中小企業のホームページのセキュリティ対策。安全に持ち続けるための教科書

中小企業のホームページ（HP）のセキュリティは、ソフトウェアの更新・ログインの管理・ドメインや SSL の期限・バックアップ・異変の検知など、確かめる場所が多岐にわたります。どれか1つが抜けると、そこが入り口になります。

全体の地図を持っておくと、自社に足りない対策が分かり、何から手をつけるかを迷わずに決められます。制作会社に任せたままのHPでも、自社で確かめられる項目は少なくありません。

本記事では、中小企業のHPが狙われる理由・攻撃の手口・自社の状態を確かめる10項目・基本の対策8つをまとめています。さらに、点検の時期、保守の頼み方、改ざんされたときの初動も紹介します。

中小企業のホームページのセキュリティ対策【早見表】

中小企業のホームページのセキュリティ対策は、「持ち主を確かめる」「古いままにしない」「異変に気づく」の3つが軸です。HPの事故の多くは、ソフトウェアが古いまま、ログイン情報を誰も知らない、改ざんに誰も気づかない、のどれかから起きるためです。

ここでは、この記事で扱う対策を1枚の表にまとめます。自社でできていない行から読み進めてください。

対策	防げること	目安の頻度	自社でできるか
持ち主（ドメイン・サーバー・ログイン情報）の確認	更新も復旧もできない状態	年1回・担当者が変わるとき	できる
PHP・WordPress・プラグインの更新	古いソフトウェアの弱点を突く攻撃	毎月	普段から更新していればできる
使っていないプラグイン・サイトの削除	放置された部品からの侵入	3ヶ月ごと	できる
パスワード・二段階認証・権限の見直し	不正ログイン	3ヶ月ごと	できる
ドメイン・SSL・メールの期限と設定	HPとメールの停止、なりすましメール	年1回	できる
WAF（攻撃を手前で止める仕組み）	弱点を狙う通信	導入時に設定	サーバー会社の機能ならできる
バックアップと戻す練習	事故や作業の失敗からの復旧	毎日取得・年1回試す	一部できる
改ざんの検知（Search Console など）	気づくのが遅れること	毎月確認	できる

※2026年10月時点・IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版などをもとに作成

8つの対策のうち、費用をかけずに始められるものが半分以上あります。以下では、まず中小企業のHPが狙われる理由から説明します。

中小企業のホームページが狙われる3つの理由

中小企業のホームページは、会社の大きさに関係なく攻撃の対象になります。攻撃の多くは、特定の会社を選んで行うのではなく、弱点のあるHPを機械的に探して行われるからです。

IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」でも、HPに関係する脅威が組織向けの上位に入っています。ここでは、中小企業のHPが狙われやすい理由を3つ紹介します。

順位	脅威（組織向け）	HPとの関係
2位	サプライチェーンや委託先を狙った攻撃	取引先への入り口として、自社のHPやメールが使われる
4位	システムの脆弱性を悪用した攻撃	古い PHP・WordPress・プラグインが狙われる
9位	DDoS攻撃（分散型サービス妨害攻撃）	大量の通信でHPが表示されなくなる
10位	ビジネスメール詐欺	自社のドメインをかたるメールが送られる

※2026年10月時点・IPA「情報セキュリティ10大脅威 2026」より抜粋

古いソフトウェアを機械的に探す攻撃が多い

HPへの攻撃の多くは、プログラムで大量のサイトを順番に調べ、古いソフトウェアを見つけたところを狙う形です。脆弱性（ソフトウェアの弱点）が公表されると、直した版の公開と同時に、どこが弱いかも知られるためです。

たとえば、2026年10月21日には PHP 本体に重大な脆弱性2件が公表されました。ログインしなくても外からプログラムを実行される恐れがあるもので、レンタルサーバー各社が一斉に対応に追われました。

ただし、狙われるかどうかは「有名かどうか」では決まりません。小さな会社のHPも、古い部品が残っていれば同じように見つけられます。

担当者がいないと更新が止まる

中小企業のHPは、更新する人が決まっていないために古いまま残りがちです。制作会社に作ってもらったあと、保守の契約をしていない、前の担当者が辞めてログイン情報が分からない、という状態がよくあるからです。

たとえば、WordPress の管理画面に「更新があります」と出ていても、誰もログインしていなければ気づけません。改ざんされても、お客さまに言われるまで分からないこともあります。

担当者がいない会社の進め方は、以下の記事にまとめています。

あわせて読みたい
HPの担当者がいない会社がやっておくべき5つのこと

取引先への入り口として使われる

中小企業のHPやメールは、取引先の大企業へ近づくための入り口として使われることがあります。直接は守りの固い大企業より、取引のある会社を経由したほうが攻撃しやすいためです。

