうした提案は、クライアントの負担を減らすための親切な対応として、制作現場で繰り返し行われてきました。ここでは、制作に携わる立場から、自戒を込めてその提案のあり方を振り返ります。
小さな会社や個人のお店にとって、最初のWebサイトに大きな予算をかけることは簡単ではありません。限られた予算の中でも、まずは形にして公開することには確かな価値があります。その判断自体が間違っていたわけではありません。問題は、予算を抑えるために、目に見えにくい部分を削ってきたことにあります。
見えないところにたまっていく「セキュリティの借金」
予算を抑える際に、真っ先に削られやすいのが、公開後のセキュリティ保守の費用です。見積もりの中で「保守費用はオプション」として扱われ、クライアントが「今回は見送ります」と判断する。こうした場面は、制作現場で珍しくありません。その結果、次のような状態が生まれます。
- 納品後、WordPress本体やプラグインの更新が何年も行われていない
- すでに開発が終了した古いプラグインが、弱点を抱えたまま使われ続けている
- 問い合わせフォームの内容が、必要もないのにサーバーのデータベースに蓄積され続けている
こうした状態は、「セキュリティの借金（技術的負債）」と呼ぶことができます。借金は、返さずにいるほど利息が膨らみます。Webサイトも同じで、更新を先延ばしにするほど、まとめて対応するときの手間と費用は大きくなり、その間に攻撃を受ける可能性も高まっていきます。家の雨漏りを放置していると、気付いたときには柱まで傷んでいるのと似ています。
リスクを正しく伝えてこなかった、制作者側の責任
経営層の方が「セキュリティは後回しでよい」と判断してしまう背景には、制作者側がリスクを分かりやすく伝えてこなかったことも関係していると、私は考えています。「保守はどうしますか」と選択肢を示すだけで、「保守をしない場合に何が起きる可能性があるのか」を具体的に説明していなかった。クライアントに判断材料が渡されていなければ、目に見える費用を削る判断になるのは自然なことです。これからの制作者には、予算に合わせて削るだけでなく、削った場合のリスクも含めて提示する役割が求められています。
AI時代に変わった攻撃の構造：なぜ中小企業や地方の会社も狙われるのか
「狙いを定めた攻撃」から「網羅的な自動探索」へ
かつてのサイバー攻撃には、特定の企業に狙いを定め、人が時間をかけて侵入を試みるものという印象がありました。もちろん、現在もそうした攻撃は存在します。しかし今、多くの攻撃の入り口になっているのは、自動化されたプログラムによる網羅的な探索です。プログラムは、インターネット上のIPアドレスやドメインを順番に調べ、更新されていないソフトウェアや、設定に不備のあるサイトを機械的に洗い出していきます。そこにAIが組み合わさることで、見つけた弱点の種類を判別し、どのように攻撃すればよいかを判断する作業も、以前より効率よく行えるようになっています。
たとえるなら、街中の駐車場を、ロボットが一台ずつ回りながらドアが施錠されているかを確かめているようなものです。ロボットは車の値段や持ち主を気にしていません。施錠されていない車を見つけたら、それを記録し、次へ進みます。
WordPressやオープンソースのECが狙われやすい理由
WordPressは、世界中のWebサイトの中でも大きな割合を占めるCMSです（W3Techsの調査）。EC-CUBEのようなオープンソースのECシステムも、国内で多くのネットショップに使われてきました。こうした仕組みは、誰でも無料で使え、情報も豊富にあるという大きな利点があります。
一方で、広く使われている仕組みは、管理画面の場所やファイルの配置、外部とやり取りするための窓口（APIのエンドポイント）など、基本的な構造が多くのサイトで共通しています。攻撃する側から見ると、「この場所にこのファイルがあれば、このバージョンが使われている」と判断しやすく、弱点のある古いバージョンを効率よく探せる対象になります。同じ鍵を使っているマンションが何千棟もあれば、その鍵の欠陥が知られた瞬間に、すべての建物が狙われやすくなるのと同じです。
これはWordPressやEC-CUBEそのものが危険だという意味ではありません。どちらも開発チームが弱点を見つけるたびに修正を公開しています。問題になるのは、その修正が適用されないまま放置されたサイトです。
攻撃者が見ているのは「規模」ではなく「弱点の有無」
自動化された探索は、企業の知名度や売上の大きさを見て攻撃先を選んでいるわけではありません。見ているのは、弱点があるかどうかだけです。そのため、従業員が数人の会社のWebサイトでも、大手企業のサイトと同じように探索の対象になります。むしろ、更新が止まりやすく、異常に気付く体制も整っていないことが多い中小企業のサイトのほうが、侵入しやすい対象として見つかりやすい面もあります。「うちのような小さな会社を、わざわざ狙う人はいない」という考え方は、人が攻撃先を選んでいた時代の前提に基づいているのです。
これからのWebディレクション：リスクを踏まえた提案への転換
ここからは、具体的な提案の方法を紹介します。大切なのは、「セキュリティ対策をしないと危険です」と不安をあおることではありません。予算や事業の規模に応じて選べる、現実的な選択肢を示すことです。ここでは、実務で取り入れやすい4つの考え方を紹介します。
1. そもそもデータを持たない設計にする（データの最小化）
最も効果的な対策の一つは、守るべきデータを自社のサーバーに置かないことです。持っていない情報は、漏えいのしようがありません。
