7月は、メール、ファイル転送、VPN、ECサイトなど、中小企業の日常業務に直結するテーマを取り上げてきました。
どのテーマも、特別な大企業だけの問題ではありません。
会社の代表メールを使っている。
取引先へ大容量ファイルを送っている。
在宅勤務や保守用にVPNを使っている。
問い合わせフォームやECサイトを公開している。
このような会社であれば、規模に関係なく確認が必要です。
2026年6月には、KDDIがISP事業者向けメールシステムに対する不正アクセスを公表し、メールボックスに紐づくメールアドレス・パスワード最大1,422万件が漏えいした可能性を公表しました。対象には、CPI、J:COM NET、コミュファ光、@niftyメール、BIGLOBEメールなど複数のメールサービスが含まれています。
同じく2026年6月には、NTTPCコミュニケーションズが「WebARENA 大容量ファイル転送機能」の停止について公表し、不正アクセスの痕跡が確認されたサーバーに、認証ログ、アップロードされた電子ファイル、ダウンロード用URL、ダウンロード用パスワードなどが格納されていたことを説明しています。
また、JPCERT/CCはCheck Point製品のVPNリモートアクセスおよびモバイルアクセスにおける認証バイパス脆弱性、CVE-2026-50751について注意喚起を行い、悪用された場合に遠隔の第三者が認証を回避してリモートアクセスVPN接続を確立する可能性があると説明しています。
ECサイトでは、佐嘉平川屋が「佐嘉平川屋オンラインショップ」への不正アクセスにより、個人情報73,213件およびクレジットカード情報6,303件が漏えいした可能性を公表しました。同社は、クレジットカード情報を保有していなかったものの、委託先サーバー上に不正ファイルが設置され、注文フォームに入力された情報を外部送信する動作があったと説明しています。
これらの事案から分かることは、単に「事故が怖い」という話ではありません。
中小企業が月末に確認すべきことは、次の4点に整理できます。
- メールアカウントとパスワード
- ファイル転送とクラウド共有
- VPN・UTM・リモートアクセス機器
- ECサイト・問い合わせフォーム
この記事では、7月の振り返りとして、上記4点を中小企業向けの月次チェックリストに落とし込みます。
なぜこの4点を確認するのか
IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威として、1位にランサム攻撃、2位にサプライチェーンや委託先を狙った攻撃、4位にシステムの脆弱性を悪用した攻撃、8位にリモートワーク等の環境や仕組みを狙った攻撃、10位にビジネスメール詐欺が挙げられています。
今回確認する4点は、この脅威と深く関係しています。
| 確認対象 | 関係するリスク |
|---|---|
| メールアカウント | 不正ログイン、ビジネスメール詐欺、パスワードリセット悪用 |
| ファイル転送 | 誤送信、外部サービス事故、個人情報・機密情報の漏えい |
| VPN・UTM | 社内ネットワーク侵入、ランサムウェア、リモートワーク環境への攻撃 |
| ECフォーム | 個人情報漏えい、カード情報漏えい、フォーム改ざん |
IPAは中小企業向けガイドラインで、情報セキュリティ対策に取り組む際の経営者の指針と、社内で実践する手順・手法をまとめており、第4.0版ではバックアップ、サプライチェーン、ウェブサイトの安全運用なども扱っています。
つまり、月末の点検は、担当者だけの作業ではなく、会社として業務を継続するための基本管理です。
チェック1：メールアカウントとパスワード
最初に確認するのは、メールアカウントです。
メールは、単なる連絡手段ではありません。
多くのクラウドサービス、会計ソフト、ECサイト、ドメイン管理、レンタルサーバー、SNS、広告管理画面のパスワード再設定先にもなっています。
そのため、メールアカウントが不正利用されると、メール本文を読まれるだけでなく、他のサービスの乗っ取り、取引先へのなりすまし、請求書や振込先変更メールの悪用につながるおそれがあります。
月末に確認する項目
| 確認項目 | 確認内容 |
|---|---|
| メール一覧 | 会社で使っているメールアドレスを一覧化しているか |
| 共有メール | info、sales、support、keiriなどを誰が使っているか |
| 退職者メール | 退職者・異動者のメールが残っていないか |
| 休眠メール | 今は使っていないメールボックスが残っていないか |
| パスワード | 他サービスと同じパスワードを使っていないか |
| 転送設定 | 見覚えのない外部転送がないか |
