会員情報 最大約2,252万件が、流出のおそれ
- 入口
- 会員情報を取り出すサイトの裏側の仕組み（API）を、外から不正に使われた
- 学び
- 画面に見えない「裏口」も、狙われる。
ドメインを入れるだけの、無料のサイト診断
御社のサイト、本当に
大丈夫？
ドメインを入れるだけ。攻撃する側と同じ「外側」から御社のサイトを調べ、どこに穴があるかを、社長が読める診断レポートにしてお届けします。
- 診断は無料
- サイトに負荷をかけない・侵入しない
- 結果は専門用語なしで
https:// や「/」より後ろは、自動で外します。サブドメインも指定できます。
最近の事件
- 2026.10PHPサイトを動かす部品に重大な穴（PHP2Shell）。8.1以前は公式の修正なし
- 2026.10ソースネクスト会員情報 最大約2,252万件が流出のおそれ。パスワードも
- 2026.10大阪公立大学ランサムウェアでサーバー約500台が停止。入口は委託先から盗まれたアカウント
- 2026.10GMOリサーチ&AI「infoQ」約89万件の個人情報が持ち出され、ポイントもギフトコードに勝手に交換
- 2026.09タイムズカー約660万アカウントの情報が流出。免許証などの画像も約146万件が外部へ
- 2025.10アスクル通販が止まり、約74万件が流出
- 2025.09アサヒグループ受注と出荷が止まり、全商品の出荷が戻るまで約6か月
最近の事件から
大きな事件も、
入口はいつもの場所でした。
名前を知っている会社が、この数か月で次々と止まり、情報を抜かれています。入られた場所は、VPN の機械、委託先のアカウント、サイトの裏側。どこの会社にもある場所です。
サーバー約500台が止まり、バックアップの多くも暗号化
- 入口
- システムの委託先から盗まれた、正規のアカウント
- 学び
- 委託先の鍵は、自社の鍵と同じ重さ。
約89万件の個人情報が持ち出され、ポイントも勝手に換金
- 入口
- サーバーへの不正アクセス（経路は公表されていない）
- 学び
- お金に換わるポイントも、狙われる。
約660万アカウントの情報と、免許証などの画像 約146万件が外部へ
- 入口
- Web システムへの不正アクセス
- 学び
- 退会した人の分まで残っていた。預かる情報が重いほど、被害も重い。
通販が止まり、約74万件の情報が流出
- 入口
- 委託先の管理者アカウントの一部が、多要素認証の「例外」だった
- 学び
- 例外のアカウント1つで、全部が止まる。
受注と出荷が止まり、全商品の出荷が戻るまで約6か月
- 入口
- グループ拠点の VPN 機器と、弱いパスワード
- 学び
- 本社ではなく、拠点の機械1台から。
ほかにも、毎月のように公表されています。
- 2026年10月リクルート「カーセンサー」最大約371万件の個人情報が漏えいした可能性。同じ仕組みを使う日産・三菱自動車の中古車検索サイトも止まった
- 2026年10月コミックシーモアサービスが止まり、会員の情報が流出。システムの記録からも最大約420万件
- 2026年9月京王グループ営業系のシステムに障害。ランサムウェアの疑い（調査中）
- 2026年8月両毛システムズ（ITベンダー）委託先として預かっていた、顧客の大東ガス 約12.4万件・伊勢崎市 3,789件などに漏えいのおそれ。入口は VPN のアカウント
- 2026年7月ニチレイ冷蔵倉庫の入出庫と、冷凍食品の出荷に影響。53,866件が漏えい
- 2026年7月日本交通電話でのタクシー配車と、ハイヤーの予約が止まった
- 2026年6〜9月デジタル庁職員など約24.6万件。入口は VPN 機器の穴と、保守担当者のアカウント
- 2026年7〜9月ムラウチドットコム顧客 約771万件。入口は Web システムの穴
- 2026年2月穴吹ハウジングサービス（香川）ファイルサーバーから 207,773件の漏えいを確定。ランサムウェアの集団が犯行声明
- 2026年前半パッケージショップJP・ジャストカーテン ほか小さな通販サイトから、カード情報が流出（1,395名・10,423名）
- 2022年小島プレス（部品メーカー）1社の被害で、取引先のトヨタの国内14工場が止まった
出典：各社・各団体の公表と報道（2022年〜2026年10月）。件数は「おそれ」や調査中のものを含みます。
警察庁と IPA の調査から
ランサムウェアの被害、
6割は中小企業です。
123件
2026年1〜6月に、警察へ報告されたランサムウェアの被害。半年としては過去最多です。
約6割
そのうち、中小企業の割合。業種では製造業が約3割で、いちばん多くなっています。
約5割
入られた入口のうち、VPN機器（社外から社内へつなぐ機械）の割合です。
1,000万円以上
復旧にかかった費用。6割の組織で、これだけかかっています。
1か月
1か月以内に戻れた組織は、半分もありません。止まる期間は、長くなっています。
約7割
被害に遭った中小企業のうち、取引先にも影響が出た割合です。
