2026年の9月ごろから、「不正アクセスを受けた」と発表する会社が続いている。
不正アクセスとは、許可されていない人が、システムに勝手に入りこむことだ。
10月7日から9日にかけては、国や専門の機関も、次々に注意を呼びかけた。
そんな中で出てきたのが、HISの発表だった。
SNSでは「さすがに遅くない？」という声が広がった。「ほかの会社のニュースにまぎれさせたのでは」と疑う人もいた。
HISは女性自身の取材に対し、わざと発表の時期を選んだわけではないと答えている。
私は、WordPressを中心に、会社のホームページを作ったり、管理したりする仕事をしている。
トラブルが起きたとき、「お知らせ」や「おわび」のページを作るのは、たいてい私たちの仕事だ。
だから、このニュースは他人事に思えなかった。
この記事では、HISを責めるのではなく、次の3つを考えたい。
- なぜ「不誠実だ」と受け止められたのか
- なぜ10カ月もかかったのか
- ホームページを作る側は、何を準備しておけばいいのか
HISで何が起きたのか
まずは、HISの発表（PDF）の内容を見てみる。
- ねらわれたのは、タイにある子会社のファイルサーバ（ファイルを保存しておくコンピューター）
- もれたかもしれないのは、最大627人分のパスポートの情報と、アレルギーの情報
- パスポートの情報とは、名前、生年月日、パスポート番号などのこと
- 電話番号、住所、メールアドレス、クレジットカードの情報は含まれていない
- 対象は、HISを使ってタイへ旅行した人の一部
- 旅行した時期は、2017年、2019〜2020年、2024〜2025年
パスポートは、自分が誰なのかを証明する大事な書類だ。
その情報が悪い人の手にわたれば、なりすましなどに使われるおそれがある。
発表までの300日
発表に書かれた流れを、日付の順に並べるとこうなる。
| 日付 | 何があったか | 気づいてから |
|---|---|---|
| 2025年12月11日 | 不正アクセスを見つけるソフトが警告を出した。すぐにサーバーをネットから切りはなした | 0日 |
| 2025年12月29日 | 日本のお客様の情報が入っていると分かった。国の機関（個人情報保護委員会）に報告した | 18日 |
| 2026年2月24日 | 最大627人分のパスポートの情報があると分かった。すべてのファイルを調べることにした | 75日 |
| 2026年10月7日 | 調べ終わった。お客様への連絡と、ホームページでの発表を始めた | 300日 |
気づくのも、ネットから切りはなすのも早かった。国への報告もしている。
止まってしまったのは、その後だ。
パスポートの情報があると分かってから発表まで、225日。約7カ月半もかかっている。
なぜ「不誠実」と受け止められたのか
批判されたのは、もれた情報の量よりも、対応のしかただった。
理由は3つあると思う。
1. 最初のお知らせがなかった
法律では、不正アクセスで個人情報がもれたかもしれないとき、国の機関にすぐ報告することになっている。
本人にも、状況に合わせて、できるだけ早く知らせる必要がある。
HISは、国への報告はしていた。
でも、お客様へのお知らせは、すべてのファイルを調べ終わるまで出さなかった。
本人に知らせるのは、本人が自分の身を守れるようにするためだ。
たとえば、身に覚えのない電話やメールに気をつけることができる。
知らされなければ、その準備もできない。
対象のお客様は、約10カ月のあいだ、そのことを知らなかったことになる。
HISは、まちがった情報を伝えないように、一つずつ確認していたと説明している。
その気持ちは分かる。私も、原因がはっきりしてから報告したいと思うことがある。
でも、別のやり方もある。
「今分かっていること」と「まだ分からないこと」を分けて、まず最初のお知らせを出す。分かったことは、あとから付け足していく。
ニュースでよく見る「第1報」「第2報」という出し方だ。
2. 発表のタイミング
HISが発表したのは、ほかの会社の不正アクセスのニュースが続いている時期だった。
そのため、「ほかのニュースにまぎれさせたのでは」と疑われた。
本当のところは、外からは分からない。
ただ、何も知らせない時間が長いほど、発表のタイミングにも意味があるように見えてしまう。
12月や2月に最初のお知らせを出していれば、こんな疑いは生まれなかったはずだ。
3. お知らせの届け方
ここからは、ホームページを作る側の目線で見てみる。
HISのお知らせは、会社のサイトの「ニュースリリース」の一覧にある。分類は「その他」で、中身はPDFのファイルだ。
発表した日の夜7時半には、対象になる人の条件が、PDFの中に書き足された。
会社のお知らせがPDFで出るのは、めずらしいことではない。
でも、読む人が一番知りたいのは、次の3つだ。
- 自分は対象なのか
- 何をすればいいのか
- どこに聞けばいいのか
PDFの中に書き足されても、一度読んだ人は気づきにくい。スマホでも読みにくい。
ふつうのWebページにして、分かったことを同じページに付け足していく。
それだけでも、読む人の安心感はかなり変わると思う。
10カ月かかった原因は「データの置き方」
HISの説明を、かんたんにまとめるとこうなる。
