※アフィリエイト広告を利用しています。
大手企業の情報漏洩は、他人事ではありません
ここ数か月、大手企業の情報漏洩が相次いで報道されています。
大きな会社で起きていることは、これから中小企業にも広がるおそれがあります。
気づいていないだけで、すでに起きているかもしれません。
弊社も、Webサイトの構築や、システム・アプリの開発をしています。
お客様の情報を預かる立場として、セキュリティ対策の大切さを重く受け止めています。
情報漏洩はどこから始まるのか
報道では、攻撃にAIが悪用された可能性も指摘されています。
ただし、多くの事件は原因を調査中で、AIが使われたかどうかはまだ分かっていません。
弊社は、AIが使われたかどうかよりも、悪意のある人に情報を取られる「材料」や「原因」に目を向けるべきだと考えています。
どれだけ優れたAIでも、手がかりになる材料がなければ、情報を集めることはできません。
公表された原因を見ても、機器やソフトの弱点を突かれたものが多く、昔から言われている弱点が今も原因になっています。
AIは、そうした材料を探す作業を速くする道具になりえます。
だからこそ、材料や原因を先に見つけて取り除いておくことが大切です。
情報を取られる材料や原因になりやすいもの
弊社がこれまでのWebサイト構築とアプリ開発で見てきた中で、悪意のある人に情報を取られる材料や原因になりやすいものは次のとおりです。
- ファイルに書かれたままの APIキーやパスワード
決済やメール配信などのサービスに接続するための「鍵」が、プログラムや設定ファイルにそのまま書かれていることがあります。 - git の履歴に残った秘密情報
ファイルから消しても、変更の履歴に前の内容が残っていることがあります。 - 公開される場所に置かれた設定ファイルやバックアップ
パスワードが書かれた設定ファイル（.env など）や、データベースの丸ごとのコピーが、誰でも開ける場所に置かれていることがあります。 - 古いライブラリ
プログラムが使っている部品に、すでに公表された弱点が残っていることがあります。 - サイトから分かる管理者のユーザー名
WordPress では、設定によってはログインに使うユーザー名を外から調べられます。 - サイトの基本的な守りの設定
http から https への転送や、ブラウザに守り方を指示する設定（セキュリティ用のヘッダー）が入っていないことがあります。
このほかにも、VPN機器の弱点、パスワードだけのログイン、パソコンのウイルス感染、AIへの顧客データの入力なども原因になります。
これらは、次に紹介するツールが調べる範囲の外にあるため、別の対策が必要です。
社内のネットワークや機器の安全性を調べるツールは、別のツールとして公開する予定です。
怖いのは、情報漏洩だけではありません
ホームページを運用している会社の多くは、WordPress を利用されていると思います。
WordPress は多くのサイトで使われているため、弱点（脆弱性）が知られると、多くのサイトが同時に狙われます。
入り込まれたサイトは、次のように悪用されることがあります。
- サイトの改ざん
ページの内容を書き換えられ、偽の情報や、別のサイトへ誘導するリンクを埋め込まれます。 - 不正なファイルやスクリプトの設置
サーバーに不正なプログラムを置かれ、悪意のある目的に利用されます。 - 迷惑メールの送信への悪用
サーバーから、迷惑メールを大量に送ることに利用されます。
上記のようなケースがブラウザやセキュリティソフトに検出されると、次のようなおそれがあります。
- サイトが表示されなくなる
- 調査と復旧の費用がかかる
- 会社の信用を失う
- 最悪の場合、損害賠償を求められる
リスクを事前に回避するために
こうしたリスクの多くは、入り込まれる原因になる弱点を先に直しておくことで、避けやすくなります。
次に紹介する WDSC は、その原因を自社で調べ、ご自身で対策するためのツールです。
たとえば、サイトでは、管理者のユーザー名が外から分かる、xmlrpc.php が公開されている、バックアップや設定ファイルが外から見える、セキュリティ用のヘッダーが足りない、といった点を調べます。
開発環境やシステムでは、ファイルに書かれたままの APIキーやパスワード、git の履歴に残った秘密情報、公開フォルダに置いてはいけないファイル、弱点が公表された古いライブラリなどを調べます。
すでに改ざんの疑いがある場合は、サーバー会社や専門の業者にご相談ください。
弊社でもご相談を承っています。お問い合わせからご連絡ください。
情報漏洩の材料や原因を自分で点検できるツールを作りました
