あるお客さまからの、一本のお電話
「健康診断は毎年必ず実施しているのに、Webサイトの健康状態は放置したままで、ふと『あれ？ しなくていいの？』と思い、今回問い合わせました」
先日、ある企業のご担当者さまからいただいたお声です。
言われてみれば、私たちマネージドサービスチームは、この「当たり前」を一度もきちんと発信してこなかったかもしれません。そこで今回は、Webサイトに定期検診（脆弱性診断）が必要な理由を、思い込みや脅し文句ではなく、公的機関の統計と、私たちのサポート現場で実際に起きたことだけを並べてお伝えします。
読み終わる頃には、冒頭のご担当者さまと同じ疑問
——「あれ？ うちはしなくていいの？」——
が、皆さまの中に自然と浮かんでいるはずです。
目次
― まず、事実を5つ並べます
事実①：あなたのサーバーは、1日9,000回「ノック」されている！？
警察庁が全国に設置している観測センサーでは、サイバー攻撃の前兆となる「脆弱性探索行為」などの不審なアクセスが、1日・1IPアドレスあたり約9,000件検知されています（2025年上半期：9,085.4件／日）。2024年通年では9,520件と過去最高を記録しました。
- ・警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
つまり攻撃者は、あなたの会社を名指しで狙っているのではありません。
機械的に、無差別に、24時間ドアノブを回して回っているのです。
「うちは狙われるような会社じゃない」という感覚は、残念ながらこの実態とかみ合っていません。
鍵のかかっていないドアが見つかれば、そこが誰の家かは関係ないのです。
事実②：Webサイトは経年劣化する！？
IPA（情報処理推進機構）とJPCERT/CCが運営する脆弱性データベース「JVN iPedia」には、2025年の1年間で41,742件の脆弱性対策情報が新規登録されました。単純計算で1日あたり約114件、新しい「弱点」が世界のどこかで公表され続けている計算になります。
脆弱性対策情報データベースJVN iPediaの登録状況 [2025年第4四半期（10月〜12月）]https://www.ipa.go.jp/security/reports/vuln/jvn/ipedia2025q4.html
ここで重要なのは、この数字が意味することです。Webサイトは、何もしなくても"劣化"します。制作した瞬間は最新で安全だったサイトも、その構成部品（OS、CMS、プラグイン）の弱点が翌日以降に次々と発見されていく。つまり「作った時に安全だった」という事実は、時間の経過とともに自動的に無効化されていくのです。建物の耐震基準が改定されれば既存の建物が「既存不適格」になるのと同じ構造が、Webサイトでは毎日起きています。
事実③：被害の中心は大企業ではなく、中小企業に移っている！？
まとめ：「うちは中小だから関係ない」は、統計上もっとも危険な思い込み！！
「サイバー攻撃のニュースは大企業の話」と思われがちですが、統計は逆を示しています。警察庁の報告では、2025年上半期のランサムウェア被害116件のうち77件（約3分の2）が中小企業で、件数・割合ともに過去最多となりました。
令和７年上半期におけるサイバー空間をめぐる脅威の情勢等https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
背景として警察庁が指摘しているのが、「RaaS（サイバー攻撃ツールのサブスクリプション販売サービス）」の普及です。攻撃ツールが月額課金のサービスとして売買されるようになり、高度な技術を持たない者でも攻撃に参入できるようになった結果、「範囲が広がり」被害に遭う構図が生まれています。攻撃側がサービス化・分業化した以上、防御側も「守りの外注」を検討するのは自然な流れと言えます。
事実④：改ざんに最初に気づくのは、多くの場合「自社」ではない？
まとめ：改ざんは「気づかれないこと」を目的に設計してます！！
警察庁がWebサイト改ざん対策のページで紹介している相談事例を見ると、共通点があります。
- ・「ウェブサイトが改ざんされている」と顧客から連絡があった
- ・「ホームページを閲覧していたらウイルス検知した」と顧客から連絡があった
警察庁「ウェブサイト改ざん対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/hacked-website.html
そう、発見者がお客さま（Webサイトの閲覧者）であるケースが多く報告されています。改ざんの多くは、見た目を派手に書き換えるのではなく、閲覧者を偽サイトへ転送したり、裏側でマルウェアを配布したりと「気づかれないこと」を目的に設計されています。
サイトが普段どおり表示されていることは、安全であることの証明にはなりません。むしろ「正常に見えること」こそが、攻撃の隠れ蓑になっています。
事実⑤：事後対応の費用は「1,000万円以上」が約6割
まとめ：予防の診断は年数万円。事後対応との差は、文字どおり「桁違い」！！
被害に遭った企業・団体への警察庁アンケートでは、ランサムウェア被害の調査・復旧に1,000万円以上を要した組織が59%（2025年上半期）に達し、前年の50%からさらに増加しています。復旧に1か月以上かかったケースも約半数にのぼります。
令和７年上半期におけるサイバー空間をめぐる脅威の情勢等https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
一方、後述するとおり、予防としての診断は年に一度、数万円の規模から実施できます。健康診断を受けずに人間ドック級の入院費を払うか、毎年の検診で早期発見するか——構図はまったく同じです。
― 【現場の記録】「普通に使えていた」サイトで、実際にあったこと
