先日、ある弁護士の先生とお話ししていて、こんな言葉をいただきました。「予算をかけている大企業ですら情報漏洩するのに、うちみたいな小さな事務所が対策して意味があるの？」「サーバー会社ごとやられたら、こっちは防ぎようがないよね」「最近はAIで攻撃も高度になっているんでしょう。何をやってもすり抜けられるなら、どこまでやればいいのかも分からない」。
連日のように情報漏洩のニュースが報じられ、ホームページの土台となるプログラムそのものに重大な弱点が見つかったと報道されることもあるなかで、同じように感じている先生は多いと思います。そのお気持ちは、もっともです。正直に申し上げて、100%の防御というものは存在しません。
ただ、この「完璧に防げないなら、何をやっても無駄では」という“ゼロか100か”の受け止めこそが、実はサイトの放置を生む最大の原因になっています。そしてもう一つ、「うちはサイトに顧客データを置いていないから関係ない」という油断も重なります。本コラムでは、この2つの思い込みを解きほぐしながら、士業のサイトに本当に必要な“最低限の戸締まり”はどこまでか、を整理します。（以下は法的な助言ではなく、士業サイトを長年制作してきた立場からの注意喚起です。）
① 敵の正体：天才ハッカーではなく「ドアノブを回す空き巣」
まず、大前提の誤解を解きます。先生のサイトを狙っているのは、映画に出てくるような天才ハッカーではありません。
大企業が受けるのは、特定の相手を執拗に狙う「標的型攻撃」です。いわば、巨大な金庫を狙うプロの武装強盗。これはどれだけ警備を固めても、国家級の相手に本気で狙われれば突破されることがあります。先生が「大企業でも防げない」と感じるのは、このタイプの話です。
一方、中小の事務所サイトが襲われるのは、まったく別の攻撃です。深夜の住宅街を歩きながら、片っ端からドアノブを回して、鍵の開いている家を探す空き巣——これに近い。攻撃者は、先生の事務所を名指しで選んでいるわけではありません。自動のプログラム（ボット）が、ネット中のサイトを無差別に巡回し、「古いまま放置されて、鍵の開いているサイト」を機械的に探しているのです。
その規模は、想像以上です。セキュリティ企業ワードフェンス（Wordfence）の報告では、同社が2022年の一年間にブロックした自動ログイン試行（いわゆるクレデンシャル・スタッフィング）は1,590億件を超え、これはWordPressサイトへの攻撃でもっとも多い種類だとされています。「小さな事務所だから狙われない」のではなく、“小さいかどうかを、そもそも人間は見ていない”——これが実態です。近年はAIによって攻撃の一部が安く・速くなったとも言われますが、主役はあくまで、昔からあるこの「自動巡回」です。
② 放置の代償：データがなくても、“加害者”になる
ここで、冒頭の「顧客データを置いていないから大丈夫」という油断に話を移します。
セキュリティ事故の怖さは、「情報を盗まれる（被害者になる）」ことだけではありません。むしろ士業サイトで深刻なのは、乗っ取られたサイトが悪用され、“誰かを攻撃する側（加害者）”にされてしまうことです。士業のドメインは社会的な信頼が高いぶん、犯罪の隠れ蓑として格好の的になります。顧客データの有無は、関係ありません。放置されたサイトが乗っ取られると、たとえば次のようなことが起こります。
一つめは、詐欺サイトへの転送やウイルスの配布。司法書士の先生のサイトを開いた相談者が、その瞬間に偽の投資サイトへ飛ばされたり、パソコンにウイルスを仕込まれたりする。先生のサイトが、知らないうちに“踏み台”にされるのです。
二つめは、ブラウザの「赤い警告画面」。改ざんされたサイトは、Googleのセーフブラウジングなどに危険と判定され、検索からアクセスした相談者に「この先のサイトは危険です」という真っ赤な画面が表示されます。はじめて相談しようとした人は、まず間違いなく引き返します。
三つめは、メールが届かなくなること。サーバーが乗っ取られ、そこから大量の迷惑メールをばら撒かれると、先生のドメインが迷惑メールの送信元としてブラックリストに載ってしまう。すると、顧問先へのいつもの連絡や見積書まで、相手に届かなくなります。
いずれも、「顧客データ」とは無関係に起こる実害です。守るべきなのはデータだけでなく、事務所の信用そのもの——そう捉え直すと、放置の重さが見えてきます。
③ どこまでやればいい？「要塞」ではなく「普通の戸締まり」
では、「どこまでやればいいか分からない」への答えです。結論から言えば、要塞をつくる必要はありません。目指すのは、空き巣に「ここは面倒くさそうだから、隣にしよう」と思わせること。つまり“普通の戸締まり”です。最低限、次の3つを押さえれば、無差別攻撃の多くは寄りつかなくなります。
一つめ、古い鍵を使い続けない——本体・プラグインの更新。WordPressの弱点の多くは、本体そのものではなく、プラグインやテーマに潜んでいます。セキュリティ企業パッチスタック（Patchstack）の調査では、2023年に新しく見つかったWordPressの脆弱性のうち、実に9割以上がプラグイン由来で、本体に起因するものはごくわずかでした。つまり、プラグインまで含めて最新に保つことが、最も効く対策です。
二つめ、初期設定の鍵を使わない——ログインの強化。ログインIDを「admin」のまま使わない、推測されやすいパスワードをやめる、そして二要素認証を入れる。先ほどの“自動ログイン試行”は、まさにここを狙っています。