そこで弊社は、これまでの開発で培った点検の手順をまとめ、誰でも使えるツールにしました。
名前は「Webサイト＆開発環境セキュリティチェッカー」（略称 WDSC）です。
Webサイト＆開発環境セキュリティチェッカーWDSC（Windows 版・Mac 版）- 調べる対象は「自分が管理するフォルダ」と「自分が管理するサイト」です。どちらか一方だけでも、両方でも調べられます。
- 見つかった項目を「危険」「注意」「情報」の3段階で評価します。
- 項目ごとに「直し方」の概要を表示します。
- ダブルクリックで起動し、操作はブラウザの画面で行います。コマンドを入力する必要はありません。
- 画面と結果はすべて日本語です。
- Windows 版と Mac 版があります。
調べる項目
WDSC は、改ざんやマルウェアそのものを見つけるツールではありません。
次の項目を調べて、改ざんや情報漏洩の原因になりやすい弱点を見つけます。
フォルダのチェック
| 項目 | 調べること |
|---|---|
| 秘密情報の生書き | APIキーやパスワードなどが、ファイルにそのまま書かれていないか |
| git の履歴と管理対象 | 秘密情報が git の履歴に残っていないか、管理すべきでないファイルが入っていないか |
| 公開フォルダへの混入 | public_html や dist などの公開される場所に、置いてはいけないファイルがないか |
| 依存ライブラリの既知の脆弱性 | package-lock.json などから、弱点が公表されている版を使っていないか |
見つかったキーの値は、先頭4文字のあとを伏せて表示します。
初期設定では、vendor・node_modules・WordPress 本体・プラグインのフォルダの中は調べません。
これらには見本の値が多く含まれ、誤って検出することが増えるためです。
自分で改造したプラグインがある場合は、チェックを入れれば調べられます。
10MB を超える文字のファイルは中身を調べず、「未確認」として表示します。
画像・動画・デザインファイル・Office のファイルは調べません。
サイトのチェック
| 種類 | 調べること |
|---|---|
| 基本チェック | 普通のブラウザでも見える範囲だけを調べます。セキュリティ用のヘッダー、http から https への転送、ユーザー名が外から分からないか、xmlrpc.php、ログイン画面、トップページとそこで読み込むスクリプト（最大30件）に書かれたキー |
| 詳細チェック | .env などの隠しファイルが外から見えていないかを調べます。サイトに確認用のファイルを置き、持ち主だと確認できた場合だけ行います |
WordPress をサブフォルダ（例：https://example.com/wp/）に置いているサイトでも、WordPress の場所を自動で見つけ、見つかったすべての場所を調べます。
そのフォルダの URL を入力しても構いません。
調べる場所は最大6か所です。6か所を超えた場合は、残りの場所を「未確認」として、その URL を表示します。
調べた場所は、レポートの「チェックした内容」に表示されます。
パーマリンクの設定が「基本」のサイトでも、REST API からユーザー名が分かるかを調べます。
サイトのチェックは、「このサイトは自分が管理しています」に同意しないと始められません。
基本チェックは、この同意だけで行えます。
詳細チェックは、ツールが発行する確認用のファイルをサイトに置く必要があります。
ツールがそのファイルを読み取れた場合だけ、詳細チェックを行います。
確認用のファイルを置かなかった場合は、基本チェックだけを行い、詳細チェックは「未確認」と表示します。
詳細チェックの手順
- 画面の「詳細チェック用の確認ファイルを発行する」を押します。画面に、作るファイルの名前と、中に書く1行が表示されます。
- メモ帳などで、表示された1行だけを書いたファイルを作り、表示された名前で保存します。
- そのファイルを、サイトの一番上のフォルダ（トップページと同じ場所）に置きます。FTP ソフトや、サーバーのファイル管理画面を使います。Xserver の場合は public_html の直下です。WordPress をサブフォルダに置いている場合も、サブフォルダではなく一番上のフォルダに置きます。
- 画面に表示される URL をブラウザで開き、ファイルの中身が見えることを確かめます。
- 「置いたので確認する」を押し、「確認できました。」と表示されたら「チェックを始める」を押します。
- チェックが終わったら、置いた確認ファイルを削除します。