統計だけでは実感が湧きにくいと思いますので、当社マネージドサポートのエンジニアが実際に直面した事例を3つご紹介します。いずれも、特別な企業の特別な話ではありません。
ケース1：「普通に使えています」の裏側で（サポート歴3年Aさん）
【結論：「問題なく動いている」は、安全の証明にはなりません】 飲食店のお客さまより「サイトは普通に使えています」と伺っていましたが、スキャンしたところ、古いWordPressテーマに既知の脆弱性が残っており、バックドアが仕掛けられた痕跡が見つかりました。悪用される前に発見・対処できたのは幸運でした。——事実④の「正常に見える」がそのまま起きていた事例です。
ケース2：「少し違和感がある」からの深刻な発覚（サポート歴6年Bさん）
【結論：「様子見」をしている間も、被害は静かに進行します】 ECサイトを運営する小売業のお客さまから「サイトがおかしい気がする」とご連絡をいただきました。確認すると、CMSの古いプラグインが原因でマルウェアが埋め込まれ、訪問者がフィッシングサイトへ誘導される状態に。お客さまは数週間前から異変を感じていたものの、サイト自体は動いていたため様子を見ていたとのことでした。
ケース3：取引先から突然の「セキュリティ審査」要求（サポート歴4年）
【結論：診断レポートは「守り」だけでなく、取引を守る書類にもなります】 取引先からWebサイトのセキュリティ審査を求められ、急ぎでご相談いただいたケースです。脆弱性が残っていたことに加え、セキュリティ対策の実施記録が何もない状態で、審査対応に相当な時間を要しました。定期診断の「安全証明レポート」は、守りだけでなく、取引を守る書類にもなる——現場で学んだことです。
― ここまでを並べてみると
5つの事実と3つの現場記録から、こう言えるのではないでしょうか。
- 攻撃は無差別に、毎日届いている（事実①）
- サイトは放置するだけで安全性が目減りしていく（事実②）
- 「うちは規模的に無関係」は、もう成り立たない（事実③）
- 被害は自分では気づけない設計になっている（事実④・ケース1・2）
- 気づいてからでは、費用も信用も桁が変わる（事実⑤・ケース3）
「動いている」と「守られている」は、まったく別の状態である——これが、私たちが定期検診をおすすめする理由のすべてです。
なお、これは私たちセキュリティ事業者だけの意見ではありません。
IPA（情報処理推進機構）は、Webアプリケーションに対するセキュリティ診断を「1年に1回程度、および機能追加等の変更時」に実施することを推奨しています。
これは、「一度診断したら終わり」ではなく、定期的な点検が必要であることを、公的機関が示しているということです。
人間も年に1回健康診断を受けますが、再検査や経過観察が必要な場合は、より短い間隔で受診します。Webサイトも同じです。一般的なサイトは年1回程度の定期診断を行い、ECサイトや会員サイト、決済サイトなど重要な情報を扱うサイトは、リスクや機能変更の内容に応じて、より高い頻度で診断を実施することが望ましいでしょう。
― 今日からできること：現在の委託先に、この3つを聞いてみてください
定期検診は、どの会社に依頼していただいても構いません。
現在お付き合いのある制作会社さま、サーバー事業者さま、保守会社さまに、まずは次の3つを確認してみてください。
- １．「このサイト、最後に脆弱性診断をしたのはいつですか？」 ——記録が出てくれば安心です。「診断とは？」という反応なら、一度も受けていない可能性があります。
- ２．「CMSやプラグインのアップデートは、契約に含まれていますか？」 ——制作契約と保守契約は別物です。「作って終わり」の契約は珍しくありません。
- ３．「改ざんやマルウェアを検知する仕組みはありますか？」 ——事実④のとおり、検知の仕組みがなければ、発見者はお客さまになってしまいます。
3つとも対応しているなら、貴社のサイトはきちんと守られています。この記事はここで閉じていただいて大丈夫です。もし1つでも答えに詰まる項目があれば、それが貴社サイトの「未受診の項目」です。
― ここからは、自社で確認が難しい方へのご案内です
とはいえ「聞ける相手がいない」「自社で確認する手段がない」という方もいらっしゃると思いますので、最後に私たちのサービスにも触れさせてください。
当社では、SiteLock（サイトロック）の「ワンショット診断」を提供しています。URLをお送りいただくだけで、マルウェア・脆弱性・ブラックリスト登録状況を自動スキャンし、取引先にも提出できる安全証明レポートを発行します。
- ・診断費用（1回）：16,500円／200ページまで（税込）
- ・200ページ超：33,000円／600ページ、41,250円／1,000ページ、49,500円／2,000ページ
- ・契約不要・単発OK・追加費用なし。診断中も通常業務は止まりません。
実は、GMOのサーバーをご利用でないお客さまにも数多くお使いいただいています。診断は診断として単体で完結しますので、「今の環境は変えたくないが、健康状態だけ知りたい」という使い方がむしろ主流です。
▼ SiteLock（サイトロック）ワンショット診断の詳細・お申し込み https://form.gmocloud.com/saas/websecurity-report/contact/
― おわりに
健康診断と同じで、何も見つからなければ、それが一番の収穫です。「異常なし」の一枚は、経営者にとっての安心であり、取引先への信用であり、担当者にとっての「やるべきことはやっている」という証明になります。
Webサイトは24時間365日、貴社の最前線に立ち続けている「顔」であり「営業担当」です。年に一度、その働き者に検診を受けさせてあげてください。——どの病院で受けるかは、二の次で構いませんので。
- 参考資料：