| フィルタ設定 | 不審な振り分けルールがないか |
| ログイン履歴 | 不審な日時・地域・端末からのログインがないか |
| 多要素認証 | 利用できるメールサービスでは有効化しているか |
| 連絡先用途 | ドメイン、サーバー、銀行、クラウドの登録先になっていないか |
KDDIの公表事案では、対象件数に解約済み利用者や一定期間利用のない休眠利用者も含まれると説明されています。
そのため、「今は使っていないから大丈夫」と考えず、過去に業務で使っていたメールアドレスも確認対象にします。
対応の優先順位
メールについては、次の順番で対応すると実務に落とし込みやすくなります。
| 優先度 | 対応内容 |
|---|---|
| 高 | 対象サービスのメールパスワードを変更する |
| 高 | 同じパスワードを使っている他サービスも変更する |
| 高 | 代表メール、経理メール、管理者メールの転送設定を確認する |
| 中 | 退職者・休眠メールを停止または削除する |
| 中 | 共有メールの利用者を記録する |
| 中 | 多要素認証を設定する |
| 低 | 古いメールソフトや古い端末に保存された設定を整理する |
メールパスワードの変更だけで終わらせず、「そのメールで何にログインできるか」「そのメールがどのサービスの再設定先になっているか」まで確認してください。
チェック2：ファイル転送とクラウド共有
次に確認するのは、ファイル転送です。
中小企業では、見積書、契約書、請求書、図面、名簿、履歴書、給与資料、顧客リストなどを、日常的に取引先へ送っています。
この時に使っているファイル転送サービスやクラウド共有が止まった場合、現場が急いでメール添付、個人クラウド、無料サービスに流れることがあります。
NTTPCのWebARENA大容量ファイル転送機能の事案では、2026年4月29日深夜から外部からの攻撃と思われる通信が発生し、安全性確保を目的にサーバーへのアクセスを遮断して機能を停止したこと、2026年4月21日から第三者による不正アクセスの痕跡を確認したことが説明されています。
同社は、アップロードされた電子ファイル4,463件や、ダウンロード用URL、ダウンロード用パスワードなどを含むアップロード関連情報が格納されていたことも公表しています。
月末に確認する項目
| 確認項目 | 確認内容 |
|---|---|
| 利用サービス | 会社として承認しているファイル転送・クラウド共有は何か |
| 個人利用 | 個人のクラウドストレージで業務ファイルを送っていないか |
| 無料サービス | 社員判断で無料ファイル転送サービスを使っていないか |
| 送信記録 | 送信者、宛先、ファイル名、送信日、期限を記録しているか |
| 重要情報 | 個人情報、契約書、図面、給与資料を送る時の確認手順があるか |
| URL共有 | 「リンクを知っている全員が閲覧可」になっていないか |
| 有効期限 | ダウンロード期限を設定しているか |
| 共有停止 | 誤送信時にURL無効化や共有停止ができるか |
| パスワード | パスワードを同じメール経路で送っていないか |
| 代替手段 | いつものサービスが止まった時の承認済み代替手段があるか |
特に大切なのは、サービス停止時の代替ルールです。
使っていたファイル転送サービスが止まった時に、社員ごとに別々の手段を選び始めると、誤送信や情報漏えいのリスクが高まります。
決めておくべき代替ルール
ファイル転送については、次のような社内ルールを決めておきます。
| 項目 | ルール例 |
|---|---|
| 通常ファイル | 会社承認済みクラウドストレージを利用する |
| 社外秘ファイル | 受信者をメールアドレスで限定し、有効期限を設定する |
| 個人情報ファイル | 送信前に管理担当者または上長確認を行う |
| パスワード | 必要な場合はメールとは別経路で伝える |
| 誤送信 | 直ちに共有停止し、管理担当者へ連絡する |
| 未承認サービス | 個人契約、無料サービス、私用メールでの送信は禁止する |
| 記録 | 送信日時、宛先、ファイル名、利用サービスを残す |
「業務を止めない」ことは重要ですが、「急いでいるから何でもよい」では、別の事故を起こします。
ファイル送信は、便利さだけでなく、取り消し、記録、期限、共有範囲を含めて確認してください。
チェック3：VPN・UTM・リモートアクセス機器
3つ目は、VPN・UTM・ルーターなどの外部接続機器です。
VPNやUTMは、導入していれば安全というものではありません。
インターネット側から社内へ入る入口であるため、脆弱性、設定不備、古いファームウェア、退職者アカウントが残っていると、大きなリスクになります。
