2026年の夏ごろから、不正アクセスによる個人情報漏洩の公表が相次いでいます。専門家の間では攻撃にAIが悪用されている可能性が高いと指摘されており、中小企業のホームページでも完全に防ぐことは難しくなっています。そのため、ホームページで集める個人情報をそもそも減らしておくことが大事です。
この記事では、個人情報が漏洩したときに企業に求められる対応と、ホームページ制作時に集める個人情報を減らすポイントを解説します。当社がECサイトを中心に進めている見直しの取り組みも紹介します。
AIが悪用されている可能性が高い個人情報漏洩はどのような企業でも防ぐことが難しい
国内の法人が運営するWebシステムからの個人情報漏洩の発表は、2026年は10月6日時点で119件にのぼり、2025年1年間の84件をすでに上回っています。119件のうち81件は7月以降の発表で、ほぼ毎日どこかの企業が漏洩を公表している状況です。
弱点を探す速さが上がり修正が追いつかない
ホームページ制作に使っているWordPressやプラグイン、サーバーのソフトウェアでは、あとから脆弱性が見つかることがあります。脆弱性が公表されると修正版が配布されますが、ホームページに反映するまでには動作の確認や作業の時間がかかります。
これまでは攻撃する側も、脆弱性のあるホームページを探すのに時間がかかっていたので、その間に修正を終えられることが多くありました。
AIを使えば、公表された脆弱性を持つホームページを短時間で大量に探し出せます。修正版を反映する前に狙われるおそれが高くなり、数日の遅れが個人情報漏洩につながることもあります。
NTT docomo Business Watchの記事で紹介されている、セキュリティ企業のクラウドストライクの「2026 Global Threat Report」では、攻撃者が侵入してからシステムの内部に広がり始めるまでの平均時間が、2024年の48分から2025年は29分に縮まっています。
調べる範囲が広がり小さな企業のホームページも狙われる
人が手作業で調べられるホームページの数には限りがあるので、攻撃は大量の個人情報を持つ大企業や、知名度のあるサービスに向かいやすいと考えられてきました。中小企業のホームページは、狙われにくい側にいたと言えます。
AIを使えば、ホームページを規模に関係なく片っ端から調べられます。専門家の間でも、今起きているほど広い範囲の調査を人の手で繰り返すのは現実的ではなく、AIが使われていると考えるほうが自然だという見方が出ています。
問い合わせフォームやネットショップがあり、個人情報を扱っているホームページであれば、会社の規模に関係なく狙われる対象です。小さい会社だから狙われないという考えは通用しなくなっています。
これまで見つからなかった設定の不備まで見つかる
個人情報漏洩の原因は、ソフトウェアの脆弱性だけではありません。管理画面に誰でもアクセスできる状態になっていた、テスト用のページやファイルが公開されたまま残っていた、URLの一部を変えるだけで他人のデータが見られた、といった設定の不備も原因になります。
こうした不備はホームページごとに違い、見つけるには一つ一つ細かく調べる必要があるので、これまでは見過ごされることが多くありました。
AIを使えば、こうした細かい確認を大量のホームページに対して行えます。これまで気づかれずに済んでいた不備まで見つかるようになり、長く公開しているホームページほど、古い設定や残ったままのファイルが狙われやすくなっています。
専門家の間では、以前からAIによって弱点を調べられる範囲だけでなく深さも変わることが懸念されていました。
中小企業のホームページでも個人情報を狙われる理由
AIによって、規模に関係なくホームページを片っ端から調べられるようになったことは、上で紹介したとおりです。中小企業のホームページで個人情報が狙われる理由はそれだけではありません。中でも大きいのが、AIによって日本語の壁がなくなったことです。
ホームページへの侵入そのものは、日本語が分からなくてもできます。一方で、盗んだ個人情報と引き換えに身代金を要求するときは、相手の企業と日本語でやり取りしなければなりません。これまで海外の攻撃者にとって、日本の企業は脅迫の文面を日本語で書き、返事を読んで交渉を進める必要がある手間のかかる相手でした。
今はAIの翻訳を使えば、日本語が分からなくても自然な文章で脅迫や交渉ができます。英語圏の企業を相手にするのと変わらない手間で身代金を要求できるようになり、日本の中小企業も海外の攻撃者に狙われやすい状況になっています。
個人情報が漏洩したときに企業に求められる対応
ホームページから個人情報が漏洩すると、企業には個人情報保護法で決められた対応と、ユーザーや取引先からの信用を守るための対応が求められます。中小企業でも、求められる対応は大企業と変わりません。
個人情報保護委員会へ報告する
