WordPressサイトの侵害で生じる報告義務・信用・売上の負担

復旧費用は損失の一部でしかない

侵害と聞いてまず思い浮かぶ費用は、調査と復旧の作業の費用でしょう。見積もりを取るときも、たいていはこの範囲で考えます。ところが事業への打撃は、その作業と並行して始まり、終わったあとも続きます。

続く負担は3つに分かれます。どれも、調査と復旧の作業とは別に対応が必要になります。閲覧者への攻撃の配信に使われた場合の負担は、3つとは別に後の節で扱います。

• 報告義務：決められた類型に当たる個人データの漏えい等（漏えい、滅失、毀損）が起きた、あるいはそのおそれがあるとき、個人情報保護委員会（権限が委任されている業種では、その事業を所管する大臣）への報告を期限内に済ませ、原則として本人にも通知することになる。
• 取引先への説明と信用：取引先からは、何が起き、どの情報に影響した可能性があるかの説明を求められることがある。踏み台にされてスパムを送れば、ドメインの評価が下がり、普段のやり取りにも響きうる。検索結果やブラウザに警告が出れば、解除まで訪問者が警告を先に見ることがある。
• 売上：サイト経由で受け付けている問い合わせや受注は、止めているあいだ入らない。

どんなときに報告の義務が生じるか

個人情報保護法にもとづく報告義務の有無は、プライバシーマークやISO認証の取得とは関係なく決まります。個人情報をデータベースなどにまとめて事業に使っていれば、取り扱う件数の多寡にかかわらず個人情報取扱事業者に該当します（外部サイト）。5,000人分以下を対象外とする扱いは、2017年5月30日に施行された改正法（平成27年改正）でなくなりました。

安全管理措置についても、規模で変わるのは手法の例です。個人情報保護委員会のガイドライン（通則編）（外部サイト）は、従業員が100人以下の事業者を中小規模事業者とし（過去6か月以内のいずれかの日に、事業に使う個人情報データベース等で識別される本人が5,000人を超えた事業者や、委託を受けて個人データを扱う事業者は除きます）、安全管理措置を円滑に行えるよう、手法の例を示しています。ただし、ほかの事業者と同じく安全管理措置を講じなければならないとしています。ガイドラインの漏えい等の報告の節にも、中小規模事業者を外す記述はありません。

一方で、侵害が起きれば常に報告が必要になるわけでもありません。個人情報保護委員会は、個人データの漏えい、滅失、毀損（あわせて「漏えい等」）が起きたとき、あるいはそのおそれがあるときに、委員会への報告と本人への通知が原則として必要になる場合を4つ挙げています。要配慮個人情報が含まれるとき、不正に使われれば財産的な被害が出るおそれがあるとき、不正の目的をもって行われたおそれのある行為によるとき、そして漏えい等が起きた個人データの本人が1,000人を超えるときです。個人情報保護委員会のガイドライン（通則編）は、本人への通知が難しい場合に、本人の権利利益を守るために必要な代替措置で対応することを認めています。

3つめは、ほかの類型と違って、本人の人数や情報の種類によらず当たり得ます。不正アクセスで個人データを持ち出された場合や、改ざんによって入力された個人情報が第三者へ送られた場合が、これに当たり得ます。ガイドラインは、ランサムウェアなどで個人データが暗号化され、復元できなくなった場合もこの類型の例に挙げています。データが外へ出ていなくても、対象になり得ます。ここでいう個人データには、取得した、または取得しようとしている個人情報のうち、個人データとして扱う予定のもの（データベースなどに入れて検索できる形で管理する予定のもの）も含まれます。ガイドラインは、ウェブサイトの入力ページが第三者に改ざんされ、ユーザーが入力した個人情報がその第三者に送信された場合で、事業者がその入力をデータベースなどへ入れる予定だったときを例に挙げています。フォームに入った直後で、まだデータベースに保存していない入力も対象になり得ます。

ガイドラインは、「おそれ」をその時点で分かっている事実から、事案ごとに蓋然性を考えて判断するとし、漏えい等が疑われるものの確証がない場合がこれに当たるとしています。サイバー攻撃で「漏えい」のおそれに当たり得る例としては、個人データを置いたサーバーなどから、外部からの不正アクセスでデータが盗み出された痕跡がある場合、個人情報を入力させるページのファイルに、入力された情報を盗み出すような改ざんの痕跡がある場合、公的機関や専門家などから漏えいのおそれについて根拠のある連絡を受けた場合などを挙げています。該当するかどうかは事案によって変わります。ここまでの説明だけで自社が対象かどうかを決められるものではありません。迷うときは、個人情報保護委員会の相談窓口、業種ごとに定められた報告先、必要なら弁護士に確かめてください。