JPCERT/CCは、Check Point製品のCVE-2026-50751について、VPN Remote AccessまたはMobile Accessが有効で、リモートアクセス用IKEv1が有効などの条件を満たす構成が影響を受け、修正アップデートや軽減策、侵害有無の調査を実施するよう案内しています。
月末に確認する項目
| 確認項目 | 確認内容 |
|---|---|
| 機器一覧 | VPN、UTM、ルーター、ファイアウォールを一覧化しているか |
| 製品名・型番 | メーカー、型番、バージョンを確認できるか |
| ファームウェア | 最新または保守対象バージョンか |
| 保守契約 | 保守契約、販売店、メーカーサポートが有効か |
| 管理者 | 管理画面に誰が入れるか |
| 外部公開 | 管理画面やVPNポータルが外部公開されていないか |
| VPN利用者 | 現在の利用者、委託先、退職者を確認しているか |
| 多要素認証 | VPN接続に多要素認証や端末証明書を使っているか |
| 接続ログ | 深夜・休日・国外など不審なVPN接続がないか |
| 接続後範囲 | VPN接続後に社内全体へアクセスできる状態になっていないか |
緊急の脆弱性情報が出た時、最初に困るのは「自社が対象か分からない」ことです。
そのため、VPNやUTMは、機器台帳を作っておくことが重要です。
保守会社に確認する質問
VPNやUTMを保守会社に任せている場合でも、自社側で次の質問を確認してください。
| 質問 | 目的 |
|---|---|
| 当社のVPN・UTMの製品名とバージョンは何ですか | 対象製品か判断するため |
| 直近の脆弱性情報に該当しますか | 緊急対応の要否を確認するため |
| ファームウェアやHotfixは適用済みですか | 対応完了を確認するため |
| すぐ更新できない場合の軽減策はありますか | 暫定リスク低減のため |
| VPN利用者の一覧はありますか | 退職者・不要アカウント確認のため |
| 接続ログは何日分残っていますか | 侵害有無の調査のため |
| サポート終了機器はありますか | 入替計画を作るため |
「保守会社に任せているから大丈夫」ではなく、保守会社が何を管理し、自社が何を判断するのかを明確にすることが大切です。
チェック4：ECサイト・問い合わせフォーム
4つ目は、ECサイトや問い合わせフォームです。
ECサイトを運営していない会社でも、問い合わせフォーム、資料請求フォーム、予約フォーム、採用応募フォームを公開している場合は確認対象です。
佐嘉平川屋の公表事案では、オンラインショップのシステムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーションが改ざんされたと説明されています。カード情報の対象期間は2025年3月21日から2026年3月10日までで、カード名義人名、カード番号、有効期限、セキュリティコードが漏えいした可能性があるとされています。
特に重要なのは、同社がFAQで、クレジットカード情報を一切保有していなかったものの、委託先サーバー上の不正ファイルにより、注文フォーム入力情報を外部に送信する動作があったと説明している点です。
つまり、カード情報を保存していないことと、フォームが改ざんされないことは別問題です。
月末に確認する項目
| 確認項目 | 確認内容 |
|---|---|
| 公開フォーム | 注文、問い合わせ、資料請求、予約、採用フォームを一覧化しているか |
| 決済方式 | カード情報が自社サイト内を通過していないか |
| CMS | WordPress等のCMS本体を更新しているか |
| プラグイン | 不要なプラグインを削除し、必要なものを更新しているか |
| 決済モジュール | 決済代行会社や保守会社の案内どおり更新しているか |
| 管理者 | 退職者、旧制作会社、共有アカウントが残っていないか |
| 外部タグ | 不明なJavaScript、広告タグ、解析タグが追加されていないか |
| 不審ファイル | サーバー上に見覚えのないファイルがないか |
| ログ | 管理画面、Webサーバー、決済関連ログを確認できるか |
| 委託先 | 制作会社・保守会社の対応範囲を確認しているか |
中小企業では、Webサイトを制作会社に任せているケースが多くあります。
その場合でも、サイトの所有者として、誰が更新し、誰がログを確認し、誰が緊急時に停止判断をするのかは、自社で把握しておく必要があります。
フォーム改ざんを防ぐための確認
フォームについては、次の観点で確認します。