たとえば、乗っ取られた自社のメールアドレスから、取引先へウイルス付きのメールが送られる例があります。最近は取引先から「Webサイトをどう管理しているか」をチェックシートで聞かれることも増えています。

ホームページが攻撃されたときに中小企業が受ける被害

ホームページが攻撃されると、HPの見た目が変わるだけでなく、お客さまや取引先にまで被害が広がります。HPは会社の顔であり、問い合わせや個人情報の受付口でもあるからです。

被害の大きさは、HPで何を扱っているかによって変わります。ここでは、起きやすい被害を6つの種類に分けて紹介します。

被害	具体的に起きること	影響を受ける人
改ざん	別のサイトに飛ばされる、身に覚えのないページが検索結果に出る	お客さま・自社
ウイルスの配布	HPを開いた人のパソコンにウイルスが入る	お客さま
情報の漏えい	問い合わせフォームや会員の個人情報が盗まれる	お客さま・取引先
HPの停止	表示されない、Google で「危険なサイト」と警告される	お客さま・自社
信用の低下	取引の見直し、問い合わせや売上の減少	自社
対応の負担	原因の調査・復旧・お詫び・報告に人手と費用がかかる	自社

個人情報が漏れた場合は、個人情報保護委員会への報告が要ることもあります。当てはまるかの個別の判断は弁護士に相談してください。

上記のとおり、HPの被害は自社だけで終わりません。だからこそ、事故が起きる前の点検が重要です。

ホームページを狙う攻撃の主な手口6つ

ホームページを狙う攻撃は、手口ごとに効く対策が違います。手口の名前と、何をされるかを知っておくと、保守会社やサーバー会社の説明が分かりやすくなります。

ここでは、HPへの攻撃でよく名前が挙がる手口を6つ、対策とあわせて表にまとめます。攻撃の方法そのものではなく、守る側が知っておく範囲だけを書きます。

手口	何をされるか	主な対策
既知の脆弱性の悪用	公表済みの弱点を突かれ、HPを乗っ取られる	PHP・WordPress・プラグインの更新
ゼロデイ攻撃	直した版が出る前の弱点を突かれる	WAF・バックアップ・早い検知
不正ログイン	弱いパスワードや使い回しで管理画面に入られる	長いパスワード・二段階認証・管理者を減らす
SQLインジェクション	フォームなどからデータベースを不正に操作される	更新・WAF
クロスサイトスクリプティング（XSS）	HPに不正なスクリプトを埋め込まれ、訪問者が被害を受ける	更新・WAF
DDoS攻撃	大量の通信を送られ、HPが表示されなくなる	サーバー会社の対策・CDN（配信を分散する仕組み）

中小企業のHPで特に多いのは、表の上の2つ「古いソフトウェアの弱点を突かれる」と「不正ログイン」です。どちらも、更新とログインの管理という基本の対策で入り口を減らせます。

自社のホームページの状態を確かめる10項目

自社のホームページが危ない状態かは、次の10項目で確かめられます。分からない項目が多いほど、先にやることが多いという意味です。

10項目は、管理画面にログインできれば30分ほどで確かめられるものが中心です。分からない項目は、制作会社や保守会社に聞いて埋めてください。

#	確かめること	よい状態
1	ドメインの契約者	自社の名義
2	サーバーの契約者とログイン情報	自社が持っている
3	WordPress の管理者のログイン情報	自社が持っていて、退職者のアカウントがない
4	PHP のバージョン	8.3 以上
5	WordPress・プラグイン・テーマ	すべて最新で、使っていないものがない
6	ドメイン・SSL の期限	自動更新になっている
7	会社のメールの送信元の設定（SPF・DKIM）	設定済み
8	バックアップ	取れていて、戻せることを確かめた
9	保守を担う人・会社	決まっていて、範囲が契約書に書いてある
10	異変に気づく仕組み	Search Console の登録、改ざんの検知がある

※PHP の基準は2026年10月時点・php.net と WordPress.org の推奨環境より

IPA の「中小企業の情報セキュリティ対策ガイドライン」は、2026年3月27日の第4.0版で、付録の「5分でできる！情報セキュリティ自社診断」に「ウェブサイトを安全に運用する」という項目を加えました。会社全体の点検をするときは、自社診断とあわせて使うと抜けを減らせます。