そのうえで、時間の制約があります。速報は速やかに行う必要があり、個人情報保護委員会は、事案によるとしたうえで、報告の対象になる事態を知った時点からおおむね3〜5日以内を目安に挙げています。確報は、報告の対象になる事態を知った時点から30日以内、不正の目的による類型では60日以内です。速報までの数日は、原因の調査と報告の準備が重なる時期です。侵害に気づいてから相談先を探し始めれば、その作業がさらに加わります。

WordPress側で個人データを保存している事業者や、個人データとして扱う予定の個人情報をフォームで受け付けている事業者は、侵害が起きれば報告が要るかどうかの判断を迫られます。

「個人情報を持っていない」つもりでも対象になり得る

通販をしていないから個人情報は持っていない。そう考えていないでしょうか。WordPressの問い合わせフォームには、送信内容をデータベースへ保存するものがあります。保存しない設定でも、通知メールやサーバー上のメールボックスに、氏名・メールアドレス・相談内容が残っている場合があります。

報告の対象は、原則として検索できる形にまとめられた「個人データ」です。フォームの記録やメールがその形で管理されているかどうかで、扱いが変わります。個人情報が残っていること自体が、ただちに報告の対象になるわけではありません。一方で、前節の3つめの類型（不正の目的によるもの）では、いずれその形で管理する予定の情報なら、まだその形になっていなくても対象に含まれます。

採用応募の受付、資料請求、セミナー申込でも、問い合わせフォームと同じように、入力された内容が残っている場合があります。会員ページを持っている場合は、これらとは別に、アカウントと認証の情報が関わります。保存の場所と求められる守り方が違うため、問い合わせの記録とは分けて確かめます。フォームの送信記録や会員情報を社内で管理する名簿として意識していなければ、侵害が起きてから、どこに何が保存されていたかを調べ始めることになります。

過去に使っていた機能の記録も残ります。送信内容を保存するフォームのプラグインを無効にしただけなら、送信内容はデータベースに残ります。また、古いバックアップがサーバーに置かれたままになっていることもあります。侵害の範囲を判断するときは、これらも確認の対象に入ります。

第三者に被害が及ぶと、説明の負担が変わる

侵害されたサイトは、第三者への攻撃や不正な配信の経路として使われることがあります。このとき自社は、被害を受けた側でありながら、被害を広げた経路を提供した側にもなります。相手への説明や信頼の回復には、自社の復旧作業とは別の手間がかかります。

立場が変われば、説明の相手が変わります。閲覧者や取引先に影響が及べば、報告義務とは別に、いつからいつまで、どの範囲に影響したのかを社外にも示すよう求められることがあります。記録が残っていなければ、この問いに答えられません。

改ざんされた正規のサイトが、閲覧者への攻撃の配信に使われた例があります。「ClickFix」と呼ばれる手口では、人間かどうかを確かめる偽の確認画面などを閲覧者に見せ、指示どおりに閲覧者自身にコマンドを実行させて感染させます。セキュリティ企業Proofpointは2025年10月（外部サイト）、TA585と呼ぶ攻撃者について、その攻撃が主に改ざんされた正規のサイトを経由して届けられ、選ばれた訪問者にこの手口が仕掛けられていたと報告しました。訪問者を選んで表示される場合、どの閲覧者に影響したかをつかみにくくなります。

閲覧者にコマンドを貼り付けさせる手口を対象とした検知名 HTML/FakeCaptcha による検知の件数は、大きく上下しています。ESETの2025年下半期の脅威レポート（外部サイト）（2025年6月〜11月）によれば、この期間の件数は6万件未満で、160万件を超えていた前の半期からほぼ100%減っています。ESETは同じ箇所で、手口そのものは引き続き使われているとしています。

その後も使われ続けていたことは、次の半期の数に表れています。ESETの2026年上半期の脅威レポート（外部サイト）（2025年12月〜2026年5月）では、同じ検知名での検知の件数が、前の半期（2025年6月〜11月）から108%増えました。ESETによれば、件数は、2025年上半期のレポートで報告した最初の急増のころより少なくなっています。数えたのは同社の製品が集めた検知の記録です。ESETは、2026年に入ってからの増加の傾向から、攻撃者が手を緩めていないとみています。ただ、手口が使われる量は半期ごとに大きく変わり、全体の傾向からは、自社のサイトが経路になっていたかどうかは分かりません。説明に要るのは、自社のサイトの記録です。