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）、IPA「2024年度 中小企業における情報セキュリティ対策の実態調査」
攻める側に起きていること
攻める側は、もう
「腕」がいりません。
攻撃は分業の商売になり、道具はお金で借りられます。そこに AI が加わり、攻撃のプログラムを作る・直す・回すまでが自動になりました。
81人
2025年に不正アクセスで検挙された248人のうち、14〜19歳の数。およそ3人に1人です。
724万人分
快活CLUB の会員情報。高校生らが ChatGPT で作ったプログラムで抜き取りました。当時小学6年生の少年も、グループにいたとみられています。
1,000回線以上
中高生3人が楽天モバイルに不正ログインして契約し、転売。自動でログインするプログラムを、ChatGPT で作っていました。
19歳
「飲料メーカーがランサムウェアに遭った報道を見て、作って稼ごうと思った」。AI で作ったコードを組み合わせ、ランサムウェアを作った会社員です。
8〜9割
国の支援を受けたとみられるグループが、攻撃の作業の8〜9割を AI にさせていた、という報告（2025年11月）。約30の組織が狙われました。
29分
侵入されてから、社内のほかの機械に広がるまでの平均。いちばん速いもので27秒です。
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、報道（快活CLUB・楽天モバイル）、Anthropic（2025年11月）、CrowdStrike「2026 Global Threat Report」
狙われる理由
「うちは小さいから」
それが、一番危ない。
攻撃する側は、会社を選んでいません。選んでいるのは「穴」です。穴があれば、規模も知名度も関係なく入ってきます。
13,687件
機械が、1日中ドアノブを回している
穴を探す不審なアクセスは、1つの IP アドレスに1日13,687件。前の年より約5割増えました。
4日前
直す前に、もう使われている
サイトを動かす部品 PHP の重大な穴（2026年10月）は、修正版が出る4日前から悪用の試みが見つかっています。
69.7%
守る側の準備が、追いついていない
組織として対策をしていない中小企業の割合。約6割は、対策にお金をかけていません。
攻撃する側が、取りたいもの。
- 止めて、身代金を取るデータを暗号化して仕事を止め、「戻してほしければ払え」と迫る。
- 盗んで、売る・晒す顧客の名簿やカード情報を売る。「払わなければ公開する」と脅す。
- だまして、振り込ませる取引先になりすましたメールで、経理に偽の振込先を伝える。
- 踏み台にして、取引先へ御社から、つながっている取引先や大手へ入る。部品メーカー1社の被害で、トヨタの国内14工場が止まった例もあります。
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、IPA（2026年10月の注意喚起、2024年度 中小企業における情報セキュリティ対策の実態調査）
診断のタイミング
ひとつでも心当たりがあれば、
いまが診断の時期です。
制作会社に作ってもらったきり
更新や点検を、いつ、誰がしているのか分からない。
ITに詳しい人がいない
いても、ひとりだけ。その人が辞めたら、パスワードの場所も分からない。
お客さまの情報を預かっている
問い合わせ・会員・取引先の情報が、サイトやメールの中にある。
だから、セキュリティ診断。
守りを固める前に、まず、どこが開いているかを外から見ます。
申し込みから診断レポートまで
ドメインを入れたら、
あとは任せてください。
-
01
受付
ドメインを入れる
入れるのはドメインだけ。続けて、お名前とご連絡先を入れ、サイトの管理者であることを確かめたら受付完了です。
-
02
診断
攻撃する側と同じ「外側」から見る
見るのは、公開されている情報と、サイトのふつうの応答だけ。サイトに負荷をかけたり、侵入を試したりはしません。
-
03
レポート
社長が読める診断レポートをお届け
専門用語を使わない診断レポートを、5営業日以内にメールでお送りします。ご希望なら、30分のオンラインで、画面を見ながらご説明します。
-
04
手当て
直すところまで、一緒に
直す順番と、誰がやるかを決めます。制作会社への伝え方から、直す作業そのものまで、ご相談いただけます。
診断レポートの中身
診断レポートで、
ここまで分かります。
6つの項目をA〜Dの4段階で判定し、最後に「直す順番」をつけます。健康診断の結果と同じ読み方です。
A問題なし
B様子を見る
C早めに直す
Dすぐ直す
-
通信の暗号化
証明書の期限が切れていないか。古い暗号のやり方が残っていないか。
-
なりすましメール対策
御社のドメインを名乗る偽メールを防ぐ設定（SPF・DKIM・DMARC）が入っているか。
-
外から見える入口
管理画面やログイン画面、公開しなくていいファイルが、誰からも見えていないか。