不正アクセスによって個人情報が漏洩した場合や、漏洩したおそれがある場合は、漏洩した人数に関係なく、個人情報保護委員会への報告が必要です。報告は2回に分かれていて、漏洩に気づいてからおおむね3〜5日以内に分かっている範囲で速報を出し、不正アクセスによる漏洩であれば60日以内に、原因や再発防止策まで含めた確報を出します。
ホームページへの不正アクセスは、気づいた時点では何がどこまで漏洩したのか分からないことがほとんどです。分からないまま期限内に状況をまとめる必要があるので、ホームページの管理を制作会社に任せている場合は、すぐに連絡を取って調べてもらえる体制があるかどうかが大切になります。
漏洩した本人に通知する
個人情報保護委員会への報告が必要な漏洩では、漏洩した本人への通知も必要です。通知では、何が起きたのか、漏洩した個人情報の項目、原因、二次被害のおそれがあるかどうかなどを伝えます。
問い合わせフォームから送られた情報が漏洩した場合は、フォームに入力されたメールアドレスなどに一人ひとり連絡することになります。連絡先が分からない人や連絡がつかない人がいる場合は、ホームページで事実を公表するなど、本人が知ることができる方法をとります。
原因を調べて再発防止策をとる
個人情報保護委員会への確報には、漏洩の原因と再発防止策を書く必要があります。どの脆弱性や設定の不備から侵入されたのか、いつから侵入されていたのかを調べるには専門的な知識が必要で、セキュリティ会社に調査を依頼することもあります。
原因が分からないままホームページを動かし続けると、同じ方法でまた侵入されるおそれがあります。調査が終わるまではホームページを一時的に閉鎖し、問い合わせフォームやネットショップが使えない状態になることも考えておく必要があります。
問い合わせへの対応や任意のお詫びをする
個人情報漏洩を公表すると、漏洩した本人や取引先から問い合わせが届きます。自分の情報が含まれているのか、どう悪用されるおそれがあるのかといった質問に答えるために、専用の窓口を用意する企業も少なくありません。
お詫びの連絡やお詫びの品は法律で決められたものではありませんが、信用を守るために行う企業が多くあります。漏洩した項目が多く、悪用されたときの被害が大きいほど、問い合わせの数も増え、お詫びに求められる内容も重くなります。
集める個人情報を減らすと漏洩時の被害を小さくできる
個人情報漏洩を完全に防ぐことが難しい今は、漏洩したときの被害をどれだけ小さくできるかが大事になります。そのための方法が、ホームページで集める個人情報をそもそも減らしておくことです。
保存していない個人情報は漏洩しない
ホームページに侵入されても、サーバーに保存されていない個人情報は盗まれません。たとえば問い合わせフォームの内容をメールで受け取るだけにして、サーバーに残さない設定にしておけば、ホームページに不正アクセスがあっても問い合わせした人の情報は漏洩しません。
漏洩する個人情報がなければ、個人情報保護委員会への報告や本人への通知、問い合わせへの対応も発生しません。どれだけ対策をしても侵入される可能性はゼロにならないので、個人情報をサーバーに保存しないことは、漏洩を確実に防げる数少ない方法です。
漏洩する項目が少ないほど二次被害を抑えられる
同じ個人情報漏洩でも、漏洩した項目によって、その後にユーザーが受ける被害の大きさは変わります。氏名とメールアドレスだけなら、届くのは迷惑メールや詐欺メールが中心です。住所や電話番号、生年月日までそろうと、本人になりすました手続きや、自宅への詐欺電話などに悪用されやすくなります。
一度漏洩した個人情報は回収できず、名簿として売買されるなどして、長く悪用され続けることがあります。メールアドレスは変えられても、住所や電話番号、生年月日は簡単には変えられないので、漏洩した後に本人ができる対策も限られます。集める項目が少なければ、漏洩したときにユーザーが長く被害を受け続けるおそれを減らせます。
ホームページ制作時に集める個人情報を減らすポイント
集める個人情報を減らすには、ホームページ制作の段階で、何を集めてどこに残すかを決めておくことが大事です。公開後に見直すこともできますが、最初から決めておけば、余計な情報をためずに運用を始められます。
問い合わせフォームの入力項目を必要なものだけにする
問い合わせフォームには、住所や生年月日、性別、会社の従業員数など、念のため入れておいた項目が残っていることがよくあります。問い合わせの段階で本当に必要なのは、返信するための氏名と連絡先、問い合わせ内容くらいです。ほかの項目は、やり取りが始まってから必要になったときに聞いても間に合うことがほとんどです。
ホームページ制作時には、項目ごとにその情報を何に使うのかを確認し、使い道がはっきりしない項目は入れないようにします。電話番号のように、あると便利そうな項目でも、実際に使う可能性が低ければ、任意で残すのではなく項目そのものを外します。任意の項目でも、入力した人の情報はそのままサーバーやメールに残るので、個人情報を集めたことに変わりはありません。