あわせて読みたい
自社HPの PHP バージョンを確認する方法

ホームページを守る基本の対策8つ

ホームページを守る対策は、10項目のチェックで見つかった穴を順番にふさぐ作業です。どれも特別な製品がなくても始められ、費用より「誰がいつやるか」を決めることが重要です。

ここでは、基本の対策を8つ、優先して取り組む順に紹介します。各テーマには詳しく書いた記事があるので、必要なところから読んでください。

HPの持ち主を自社に取り戻す

HPのセキュリティ対策で最初にやるのは、持ち主が自社であることを確かめることです。ドメインやサーバーが制作会社の名義のままだったり、ログイン情報を前の担当者しか知らなかったりすると、更新も事故のときの対応もできないからです。

たとえば、制作会社と連絡が取れなくなり、ドメインの更新が止まってHPとメールが同時に使えなくなる例があります。持ち主を確かめる手順は以下のとおりです。

• ドメインとサーバーの契約者を whois や請求書で調べる
• 制作会社の名義なら、自社の名義へ移す相談をする
• ログイン情報を社内の決まった場所に控える

ただし、名義を移す作業は制作会社の協力が要ることもあります。早めに話を始めるほど、事故のときに慌てずに済みます。

詳しくは HPの「持ち主」を取り戻す。ドメイン・サーバー・管理画面の確認のしかた にまとめています。

PHP と WordPress を新しく保つ

PHP（HPを動かすプログラムの言語）と WordPress は、サポート期限の内側のバージョンで動かすことが重要です。期限が切れたバージョンには、新しい弱点が見つかっても修正が出ないからです。

PHP の公式サイトによると、セキュリティ修正の期限は以下のとおりです。

バージョン	セキュリティ修正の期限
PHP 8.1 以前	終了済み
PHP 8.2	2026年12月31日
PHP 8.3	2027年12月31日
PHP 8.4	2028年12月31日
PHP 8.5	2029年12月31日

※2026年10月時点・php.net「Supported Versions」より

たとえば、2026年10月21日に公表された CVE-2026-109618／109619（通称 php2shell）では、修正版が 8.5.12・8.4.27・8.3.36・8.2.35 として出ました。一方、PHP 8.1 以前には通常の修正版が出ず、最小限の修正コードだけが公開されました。IPA と JPCERT/CC も2026年10月22日に注意喚起を出しています。

ただし、PHP は WordPress を更新しても上がりません。サーバー会社の管理画面で切り替える必要があります。

あわせて読みたい
PHP 8.2 のサポートは12月31日で終了。中小企業のHPでやること

使っていないプラグイン・テーマ・サイトを消す

使っていないプラグインやテーマ、古いキャンペーン用のサイトは、止めるだけでなく削除することが重要です。止めていてもファイルが残っていれば、弱点を突かれる入り口になるからです。

たとえば、昔のイベントの特設サイトが同じサーバーに残っていて、そこから本体のHPまで改ざんされることがあります。更新が何年も止まったプラグインは、同じ機能の別のプラグインに入れ替えます。

ただし、削除の前にバックアップを取り、そのプラグインが何に使われていたかを確かめてください。問い合わせフォームなど、見えないところで使われている場合があります。

詳しくは 更新が止まった WordPress プラグインの見分け方と、代わりの探し方 にまとめています。

ログインまわりを固める

管理画面へのログインは、長いパスワード・二段階認証・最小限の権限の3点で守ります。HPの乗っ取りは、ソフトウェアの弱点だけでなく、パスワードの使い回しや退職者のアカウントからも起きるためです。

見直すポイントは以下のとおりです。

やること	対象	ポイント
長く、使い回さないパスワードにする	サーバー・ドメイン・WordPress	ほかのサービスと同じにしない
二段階認証をオンにする	使えるところすべて	サーバー会社とドメインの管理画面を優先
管理者の人数を減らす	WordPress のユーザー	記事を書くだけの人は「編集者」にする
退職者・使っていないアカウントを消す	WordPress・サーバー・ドメイン	3ヶ月ごとに一覧を見る
共有のアカウントをやめる	WordPress のユーザー	誰が何をしたか分かるよう1人1つにする

上記の5つを済ませると、不正ログインの入り口を大きく減らせます。WordPress のユーザー一覧に見覚えのない管理者がいたら、乗っ取りを疑ってください。

詳しくは WordPress に知らない管理者アカウントが増えているときにやること にまとめています。

ドメイン・SSL・メールの期限と設定を管理する

ドメイン・SSL・メールは、HP本体より忘れられやすいため、期限と設定を一覧で管理することが重要です。どれか1つが切れるだけで、HPもメールも止まることがあるからです。