三つめ、不要な勝手口を閉める——使っていない機能の削除。昔入れたまま使っていないプラグインや、古い問い合わせフォームは、放置すれば侵入口になります。使わないものは消す。これだけで、窓が一つ減ります。
なお、問い合わせフォームへの自動スパムのように、完全には防ぎきれない“いたちごっこ”の部分もあります。そこは割り切って構いません。大事なのは、「やるべき基本はやってある」という状態をつくることです。
④ 「サーバーごとやられたら？」——だからこそ残すべき“事実”
冒頭の弁護士の先生の、もう一つの言葉——「サーバー会社ごとやられたら、防ぎようがない」。これも、そのとおりです。自分の側でどれだけ戸締まりをしても、借りているサーバー自体が攻撃を受ければ、避けられない事故は起こり得ます。
だからこそ、意味を持つのが「やるべき最低限はやっていた」という“事実”を残しておくことです。本体やプラグインを更新していた、バックアップを取っていた、制作会社と最低限の保守契約を結んでいた——こうした記録は、万が一事故が起きたときに、顧問先や相談者に対して「できる手は尽くしていた」と示す材料になります。専門家として求められる注意（いわゆる善管注意義務）を果たしていたかが問われる場面で、この差は小さくありません。（この点は法的な判断を伴いますので、詳しくは弁護士等にご確認ください。）
そして、ここは制作会社として少し逆説的なことを申し上げます。すべてを自力でやる必要はありません。むしろ大切なのは、“賢い施主”になることです。難しい設定を覚えるより、制作会社や保守担当に一言、こう尋ねてみてください——「うちのサイト、更新やバックアップは今どうなっていますか？」。この質問にすぐ答えが返ってこないなら、それ自体が、見直しのサインです。
⑤ まとめ：完璧でなく、「カモから外れる」
セキュリティ対策は、ITの専門知識の話ではありません。先生の事務所の“信用管理”そのものです。
完璧に防げないから放置する——これが、いちばん危ない。目指すのは100%の防御ではなく、「最もカモにされやすい状態」から抜け出すことです。今日できる最初の一歩は、とても小さなもので構いません。管理画面にログインして更新ボタンを押す。あるいは、保守担当に「うちのセキュリティ、今どうなっていますか？」とメールを一通送る。それだけで、放置から一歩抜け出せます。
もし、「自分のサイトが今どういう状態か分からない」という場合は、現状を可視化するところからお手伝いできます。無料のAI検索（AIO）適合度診断や、ホームページ管理サービスのご案内もありますので、気になる方はお気軽にお声がけください。“公開してからが、本当のスタート”——その後押しをするのが、私たちの仕事です。
（参考）
- Patchstack「State of WordPress Security in 2024」（2023年の集計）— 新たな脆弱性の大半がプラグイン由来であることを示した調査 https://patchstack.com/whitepaper/state-of-wordpress-security-in-2024/
- Wordfence「2022 State of WordPress Security Report」— 自動ログイン試行（クレデンシャル・スタッフィング）を2022年に1,590億件超ブロックと報告 https://www.wordfence.com/wp-content/uploads/2023/01/Wordfence-2022-State-of-WordPress-Security-Report.pdf
- Sucuri／GoDaddy Security「Hacked Website Report」— 改ざんされたサイトの悪用傾向（マルウェア配布・踏み台化など） https://www.godaddy.com/resources/news/2021-sucuri-hacked-website-threat-report
- Google セーフブラウジング（Google Safe Browsing）— 危険なサイトに警告を表示する仕組み https://safebrowsing.google.com/
※セキュリティを取り巻く状況は変化します。具体的な対策や法的な評価のご判断は、制作会社・保守担当や各分野の専門家にご相談ください。各数値は調査主体・年によって異なります。
士業のホームページはわたしが担当します
取締役/WEBディレクター 加藤 忠
士業のホームページ制作に20年以上関わってきました。
日本でのインターネット創世記よりホームページをコツコツ作りはじめてかれこれ30年、グラフィックからWebまわりまで制作の人間ならではの、よりリアルで丁寧なご説明をさせて頂きます。今はAI検索（AIO）について日々研究中
有限会社ポーカー・フェイスは、士業特化21年／Web制作30年の実績を誇り、これまでに累計1,300件以上のWebサイト制作・運用に関与してまいりました。
士業分野に特化したWeb関連の専門知識とノウハウを有し、業界を牽引するリーディングカンパニーとして高い評価をいただいています。
有限会社ポーカー・フェイス業務内容【ホームページ制作、リスティング広告運用代行、Web集客、WordPress構築、AI検索（AIO）対策】
最新記事
士業サイトと「AI検索シフト」の現実 ― データが示す、相談者の「最初の一歩」の変化
士業サイトの「AI非表示スイッチ」は押すべきか ― Search Consoleの新機能と、その正しい向き合い方
士業サイトの「AI検索」効果測定入門 ― 表示回数の「多い・少ない」に惑わされないために
