2026年に入り、国内外で大規模な情報漏えいや不正アクセスの公表が相次いでいます。
タイムズカー、焼肉きんぐ、アフラック生命、行政機関、クラウドサービスなど、業種や企業規模を問わず被害が発生しています。
最近公開されたQiitaの記事「2026年の情報漏洩を手口で分類してみた」では、実際に公表された事案を、
- 脆弱性の悪用
- 通常の利用に見えるアクセス
- AIエージェント経由
- 原因未公表
という形で整理されています。
参考記事：
これらを見ていると、セキュリティ対策は、
「ウイルス対策ソフトを入れておけば大丈夫」
「パスワードを複雑にすれば大丈夫」
という段階ではなくなってきていると感じます。
一方で、中小企業や小規模事業者が、いきなり大規模なセキュリティ製品を導入するのは現実的ではありません。
そこで今回は、エンジニアやWeb担当者が今すぐ確認できることを整理します。
1. バックアップが本当に復元できるか確認する
最初に確認してほしいのは、バックアップです。
「バックアップを取っている」ことと、
「障害や攻撃が発生したときに戻せる」ことは別です。
WordPressであれば、たとえば次のようなものが復元できる状態になっているか確認します。
- データベース
- テーマ
- プラグイン
- uploads
- 設定ファイル
可能であれば、サーバーと同じ場所だけにバックアップを置かず、別のクラウドストレージや外部ストレージにも保存します。
ランサムウェアやサーバー侵害では、同じ環境に置いているバックアップまで失われる可能性があります。
2. 使っていないアカウントを削除する
意外と見落とされやすいのが、古いアカウントです。
たとえば、
- 退職した社員
- 以前の制作会社
- 一時的に作成した管理者
- テスト用アカウント
などが残っていないでしょうか。
使っていないアカウントは、それだけ攻撃経路を増やします。
WordPress、Google Workspace、Microsoft 365、サーバー、DNS、GitHub、クラウドサービスなどを一度棚卸ししてみることをおすすめします。
3. MFAを設定する
管理画面やクラウドサービスでは、多要素認証を利用します。
特に、
- Google Workspace
- Microsoft 365
- GitHub
- AWS
- Cloudflare
- レンタルサーバー
- ドメイン管理サービス
などは優先度が高いところです。
ただし、最近の攻撃ではMFAが設定されていても突破されるケースがあります。
そのため、
「MFAを設定したから安全」
で終わらせず、不審なログインやMFA設定変更も確認できるようにしておく必要があります。
4. 「ログインされた後」の動きも見る
これから特に重要になると思うのがここです。
正しいIDとパスワードでログインされた場合、通常のセキュリティ対策では不正アクセスと判定できないことがあります。
そのため、たとえば次のような挙動も確認する必要があります。
- 短時間の大量ダウンロード
- 大量のデータ照会
- 不自然な場所からのアクセス
- 突然の権限変更
- MFA端末の追加
- 大量エクスポート
大切なのは、
「誰がログインしたか」
だけではなく、
「ログインした後に何をしたか」
を見るという考え方です。
5. 古いソフトウェアをそのまま使わない
WordPress本体やプラグインだけでなく、次のようなものにも注意が必要です。
- PHP
- Java
- CMS
- フレームワーク
- VPN
- NAS
- ルーター
- ファイル共有ソフト
サポートが終了した製品は、脆弱性が見つかっても修正されない場合があります。
「動いているから触らない」
というシステムほど、一度確認した方がよいと思います。
6. 委託先・クラウドサービスも確認する
自社のシステムが安全でも、委託先や利用サービスから情報が漏れることがあります。
最近の事例でも、一つのサービスの侵害が複数の企業や組織に波及しています。
そのため、
「どこに自社のデータを預けているのか」
を把握しておくことも重要です。
たとえば、
- SaaS
- 制作会社
- メール配信サービス
- 予約システム
- ECサービス
- クラウドストレージ
なども含めて、一度一覧にしてみるとよいと思います。
7. 必要以上の個人情報を持たない
これは最近、私自身も特に重要だと感じています。
たとえば、
- 住所
- 氏名
- 電話番号
- 生年月日
- 本人確認書類
などについて、
「本当にそのサービスで必要なのか」
を一度考える必要があります。
漏えいした情報の中には、パスワードのように変更できるものもあります。
しかし、氏名や住所、本人確認書類などは簡単には変更できません。
情報を守ることと同時に、
「そもそも必要以上に集めない」
という設計も、これからのシステム開発では重要になると思います。
8. AIエージェントの権限を確認する
最近はAIエージェントが、
- メール
- Google Drive
- Slack
- GitHub
- クラウド環境
- MCPサーバー
などと接続する機会も増えてきました。
便利になる一方で、AIに必要以上の権限を与えてしまう危険もあります。
AIだから特別というより、
「一つの強力なユーザーアカウントが増える」
くらいの意識で権限を管理した方がよいと思います。
たとえば、
- 必要最小限の権限にする
- 接続先を制限する
- 不要になった連携を解除する
- APIキーやトークンを定期的に見直す
- 外部送信できる範囲を確認する
といった確認が重要になります。
中小企業こそ「完璧」より「戻せる状態」を
セキュリティ対策には終わりがありません。
大企業と同じ監視システムを、中小企業がすべて導入することも現実的ではありません。
だからこそ、
- バックアップする
- 更新する
- 不要なアカウントを消す
- MFAを設定する
- ログを見る
- 必要以上の情報を持たない
こうした基本的な対策を一つずつ積み重ねることが重要だと思います。
そしてもう一つ大切なのは、
「攻撃を100％防ぐ」
ことだけを目標にしないことです。
何か起きたときに、
- どこまで影響したのか確認できる
- サービスを止められる
- バックアップから戻せる
- 利用者へ説明できる
そこまで含めて備えておく必要があります。
大きなIT部門を持てない会社を支える
私は普段、中小企業や個人事業者のWordPress、サーバー、メール、Google Workspaceなどのサポートをしています。
今回のようなニュースを見ていると、最新技術を作ることだけではなく、
「大きなIT部門を持てない会社を守る」
ことも、エンジニアの大切な仕事なのではないかと思うようになりました。
完璧なセキュリティは難しくても、
今日一つ設定を確認することはできます。
この記事が、そのきっかけになればと思います。
参考
- 2026年の情報漏洩を手口で分類してみた
https://qiita.com/yama3133/items/071119dfea9ed24d0948