踏み台化の具体的な手口を確認する →

信用の低下は取引の場面で表れる

当方の実務で見てきた範囲では、信用の低下は次のような場面で表に出ます。サイトのメール送信機能が大量のスパムに使われると、送信元のドメインやIPアドレスの評価が下がる可能性があります。受信側の判定によっては、見積書や請求書まで迷惑メールとして扱われることがあります。自社の画面では送信できたように見えるため、気づくのが遅れます。

検索エンジンやブラウザが警告を出した場合、警告の種類によっては、復旧のあとに解除の申請や再審査が必要になることがあります。ブラウザの警告画面が出る場合は、そのあいだ、訪問者はサイトより先に警告を見ます。

取引先によっては、侵害を知った時点でセキュリティ体制の確認を求めてきます。原因と対策を示せるかどうかが、取引を続けるかどうかの判断材料になることもあります。侵入経路を特定できないまま復旧してしまうと、この説明は難しくなります。

負担は時間をおいて次々に来る

これらの負担は、侵害が発覚した日にまとめて来るわけではありません。時期をずらして現れるので、技術的な復旧が終わった時点で片づいたと考えやすくなります。

まず動くのは調査と復旧です。そこへ、漏えい等（漏えい、滅失、毀損）の可能性を判断し、必要なら報告する作業が重なります。速報は速やかに行う必要があるので、原因の特定と同時に進めることになります。

取引先への説明はそのあとに来ることもあれば、相手が先に気づいて同時に始まることもあります。何が起き、どの情報に影響した可能性があり、再発を防ぐために何をしたのかを、相手の求める形で説明します。検索エンジンの警告表示やドメインの評価が戻るまでには、さらに時間がかかることがあります。

自社にどこまで及ぶかを見分ける

侵害が起きたとき自社がどこまで負うのかは、次の5点で見当がつきます。どれも侵害の前に確かめられます。攻撃の配信の経路にされた場合の負担は、閲覧者が訪れるサイトならどれにも生じ得るため、5点とは別に見込んでおきます。

• 問い合わせや応募をサイトで受け付けている：フォームの送信内容がデータベースやサーバーのメールに残っていれば、侵害されたときに漏えい等の報告の判断の対象になり得る。サイトに残さず外へ送っていても、個人データとして扱う予定の入力なら、入力の画面が改ざんされた場合も対象になり得る。
• サイトからメールを送っている：自動返信や通知メールの仕組みが不正メールに使われると、ドメインの評価が下がることがある。
• 決済や会員のログイン情報がサイト側に関わっている：カード情報を外部の決済サービスに預けていても、入力の画面やそこへ移るリンク・ボタンが改ざんされれば、入力されたカード番号などが第三者へ送られることがある。個人データとして扱う予定の氏名や連絡先が含まれれば保存の前でも報告の判断の対象になり、送金や決済に使える会員のログインIDとパスワードを自社側で持っていれば、財産的な被害のおそれがある類型にも当たり得る。
• 取引先からセキュリティ体制の確認を受けたことがある：過去に確認を受けた相手からは、侵害時にも説明を求められる可能性がある。
• サイトが止まると困る業務がある：受注・予約・問い合わせがサイト経由なら、止まっているあいだの売上機会を失う。

経路を減らせる範囲もある

ここまでの負担のうち、公開側のWordPressが侵入口や不正配信の経路になる分は、構成を変えれば減らせます。「自社にどこまで及ぶかを見分ける」の5点でいえば、入力の画面の改ざん（1つめと3つめ）、サイトからの不正なメール送信（2つめ）、公開側が侵入されて止まる業務（5つめ）が、この分に当たります。取引先への説明（4つめ）は、構成を変えても求められます。

減らす方法の1つが、ページを事前に作り置きし、公開側でプログラムを動かさないWordPress静的移行です。これで負担の全体がなくなるわけではありませんが、残さざるを得ない範囲（記事を編集するためのWordPressと、そこへのログインの情報、フォームや決済の外部サービス、保存済みのデータの管理）に絞れるため、守るべき箇所を限定できます。

ただし、会員の登録や注文、予約をサイトの中で受け付けている場合は、公開側でプログラムを動かさない構成にできません。その場合は、サイトの作り替えを検討することになります。