管理するポイントは以下のとおりです。

• ドメイン：更新を忘れるとHPもメールも止まる。自動更新とカードの期限を確かめる
• SSL 証明書：通信を暗号化する仕組み。2026年3月15日以降に発行された証明書は有効期間が最長200日になり、手作業の更新では間に合わなくなりやすい
• メールの送信元の設定：Google は2024年2月から、Gmail へ送る送信者に SPF または DKIM（送信元を証明する設定）を求めている

ただし、SSL を入れていても、HPの弱点そのものは直りません。SSL は通信の盗み見を防ぐ仕組みで、更新とは別に必要です。

詳しくは ドメイン・SSL・メールの期限と設定を、まとめて点検する にまとめています。

WAF で攻撃を手前で止める

WAF（Webサイトへの攻撃を手前で止める仕組み）は、更新が間に合わない間の守りとして役立ちます。SQLインジェクションのような、HPの弱点を狙う通信のパターンを見分けて止めるためです。

たとえば、多くのレンタルサーバーは管理画面から WAF をオンにできる機能を用意しています。ネットワークへの不正な通信を止める IPS（侵入防止システム）を備えたサーバーもあります。

ただし、WAF は弱点そのものを直すものではありません。WAF を入れても、PHP や WordPress の更新は欠かせません。

詳しくは WAF とは？ 中小企業のHPに要るか にまとめています。

バックアップを取り、戻せることを確かめる

バックアップは、取っていることより、戻せることを確かめておくことが重要です。いざというときに戻せなければ、事故や作業の失敗から復旧できないからです。

IPA のガイドラインも、第4.0版で「バックアップを取ろう！」を加え、「情報セキュリティ6か条」としました。サーバー会社の自動バックアップは、何日前まで戻せるかが決まっています。

ただし、改ざんに気づくのが遅れると、バックアップまで改ざん後のものだけになることがあります。年に1回は、実際に戻せるかを試してください。

詳しくは WordPress のバックアップの取り方と、戻せるかの確認 にまとめています。

改ざんにすぐ気づける仕組みを作る

改ざんの被害を小さくするには、早く気づける仕組みを作ることが重要です。改ざんされたHPは、見た目では分からないことがあるからです。

たとえば、Google の Search Console（Google での表示を確かめる無料の道具）に登録しておくと、「セキュリティの問題」レポートで、ハッキングされたコンテンツやマルウェアを知らせてくれます。次のような症状も、改ざんの前ぶれの可能性があります。

• 検索結果に身に覚えのないページや外国語のページが出る
• スマートフォンで開くと別のサイトに飛ばされる
• 問い合わせフォームに迷惑メールが急に増える

ただし、症状が出たときに本番のファイルを慌てて消すと、原因が分からなくなります。症状ごとの確かめ方を先に読んでおくと安心です。

詳しくは HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表 にまとめています。

サイトの種類と会社の規模で変わるホームページの守り方

ホームページの守り方は、サイトで扱う情報と、会社の体制によって重さが変わります。会社案内だけのHPと、カード決済のあるネットショップでは、漏れたときの影響がまったく違うからです。

ここでは、サイトの種類ごとに特に守るものと、作り方（CMS）ごとに自社に残る仕事を2つの表で整理します。

サイトの種類	特に守るもの	優先して足す対策
会社案内・ブログ	改ざんされないこと、会社の信用	更新・検知
問い合わせフォームがあるサイト	お客さまの個人情報	フォームの更新・迷惑メール対策
予約・採用サイト	予約内容・履歴書などの個人情報	受け取ったデータの保管と削除のルール
ネットショップ	カード情報・注文・会員情報	決済の外部化・管理画面の保護

作り方	サービス会社が担うこと	自社に残る仕事
WordPress（レンタルサーバー）	サーバーの機器と PHP の提供	PHP の選択・本体とプラグインの更新・アカウント管理
Wix・STUDIO などのサービス	サーバー・ソフトウェアの更新	アカウント管理・独自ドメインの期限
静的なサイト（プログラムのないサイト）	配信の環境	アカウント管理・ドメインと SSL の期限