| 観点 | 確認内容 |
|---|---|
| 入力情報 | 氏名、住所、電話番号、メール、カード情報など何を入力させているか |
| 保存先 | 入力情報がどこに保存されるか |
| 送信先 | 自社以外の外部ドメインへ送信されていないか |
| 管理画面 | 管理画面に多要素認証を設定できるか |
| 委託先権限 | 制作会社や保守会社のアカウントが必要最小限か |
| 更新履歴 | CMS、プラグイン、決済モジュールの更新記録があるか |
| 改ざん検知 | 不審なファイル追加やスクリプト変更を検知できるか |
| 再開条件 | 改ざん時に、何を直せば再開できるか決めているか |
「フォームが動いている」ことと、「安全に動いている」ことは違います。
公開フォームは、毎月の点検対象に入れてください。
4点共通で必要なのは「記録」
メール、ファイル転送、VPN、ECフォームは、対象が違っても共通点があります。
それは、記録がないと、確認したことを説明できないという点です。
たとえば、次のような状態では、事故時や取引先確認時に困ります。
- パスワードを変えたが、いつ変えたか分からない
- ファイルを送ったが、何を誰に送ったか分からない
- VPN機器を更新したはずだが、バージョンが分からない
- Webサイトを保守会社が見ているはずだが、作業報告がない
- 問い合わせフォームの管理者が誰か分からない
- 退職者アカウントを止めたかどうか分からない
月末点検では、完璧な報告書を作る必要はありません。
まずは、次のような1枚のチェック表を作ることをおすすめします。
月末セキュリティ4点チェック表
確認月：2026年7月
確認日：2026年7月31日
確認担当者：〇〇
責任者：〇〇
| No. | 確認分野 | 確認項目 | 結果 | 未対応内容 | 対応期限 | 責任者 |
|---|---|---|---|---|---|---|
| 1 | メール | 代表メール・共有メールの利用者を確認した | 済・未 | 退職者設定確認中 | 8/5 | 総務 |
| 2 | メール | パスワード使い回しを確認した | 済・未 | 経理メール要変更 | 8/2 | 経理 |
| 3 | ファイル転送 | 承認済みサービスを確認した | 済・未 | 代替サービス未決定 | 8/9 | 管理担当 |
| 4 | ファイル転送 | 個人情報ファイル送信ルールを確認した | 済・未 | 送信記録表を作成中 | 8/9 | 総務 |
| 5 | VPN | VPN・UTMの製品名とバージョンを確認した | 済・未 | 保守会社へ照会中 | 8/6 | 管理担当 |
| 6 | VPN | VPN利用者・退職者アカウントを確認した | 済・未 | 委託先ID確認中 | 8/6 | 総務 |
| 7 | EC・フォーム | 公開フォーム一覧を確認した | 済・未 | 旧キャンペーンフォーム確認中 | 8/12 | Web担当 |
| 8 | EC・フォーム | CMS・プラグイン更新状況を確認した | 済・未 | 制作会社へ依頼済み | 8/12 | Web担当 |
| 9 | 共通 | 個人情報漏えいのおそれがないか確認した | 済・未 | 対象なし・確認中 | 8/2 | 責任者 |
| 10 | 共通 | 対応記録を保存した | 済・未 | 共有フォルダに保存 | – | 管理担当 |
この表の目的は、細かい技術情報をすべて書くことではありません。
「確認したか」「未対応が何か」「いつまでに誰が対応するか」を明確にすることです。
優先順位は「外部から入れる場所」と「重要情報」で決める
すべてを一度に確認するのが難しい場合は、優先順位を決めます。
優先度が高いのは、次のようなものです。
- 外部からログインできるメール
- クラウドサービスの管理者メール
- 経理、請求、振込に関係するメール
- 個人情報を含むファイル送信
- 取引先から預かった情報を含むファイル
- インターネットから接続できるVPN、UTM、ルーター
- リモート保守用の接続口
- カード決済や個人情報を扱うECサイト
- 問い合わせフォーム、予約フォーム、採用フォーム
- 外部委託先が管理しているサーバーやWebサイト
優先順位を決める時の基準は、次の2つです。
- 外部から入れるか
- 入られた時に重要情報へ届くか
この2つに該当するものは、先に確認してください。
情報漏えいのおそれがある時は、報告要否を確認する
月末点検で、不審なログイン、不明な転送設定、誤送信、不審ファイル、フォーム改ざんの疑いが見つかった場合は、まず事実関係を記録します。