たとえば問い合わせフォームであれば、HubSpot や formrun のような外部のフォームサービスを使うことで、送信された内容を自社のWebサーバーのデータベースに保存せずに済みます。EC の決済であれば、Stripe のような決済代行サービスを使い、カード番号を自社で一切扱わない構成にできます。
今回のH2Oの発表でも、通販サービスについて「決済情報の非保持化に対応しており、クレジットカード番号全桁およびセキュリティコードは一切保持しておりません」と説明されていました。持っていない情報は、不正アクセスを受けても漏れることはありません。データを持たない設計の効果が表れた一例といえます。
ただし、外部のサービスを使えばリスクがゼロになるわけではありません。データを預ける先が、セキュリティに十分な投資をしている専門の事業者に移るということです。サービスを選ぶ際は、運営会社の信頼性や、管理画面へのログインに二段階認証を設定できるかといった点も確認します。
2. 静的化・ヘッドレス構成を提案する
二つ目は、Webサイトの仕組みそのものを見直す提案です。従来のWordPressのサイトは、訪問者が見るページと、記事を書くための管理画面、データを保存するデータベースが、同じサーバーの中に同居しています。お店にたとえると、売り場と事務所と金庫が、同じ扉でつながっている状態です。
これに対して、Next.js と microCMS を組み合わせたようなヘッドレス構成では、記事の管理はmicroCMSという外部のサービスで行い、訪問者が見るページは、あらかじめ作成した静的なファイルとして配信します。売り場と事務所と金庫を、別々の建物に分けるイメージです。訪問者が見る側のサイトには、データベースもログイン画面も置かれないため、データベースへの不正な命令（SQLインジェクション）や、管理画面のパスワードを総当たりで試す攻撃の入り口を、公開側のサイトからなくしやすくなります。実際、このブログもNext.jsとmicroCMSの構成で運用しています。
もちろん、この構成にも注意点はあります。CMSにアクセスするための鍵（APIキー）の管理や、CMSのアカウントの二段階認証は欠かせません。また、すべてのサイトに向いているわけではなく、複雑な会員機能が必要な場合などは、別の構成を検討します。
3. クラウド型WAFとアクセス制限を標準で組み込む
三つ目は、サイトの手前に「警備員」を置く提案です。Cloudflare のようなクラウド型のWAF（Webアプリケーションファイアウォール）は、怪しい通信をサイトに届く前に止めてくれる仕組みです。短い時間に大量のアクセスを繰り返す相手を制限する機能（レート制限）や、ボットへの対策も備えています。こうした仕組みは、これまで「オプション」として扱われることが多くありましたが、これからは初期の提案に標準で組み込むべき基盤だと考えています。無料のプランから始められる機能もあるため、予算が限られた案件でも検討しやすい選択肢です。
4. 定期保守とセキュリティ更新を契約に含める
四つ目は、公開後の保守を「標準の要件」として契約に含めることです。前回の記事でも触れたとおり、弱点の情報が公表されたら被害が出る前に修正を適用する「先手型の保守」と、定期的なバックアップの運用を、Webサイトの運用保守の基本として位置付けます。見積もりの段階で、保守を含めた場合と含めない場合の違いを、リスクと合わせて説明しておくことが大切です。
まとめ：「安く作る」から「安心して使い続けられる」提案へ
予算に合わせて安く作る提案は、その場ではクライアントにとって親切に見えます。しかし、セキュリティの備えを削った結果、万が一情報の漏えいが起きれば、調査や復旧の費用、顧客への対応、そして信用の低下によって、クライアントの事業そのものが揺らぐことになりかねません。今回のH2Oの事案でも、3つのサービスがシステム全体の停止に追い込まれました。大手企業であっても、事業への影響は避けられないのです。
AIによって攻撃の探索が自動化され、言語や規模の壁が以前ほど身を守る役割を果たさなくなった今、Web制作者に求められる役割も変わってきています。見た目のデザインや機能を予算内に収めることに加えて、AI時代の脅威を見据えた「安心して使い続けられるWebの基盤」を設計し、提案することです。データを持たない設計、ヘッドレス構成、WAFの導入、先手型の保守。これらは、どれか一つで完結するものではなく、予算や事業の規模に合わせて組み合わせて考えるものです。
発注する側の企業にとっても、この変化は無関係ではありません。見積もりを比べるときには、金額の大小だけでなく、「公開後の保守は含まれているか」「個人情報をどこに保存する設計になっているか」といった点を確認していただくことで、将来のリスクを大きく減らせる可能性があります。制作者と発注者が同じ前提でリスクを話し合えるようになれば、予算とセキュリティの両立は、現実的に目指せるものになります。
まずは、次の3つを確認するところから始めてみてください。
- 今のWebサイトがどのような仕組み（WordPress、ECサービス、ヘッドレス構成など）で作られているか
- 問い合わせや注文で受け取った個人情報が、どこに保存されているか
- WordPress本体やプラグインなどが、最後にいつ更新されたか
この3つに答えられない項目があれば、そこが見直すべきポイントです。制作者の方であれば、次の提案の場で、この3つをクライアントと一緒に確認してみることをおすすめします。
「自社のWordPressやECサイトのセキュリティの状態に不安がある」「AI時代の攻撃に備えたWebサイトへのリニューアルを検討したい」とお考えの企業・店舗の方は、既存サイトの現状確認と見直しのご相談を承っています。相談・お問い合わせからお気軽にご連絡ください。