会社の規模が小さく担当者を置けない場合は、更新の手間が少ない作り方を選ぶことも対策の1つです。種類ごとの詳しい守り方は、以下の記事にまとめています。

ホームページの点検カレンダー（毎月・3ヶ月ごと・年1回）

ホームページの点検は、やる時期を先に決めておくと続きます。思い出したときにだけ見るやり方では、担当者が忙しい時期に抜けてしまうからです。

ここでは、10項目と8つの対策を、頻度ごとの表に並べ替えます。社内の予定表に入れておくと、担当者が変わっても引き継げます。

頻度	やること
毎月	WordPress・プラグイン・テーマの更新を確かめる。問い合わせフォームが届くか試す。Search Console に警告が出ていないか見る
3ヶ月ごと	WordPress の管理者に知らない人や退職者がいないか確かめる。使っていないプラグインを消す。バックアップが取れているか見る
年1回	PHP のサポート期限を確かめる。ドメイン・SSL の期限と自動更新を確かめる。バックアップから戻せるか試す。保守の契約内容を見直す
担当者が変わるとき	ログイン情報と契約者を引き継ぐ

PHP は、毎年どこかのバージョンが12月31日に期限を迎えます。年1回の点検を秋に置くと、年末の期限に間に合わせやすくなります。

あわせて読みたい
HPの担当者が辞めるときに引き継ぐもの【チェックリスト】

ホームページの保守を自社でやるか、専門家に頼むか

ホームページの保守は、自社でやる部分と専門家に頼む部分を分けると無理なく続きます。確認や更新は自社でできても、崩れたときの原因調査や改ざんの復旧は専門の作業だからです。

ここでは、作業ごとの分担の目安と、古いHPをどう扱うかの判断を紹介します。

自社でできること・頼んだほうがよいこと

自社でできるのは、確認と日々の更新です。専門家に頼んだほうがよいのは、原因の調査と修正、名義の変更など、失敗したときの影響が大きい作業です。

作業	自社でできる	専門家に頼んだほうがよい場合
契約者・ログイン情報の確認	○	制作会社が情報を渡してくれない
WordPress・プラグインの更新	普段から更新していれば ○	何年も更新していない、カスタマイズが多い
PHP の切り替え	管理画面の操作は ○	崩れたときの原因調査と修正
ドメイン・SSL の期限の確認	○	名義の変更・移管
改ざんの確認と復旧	症状に気づくところまで	原因の調査・駆除・再発防止

保守会社に頼むときは、更新・バックアップ・監視・事故のときの対応のどこまでが含まれるかを契約書で確かめてください。料金の考え方は以下の記事にまとめています。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

あわせて読みたい
ホームページ保守の費用相場と、含まれる作業の見方

古いHPは移管か作り直しも考える

作ってから長くたったHPは、直すより、安全な環境へ移すか作り直すほうが早い場合があります。古いテーマや手作りのプログラムは、新しい PHP に合わせる手直しが大きくなりやすいためです。

選び方	向いている場合
今のサーバーで直す	直す量が少ない
移管（引っ越し）	デザインや中身はそのままで、環境だけ新しくしたい
作り直し	見た目も古く、直す量が多い

ただし、移管でも作り直しでも、ドメインの名義とログイン情報が手元にないと進められません。持ち主の確認を先に済ませてから判断してください。判断のしかたは 移管で済む？ 作り直す？ HPの判断のしかた で詳しく説明しています。移管に決めたら、流れと費用は HPのお引っ越し（移管）の流れと費用 で確かめられます。

ホームページが改ざんされたときの初動

ホームページの改ざんや乗っ取りに気づいたら、ひとりで直そうとせず、まず被害を広げない対応をします。ログ（記録）を消したり、本番のファイルを上書きしたりすると、原因が分からなくなるからです。

いま被害が出ているなら、ひとりで抱え込まずに相談してください。ここでは、最初にやることを順番に紹介します。

1. 画面の写真を撮る：表示された内容・日時・URL を残す
2. サーバー会社と保守会社に連絡する：状況を伝え、HPを一時的に止めるかを相談する
3. ログイン情報を変える：サーバー・WordPress・FTP のパスワードを、安全なパソコンから変える
4. お客さまへの影響を確かめる：問い合わせフォームや会員情報が絡むかを整理する

個人情報が絡む場合や、お金が動いた場合は、自力で直そうとせず専門家に相談してください。症状別の初動は以下の記事にまとめています。

あわせて読みたい
HPが改ざんされたときに最初にやること
サイバー事故、最初の1時間でやること（症状別）

まとめ

• 中小企業のHPは、古いソフトウェアを機械的に探す攻撃で、会社の大きさに関係なく狙われる
• まず持ち主・PHP・WordPress・ドメインと SSL の期限を確かめ、PHP 8.2 以下なら年内に 8.3 以上へ上げる
• 更新・ログインの管理・バックアップ・検知の4つは、費用をかけずに始められる
• 点検を毎月・3ヶ月ごと・年1回と決め、自社でやることと専門家に頼むことを分ける

まずは10項目のチェック表で自社のHPの状態を確かめ、分からない項目から埋めていきましょう。