- サーバーの中に、お金の記録など、個人情報と関係ないデータが大量にまざっていた
- ファイルの形式や、保存のしかたもバラバラだった
- そのため、コンピューターで一気に検索できず、人の手で一つずつ確認するしかなかった
つまり、どこに、誰の、どんな情報があるのか、すぐに答えられなかったということだ。
対象には、2017年に旅行した人も入っている。旅行が終わってから何年もたったデータが、ずっと残っていたことになる。
HISは、二度と起こさないための対策として、次の2つを挙げている。
- 海外でのセキュリティを、もっと強くする
- 日本の本社がシステムを見張るしくみを、きびしくする
どちらも大事だ。ただ、発表を読むかぎり、「データがごちゃまぜだった」ことをどう直すのかは書かれていない。
ホームページにも「ごちゃまぜの場所」はある
これは、大きな会社のサーバーだけの話ではない。
ホームページの管理をしていると、個人情報が思わぬ場所に残っているのをよく見かける。
| 残りやすい場所 | よくある例 | どうするか |
|---|---|---|
| WordPressのデータベース（サイトの中身を保存している場所） | お問い合わせの内容を保存するプラグイン（Flamingoなど） | 本当に保存が必要か考える。残すなら、いつ消すか決める |
| アップロードしたファイルの置き場所 | 応募フォームで届いた履歴書などのファイル | 誰でも見られる場所に置かない。いらなくなったら消す |
| 誰でもアクセスできる場所（公開フォルダ） | サイトの引っこしのときに作ったバックアップ（.zip や .sql）、設定ファイルのコピー | 置かない。見つけたらすぐ消す |
| 古いサイト・テスト用のサイト | リニューアル前のサイトが、そのまま残っている | 消す。残すならパスワードをかける |
| メール | フォームから届いたメール、顧客リストの添付ファイル | 誰が受け取るか、いつまで残すかを決める |
| 制作者のパソコン | お客様からもらった顧客リスト、パスワードのメモ | 仕事が終わったら消す。パスワードは専用の管理ツールに入れる |
サイバー攻撃の相談を受けているJPCERT/CCという団体も、注意を呼びかけている。
その中には、設定ファイルやバックアップファイルを盗む手口も挙げられている。
使い終わったデータを残さないことも、対策としてはっきり書かれている。
ここからは、サーバーに入れる人向けの話だ。
まずは、誰でもアクセスできる場所に、バックアップなどが残っていないかを探すコマンド。
# 公開フォルダに残りがちなファイルを探す
# パスは環境に合わせる（さくらのレンタルサーバなら ~/www など）
find ~/www -type f \( -name "*.sql" -o -name "*.sql.gz" -o -name "*.zip" -o -name "*.tar.gz" -o -name "*.bak" -o -name "*.old" -o -name ".env" \) -ls次は、アクセスの記録（ログ）から、そうしたファイルをねらったアクセスを数えるコマンド。
# バックアップや設定ファイルをねらったアクセスを数える
# ログの場所と形式はサーバーごとにちがう
grep -E '\.env|\.sql|\.zip|\.bak|wp-config\.php\.' access_log | awk '{print $9, $7}' | sort | uniq -c | sort -rn | head -20結果は「回数」「サーバーの返事（ステータスコード）」「ねらわれた場所」の順に出る。
- 404：そのファイルはなかった
- 200：そのファイルを渡してしまった
200が出ていたら、そのファイルを持ち出されたかもしれない。本当にそのファイルがあるか、すぐに確かめたい。
ホームページを作る側が準備しておきたいこと
不正アクセスを100％防ぐことはできない。
だからこそ、守る対策と同じくらい、起きたときにすぐ説明できる準備が大事になる。
ここでは、4つにしぼって書く。
1. 個人情報の置き場所をメモしておく
さっきの表を見ながら、担当しているサイトごとに書き出してみる。
- どんな情報が
- どこに
- いつから
- どれくらい
- 誰が見られる状態で
残っているか。
完ぺきでなくていい。たとえば「フォームの内容はデータベースにも保存している」と1行あるだけでいい。
いざというとき、どこを調べればいいかがすぐ分かる。
あわせて、その情報が本当に必要かも考えたい。
フォームの内容をメールで受け取っているなら、サイトの中に残さなくてもいいことが多い。
持っていない情報は、もれない。
2. お知らせページをすぐ出せるようにしておく
お知らせを出すかどうかを決めるのは、サイトの持ち主だ。制作会社が勝手に出すものではない。
私たちにできるのは、「出す」と決まったら、すぐに出せるようにしておくことだ。
お知らせのひな形（テンプレート）には、次の項目を入れておきたい。
- 何が起きたか（いつ気づいたか、今どうなっているか）
- どんな情報がもれたかもしれないか、誰が対象か
- 分かっていること、まだ分からないこと