そのうえで、個人データの漏えい等またはそのおそれがある場合は、個人情報保護委員会への報告要否を確認します。個人情報保護委員会は、漏えい等報告について、速報は発覚日から3〜5日以内、確報は発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。
また、個人情報保護委員会は、要配慮個人情報が含まれる個人データの漏えい等、不正利用により財産的被害が生じるおそれがある漏えい等、不正の目的をもって行われたおそれがある漏えい等、本人の数が1,000人を超える漏えい等を、報告が必要な場合として示しています。
ここで注意したいのは、「漏えいが確定していないから何もしない」と決めつけないことです。
報告が必要かどうかは、漏えいの確定だけでなく、「おそれ」があるかどうかも含めて確認する必要があります。
7月の4点を、来月の運用にする
7月の事案を見て終わりにするのではなく、8月以降の運用に落とし込むことが重要です。
おすすめは、次のように月次作業へ組み込むことです。
| 頻度 | 実施内容 |
|---|---|
| 毎月 | メール、ファイル転送、VPN、フォームの4点チェック |
| 毎月 | Windows、Office、Adobe、ブラウザの更新確認 |
| 毎月 | 退職者・異動者・委託先アカウントの棚卸し |
| 四半期 | VPN・UTM・ルーターのバージョン、保守契約確認 |
| 四半期 | Webサイト、CMS、プラグイン、公開フォーム確認 |
| 半年 | ファイル送信ルール、クラウド共有ルールの見直し |
| 年1回 | セキュリティ診断、外部公開資産の棚卸し |
| 事故時 | 事実確認、ログ保全、報告要否確認、関係者連絡 |
中小企業では、専任の情報システム部門がないことも多くあります。
だからこそ、難しい仕組みを最初から作るよりも、「毎月この4点だけは確認する」という形で始める方が継続しやすくなります。
経営者に確認してほしいこと
最後に、経営者が確認すべきことを整理します。
技術的な詳細をすべて理解する必要はありません。
しかし、次の質問には答えられるようにしておくべきです。
| 経営者が確認する質問 | 理由 |
|---|---|
| 会社で使っているメールアドレスは一覧化されていますか | 不正ログイン時の影響範囲を把握するため |
| 重要ファイルを送る時のルールはありますか | 誤送信・外部サービス事故に備えるため |
| VPN・UTMの保守会社と緊急連絡先は分かりますか | 脆弱性対応を遅らせないため |
| ECサイトや問い合わせフォームの管理者は誰ですか | 改ざん時に停止・調査できるようにするため |
| 退職者や委託先のアカウントは止まっていますか | 不要な入口を残さないため |
| 個人情報漏えい時の報告要否を誰が判断しますか | 法令対応の初動を遅らせないため |
| 月末点検の記録は残っていますか | 取引先や事故時に説明できるようにするため |
IPAの中小企業向けガイドラインは、情報セキュリティ対策を経営者が認識し実施すべき指針と、社内で実践する手順・手法に分けて整理しています。
セキュリティ対策は、担当者任せではなく、経営上のリスク管理として扱う必要があります。
まとめ
7月に取り上げた事案から、中小企業が月末に確認すべきことは次の4点です。
- メールアカウントとパスワード
対象メール、共有メール、退職者メール、転送設定、パスワード使い回しを確認します。 - ファイル転送とクラウド共有
承認済みサービス、送信記録、個人情報ファイル、有効期限、代替手段を確認します。 - VPN・UTM・リモートアクセス機器
製品名、バージョン、保守契約、利用者、ログ、脆弱性対応を確認します。 - ECサイト・問い合わせフォーム
フォーム一覧、CMS・プラグイン、決済経路、管理者権限、委託先対応を確認します。
KDDIのメールシステム事案、NTTPCのファイル転送機能停止、Check Point製品のVPN脆弱性、佐嘉平川屋オンラインショップのフォーム改ざん事案は、それぞれ別の出来事です。
しかし、中小企業にとっての教訓は共通しています。
外部から入れる場所、重要情報を預ける場所、取引先や顧客とつながる場所を、毎月確認すること。
完璧なセキュリティはありません。
しかし、対象を一覧化し、確認日を決め、未対応を記録し、期限を決めるだけでも、対応漏れは大きく減らせます。
ライトハウスコンサルタントでは、中小企業向けに、メールアカウント棚卸し、ファイル転送ルール整備、VPN・UTM点検、Webフォーム確認、月次セキュリティチェック表の作成、個人情報漏えい時の初動対応支援を行っています。まずは、今回の4点チェックを1枚の表にして、来月も確認できる形にするところから始めてください。