治療院やクリニックなどで症状や持病を入力する欄を置くと、要配慮個人情報を集めることになります。漏洩したときに本人が受ける影響が大きい情報なので、フォームで聞く必要があるか、来院してから確認すれば足りないかを特に慎重に考えます。
問い合わせ内容をサーバーに保存しない
WordPressで制作するホームページでは、フォームのプラグインや設定によって、送信された問い合わせ内容がメールで届くだけでなく、サーバーのデータベースにも保存されることがあります。保存していると管理画面で過去の問い合わせを見返せて便利ですが、そのぶんホームページに個人情報がたまり続けます。
問い合わせ内容は、メールで受け取れば対応できるので、基本的にはサーバーに保存しない設定にします。その代わり、問い合わせのメールが届かないと気づけなくなるので、ホームページ制作時に送信設定を整え、メールが確実に届くかを確認しておきます。
クレジットカード情報は決済代行会社のページで入力してもらう
ネットショップのクレジットカード決済には、決済代行会社のページに移動してカード番号を入力してもらうリンク型と、自社のページでカード番号を入力してもらうトークン型などがあります。
どちらもカード番号は自社のサーバーに保存されませんが、トークン型は自社のページで入力するので、ホームページを改ざんされると入力中のカード番号を盗み取られるおそれがあります。
リンク型なら、カード番号を入力する画面そのものが決済代行会社のページになり、自社のホームページでカード番号を扱わずに済みます。購入の途中で別のページに移動することになるので、画面のつながりや見た目も含めて、ホームページ制作時にどちらの方式にするかを決めておきます。
保存している不要な個人情報は定期的に削除する
会員情報や注文履歴など、どうしても保存が必要な個人情報もあります。ただ、何年も前に退会した人の情報や、取引が終わった古い注文データまで残しておく必要はありません。保存している期間が長いほど、漏洩したときに含まれる個人情報も増えていきます。
ホームページ制作時には、どの情報をどれくらいの期間残すかを決めておき、期間を過ぎたものは定期的に削除する運用にします。注文データのように、税務や返品への対応で一定期間残す必要があるものは、必要な期間を確認したうえで、それを過ぎたら消すようにします。
当社ではECサイトを中心に公開中のホームページの個人情報収集を見直している
個人情報漏洩の公表が相次ぐようになってから、当社ではこれまでにホームページを制作したお客様に、集める個人情報の見直しを提案しています。中でも、会員情報や注文情報など多くの個人情報を扱うECサイトから優先して進めています。
ECサイトの見直しで中心になるのは、会員登録やカートで入力してもらう項目を削っていくことです。ただし、氏名や住所のように削れない項目もあります。なりすましによる不正な購入を見つける仕組みでは、購入者の氏名や住所などを使って確認を行うので、これらを集めないわけにはいきません。
削れない項目は、それぞれのECサイトで本当に必要な情報だけをサーバーに保管するようにし、不要になった情報はサーバーから消しています。消した情報は、インターネットにつながっていないオフラインのパソコンに保存しておき、注文についての問い合わせなど、何かあったときには確認できるようにしています。
当社が提案した内容を、お客様がすべて実行しているわけではありません。項目ごとに、削った場合にどのような作業が新しく発生するのか、本当に不要な情報なのかを、お客様と一緒に確かめたうえで実行しています。
ECサイトに限らず、問い合わせフォームだけのホームページでも、同じように集める項目や保存している情報を見直すようにしています。
まとめ
AIが悪用されている可能性が高い今の個人情報漏洩は、企業の規模に関係なく、どれだけ対策をしても完全に防ぐことが難しくなっています。中小企業のホームページも狙われる対象で、個人情報が漏洩すれば、個人情報保護委員会への報告や本人への通知、原因の調査などの対応が必要になります。
漏洩を防ぎきれない以上、大事なのは漏洩したときの被害を小さくしておくことです。サーバーに保存していない個人情報は漏洩せず、集める項目が少ないほどユーザーが受ける二次被害を抑えられます。
ホームページ制作時に、問い合わせフォームの入力項目を必要なものだけにする、問い合わせ内容をサーバーに保存しない、クレジットカード情報は決済代行会社のページで入力してもらう、不要な個人情報は定期的に削除する、といったことを決めておけば、集める個人情報を減らした状態で運用を始められます。
すでに公開しているホームページでも、集める項目や保存している情報は見直せます。削れない項目や、削ると作業が増える項目もあるので、項目ごとに本当に不要かを確かめながら、できるところから減らしていくことが大事です。