※ファイル名と中身にはモザイクをかけています。
確認ファイルは、発行するたびにファイル名も中身も新しくなり、前に発行したものは使えなくなります。
ツールを閉じたときも使えなくなります。
同じファイルを使い回せると、置いたままのファイルを見た他人が、持ち主になりすまして詳細チェックを通せてしまうためです。
ファイルを置き忘れたり、中身が違っていたりした場合は、「確認ファイルを読めませんでした。」と表示され、詳細チェックは行いません。
弊社が管理するサイトで試した結果
弊社が管理する WordPress のサイト4件を、このツールで調べました。
| サイト | 修正前 | 修正後 |
|---|---|---|
| サイトA | 危険0件・注意4件 | 危険0件・注意0件 |
| サイトB | 危険0件・注意5件 | 危険0件・注意0件 |
| サイトC | 危険0件・注意5件 | 危険0件・注意0件 |
| サイトD （WordPress をサブフォルダに設置） | 危険0件・注意5件 | 危険0件・注意0件 |
※見つかった項目は、表示された直し方に沿って修正しました。
このツール自体の安全への配慮
セキュリティを調べるツールが、新たな情報漏洩の原因になっては意味がありません。
次の点に気をつけて作っています。
- キーやパスワードの値は、パソコンの外に送りません。
外に出るのは、使っているライブラリの名前と版番号だけです。これは、公開されている脆弱性のデータベース（OSV）に問い合わせるためです。 - 調べるサイトへのアクセス（ページやファイルを開く回数）には、上限を設けています。相手のサーバーに必要以上のアクセスを送らないためです。
上限は、調べる項目の数から決めています。最大で390回です。アクセスは0.3秒の間隔を空けて送るため、上限に達しても約2分で終わります。
サイトの全ページを巡回するのではなく、決まった場所だけを開くため、サイトの規模が大きくても回数はほとんど変わりません。WordPress の場所が増えると、その分だけ増えます。
上限に達した場合は、残りの項目を「未確認」と表示します。 - 画面は自分のパソコンの中だけで動きます。起動のたびに作られる合言葉がないと操作できません。
- 隠しファイルを調べる詳細チェックは、サイトの持ち主だと確認できた場合だけ行います。
- 画面を閉じてしばらくすると、ツールは自動で終了します。
- WDSC はログ（調べた結果）を残しません。次のチェックを始めたときや、ツールが終了したときに消えます。
残さない理由は、セキュリティのためです。ログには問題のあるファイルの場所や弱点が書かれているため、パソコンに残しておくと、それ自体が情報を取られる材料になります。
残すのは「前回の入力」（フォルダとサイトのアドレス）と「誤検出にした項目」の2つだけです。
あとで見返したい場合や、修正の前後を比べたい場合は、結果の画面の「HTMLで保存」ボタンでレポートを保存してください。保存したレポートはブラウザで開けます。キーやパスワードの値は伏せて表示されます。保存したレポートは、ほかの人が見られない場所に置いてください。
動作環境
- Windows 11
- macOS 26.6（Apple シリコンの Mac）
Intel の Mac でも動くように作っていますが、動作の確認はこれからです。
Mac 版は Apple の公証を受けているため、ダウンロードしたあとに「悪質なソフトウェアかどうかを検証できません」という警告は出ません。
Windows 版は、初めて起動したときに「Windows によって PC が保護されました」と表示されます。
「詳細情報」を押してから「実行」を押すと起動できます。
ほかのツールやサービスとの比較
似た目的のツールやサービスと比べました。
各社の公式サイトで、2026年10月17日に確認した内容です。
| 項目 | WDSC（このツール） | Securify | VAddy | GitGuardian | WPScan | TruffleHog | gitleaks |
|---|---|---|---|---|---|---|---|
| 形式 | パソコンで動くアプリ | クラウドのサービス | クラウドのサービス | クラウドのサービス＋パソコンで動くツール | パソコンで動くツール（脆弱性データはインターネットで問い合わせ） | パソコンで動くツール | パソコンで動くツール |
| 操作 | GUI（ブラウザの画面。コマンド不要） | Web の画面（GUI） | Web の画面（GUI） | Web の画面（GUI）。手元で調べるにはコマンド（CUI） | コマンド（CUI） | コマンド（CUI） | コマンド（CUI） |