- お客様にしてほしいこと（パスワードの変更など）
- 問い合わせ先
- 次にいつ更新するか
- 更新の記録（第1報、第2報……）
ページの作り方にも気をつけたい。
- 本文はふつうのWebページで書く。PDFはおまけにする
- URLは変えずに、続きのお知らせも同じページに書き足す
- トップページから1回のクリックでたどり着けるようにする
- 検索に出ないようにする設定（noindex）は入れない
- 書き足したら、日時と、何を変えたかを残す
もう一つ、WordPressそのものが乗っ取られていたらどうするかも考えておきたい。
乗っ取られた管理画面から、お知らせを投稿するわけにはいかない。
お知らせのページを1枚だけ置ける場所を用意しておく。メンテナンス画面に切りかえる手順も決めておく。そうすれば、あわてずにすむ。
夜や休日に、誰に連絡して、誰が決めるのか。これも、保守の契約を結ぶときに確認しておきたい。
3. 制作会社が「入り口」にされることもある
攻撃する側は、守りの弱いところをねらう。
大きな会社を直接ねらうより、仕事を任されている会社から入りこむほうが簡単なこともある。
最近は、こうした「委託先」から情報がもれるケースも続いている。
ホームページの制作会社も、委託先の一つだ。
WordPressの管理画面、サーバー、ドメインの設定。私たちは、お客様のいろいろな「カギ」を預かっている。
最低限、次のことは守りたい。
- 管理画面やサーバーには、2段階認証をかける
- パスワードに加えて、スマホのコードなどでも本人か確かめるしくみ
- パスワードは専用の管理ツールに入れる。資料やチャットにそのまま書かない
- 仕事が終わったら、アカウントと手元のデータを消す
- お客様からもらう個人情報は、作業に必要な分だけにする
4. ログを誰が見られるか確認しておく
ログとは、サイトに「いつ、どこから、どんなアクセスがあったか」の記録だ。
何が起きたかを調べるには、このログが欠かせない。
ところが、ここが落とし穴になることがある。
私は、担当しているサイトを一覧表で管理している。その中に、「自分たちがどこまで作業できるか」という項目を入れている。
WordPressの管理画面だけなのか、サーバーまでさわれるのか、という分け方だ。
管理画面にしか入れないサイトでは、サーバーのログを自分で見られない。
サーバーを契約しているのがお客様や別の会社なら、ログをもらうだけで時間がかかる。
HISが、本社によるチェックを強めると書いているのも、同じ問題だと思う。
ログを見るべき人が、すぐに見られる状態か。これは、ふだんのうちに確認しておきたい。
レンタルサーバーのログは、ずっと残るわけではない。必要なら、定期的にダウンロードしておく。
自分のチェックリストに足りなかったもの
私は、担当しているサイトごとに、11項目のチェックリストでセキュリティを点検している。
たとえば、こんな項目だ。
- WordPressやプラグインが最新か
- 知らない管理者アカウントがないか
- あやしいファイルが置かれていないか
- ログインの守り（2段階認証など）があるか
- バックアップがあり、もとに戻せるか
HISのニュースを読んで、気づいたことがある。
これは全部、「入られないため」の項目だった。
「もれたときに、すぐ正しく説明できるか」を確かめる項目が、一つもない。
そこで、次の項目を足したいと思っている。
- フォームで届いた内容やファイルが、どこにどれくらい残っているか分かっている
- 誰でもアクセスできる場所に、バックアップや設定ファイルのコピーが残っていない
- ログが何日分残るか、誰がもらえるかを分かっている
- トラブルのとき、お知らせを出すか決める人と、その連絡先が分かっている
- お知らせページを出す手順が決まっている（WordPressが使えないときも含む）
制作者として思うこと
トラブルのときの「誠実な対応」とは、何だろう。
すべてを調べ終えてから、正しい情報だけを伝える。それも一つの誠実さだと思う。
でも、お客様から見れば、何も知らされない時間は、ずっと不安な時間だ。
分かったことを、分かったときに、届く形で伝える。
私は、これが一番の誠実さだと思っている。
そして、それができるかどうかは、トラブルが起きてからでは決まらない。
- 個人情報をどこに置いているか
- お知らせをすぐ出せるか
- ログを誰が見られるか
どれも、ふだんの準備で決まる。そしてどれも、ホームページを作る側の仕事の中にある。
まとめ
- HISが批判されたのは、もれた情報の量よりも、お客様に約10カ月知らせなかったことだった
- 時間がかかったのは、データがごちゃまぜで、すぐに調べられなかったから（HISの説明）
- 国への報告はしていたが、お客様へのお知らせは、調べ終わるまで出なかった
- ホームページにも、フォームの内容やバックアップなど「ごちゃまぜの場所」はある
- 作る側にできることは、主に次の4つだ
- 個人情報の置き場所を知って、減らす
- お知らせをすぐ出せるようにする
- 預かったカギを大事にあつかう
- ログを見られるようにしておく
不正アクセスは、もう「いつか起きるかもしれないこと」ではない。
起きたときにあわてないように、今のうちから準備しておきたい。