| インストール | 不要（zip を展開してダブルクリック） | 不要（ブラウザで使うクラウドのサービス） | 不要（ブラウザで使うクラウドのサービス） | Web の画面は不要。手元で調べるコマンドは、インストーラーや Homebrew で入れる | Mac は Homebrew で入れる（Windows は公式に記載なし） | Homebrew、実行ファイル、Docker のどれかで用意する | Homebrew で入れるか、実行ファイルを置く |
| 日本語 | 画面もレポートも日本語 | 公式サイトは日本語 | 公式サイトは日本語 | 公式の説明は英語 | 公式の説明は英語 | 公式の説明は英語 | 公式の説明は英語 |
| WordPress のチェック | 対応（?author= と REST API からのユーザー名、xmlrpc.php、ログイン画面、公開フォルダの wp-config のバックアップ。サブフォルダに置いた WordPress も、場所を自動で見つけて調べる） | WordPress 診断あり | 公式に記載なし | 公式に記載なし | WordPress 専用（本体の版、プラグイン、テーマ、ユーザー名など） | 公式に記載なし | 公式に記載なし |
| レポートの保存 | 日本語の HTML で保存（ブラウザで開ける） | 日本語の PDF | JSON・SARIF など（コマンドの場合） | ファイルに保存できる（形式は公式に記載なし） | JSON・SARIF など | JSON・CSV・SARIF など | |
| 調べる対象 | フォルダ、git の履歴、依存ライブラリ、公開サイト | 公開サイト、Web API など | Web アプリ | ファイル、リポジトリ | 公開中の WordPress サイト | git、ファイル、クラウドの保管場所など | フォルダ、git の履歴 |
| 支払い方 | 買い切り | サブスク（年間契約） | サブスク（月額・年額） | 無料プランあり。有料プランの契約の形は公式に記載なし | 本体は無料。商用で脆弱性データを使う場合は有料（契約の形は公式に記載なし） | 無料（企業向けの有料版あり） | 無料 |
| 金額 | 先着10本まで 5,980円（以降 9,980円） | 年60万円（1ドメイン、月5万円相当）から | 月19,800円（税別）から | 無料プランは開発者25人まで。有料プランは要問い合わせ | 脆弱性データの無料枠は1日25回（非商用のみ）。商用は要見積り | 0円（企業向けの有料版は金額非公開） | 0円 |
| 調べた中身の送信 | キーの値は送らない（ライブラリの名前と版番号だけ） | 公式に記載なし | 公式に記載なし | ファイルの中身を GitGuardian に送って調べる（保存はしないと公式に記載） | 脆弱性データを WPScan に問い合わせる | 見つけたキーが本物かを、発行元に問い合わせる（止める設定あり） | 公式に記載なし |
※表は横にスクロールできます。
今回比べた中で、コマンド入力が不要で、日本語で使え、買い切りで使えるものは、WDSC だけでした。
無料のツールは、英語の説明を読みながらコマンドを入力して使うものが中心です。
フォルダや git の履歴を調べるツールと、サイトを調べるツールも別々です。
結果も、JSON や SARIF のような、主にプログラムで処理するための形式で保存するものが多くなっています。
コマンドが不要な日本語のサービスは、サイトの弱点を深く調べられる一方で、費用は月に2万円から5万円ほどかかります。
WDSC は、日本語の画面で、手元のフォルダと公開サイトを1回で調べられ、買い切りで使えます。
攻撃用の文字列を送って弱点を探すような、脆弱性診断は行いません。
サイトのプログラム自体の弱点まで調べたい場合は、Securify や VAddy のような診断サービスを併せてご利用いただくことをお勧めします。
価格と入手方法
note で販売しています。
- 価格（買い切り）：先着10本まで 5,980円（以降 9,980円）
- Ver1世代のマイナーバージョンアップは、購入画面で無料提供予定です。
まとめ
大手企業の情報漏洩は、中小企業にとっても他人事ではありません。
攻撃の道具が変わっても、情報を取られる材料や原因になるのは、ファイルに残ったキー、公開された設定ファイル、古いライブラリ、甘い設定といった身近なものです。
まずは自分のフォルダとサイトを調べて、材料や原因を見つけることから始めてみてください。
Yahoo!ショッピング