-
古いソフトウェア
サイトを動かす部品（PHP・WordPress など）の版を、公開されている既知の穴の情報（CVE）と照らし合わせます。
-
漏れた情報
御社のドメインのメールアドレスが、公開されている過去の漏えい情報に含まれていないか。
-
サイトの守りの設定
ブラウザに「この守り方で表示して」と伝える設定（セキュリティヘッダー）が入っているか。
-
攻撃の筋道と、直す順番
見つかった穴をつなげると何が起きうるか。どこから、誰が直せばいいか。社長が決められる形でまとめます。
診断レポート見本
example.co.jp診断日 2026.10.29
Dすぐ直す1
C早めに直す2
B様子を見る1
A問題なし2
- D古いソフトウェアPHP 7.4 で動いています。2022年11月に公式サポートが終わった版です。
- Cなりすましメール対策DMARC が未設定。御社の名前で、偽のメールを送られうる状態です。
- Cサイトの守りの設定6つのうち2つだけ入っています。
- B外から見える入口管理画面のログイン画面が、誰からも見えます。
- A通信の暗号化証明書と暗号の設定に、問題はありません。
- A漏れた情報公開されている漏えい情報に、該当はありません。
直す順番：① PHP の版上げ（制作会社へ）→ ② DMARC の設定（メールの管理者へ）→ ③ ログイン画面の制限。架空のサイトの見本です。
外から見える情報
このページを開いただけで、
これだけ分かります。
表に並んでいるのは、いまあなたのブラウザが、このページに自動で差し出している情報です。表示はあなたの画面の中だけで作っていて、どこにも送っていません。
攻撃する側も、まず「外から見える情報」を集めるところから始めます。御社のサイトやメールの設定も、同じように外から見えています。
御社のサイトを診断する- 端末・OS
- —
- ブラウザ
- —
- 画面の大きさ
- —
- 言語
- —
- タイムゾーン
- —
- CPU の数
- —
- どこから来たか
- —
- IPアドレスと地域
- このページのサーバーには届いていますネット上の住所です。ここには表示しません。
診断レポートでは、御社のサイトについて「外から何が見えているか」を同じようにまとめます。
料金
まずは、無料の診断から。
サイトを見る
セキュリティ診断
外から見える穴を調べて、診断レポートをお届けします。
無料
- 6項目の診断と、A〜Dの判定
- 直す順番つきの診断レポート（PDF）をメールで
- 30分のご説明（希望制・オンライン）
申し込みは、ドメインとご連絡先だけです。
無料で診断するすぐ直す
今すぐ緊急対応
診断で見つかった穴を、ご依頼の当日からふさぎにかかります。1回だけのご依頼で、月額の契約はいりません。
5万円（税別）
- 即日対応（ご依頼の当日に着手）
- 「直す順番」の上から、穴をふさぐ作業
- なりすましメール対策や、ログイン画面の制限などの設定
- 直したあと、もう一度診断して確かめる
作業の範囲は、取りかかる前にお伝えします。サーバーの引っ越しやサイトの作り直しは、別にお見積りします。
守り続ける
守りまで預かる社外CTO
決める人が社内にいない会社へ。守りの判断を、毎月引き受けます。
9.8万円〜／月（税別）
- 毎月の診断と、変化があったときのお知らせ
- 直す順番の判断と、制作会社・業者への指示
- AIやITを入れるときの、守りの設計
直す作業まで任せる場合は、月19.8万円（税別）です。
表示価格は税別です。外部サービスの利用料は別途かかります。診断は、すべての攻撃を防ぐことをお約束するものではありません。
運営者
診断するのは、
この人です。
YAOYOROA代表／エンジニア
辻本 拳也Kenya Tsujimoto
海外の IT 企業で、エンジニア100人の採用とマネジメントを担い、開発拠点を10年運営。システムを「作る側」の現場で、どこが放置され、どこに穴が残りやすいかを見てきました。
リクルートでは中小企業の社長の現場に入り、業務のデジタル化を実行。自身でも3つの事業（D2C・IT・フィンテック）を経営し、社長が何に困り、何にお金を出せるかを、経営の側から知っています。
いまは AI エージェントを自らコードで組み、攻撃する側と同じ「外側」から、中小企業のサイトとシステムを診断します。見つけて終わりにせず、直す順番と、誰が直すかまで決めて、社外 CTO として守り続けます。
- 120人エンジニアの採用・マネジメント
- 10年開発拠点の運営
- 30年武道歴（拳法五段）
武道で30年、身を守る技を磨いてきました。会社にも、護身術を。
大阪府出身。同志社大学法学部。株式会社リクルートに新卒で入社。
運営会社
- 事業者名
- YAOYOROA（八百万阿）
- 代表者
- 辻本 拳也
- 所在地
- 大阪府大阪市北区梅田1-1-3 大阪駅前第3ビル 29階
- 事業内容
- 中小企業の社外 CTO・内製化の代行・AI の導入支援・セキュリティ診断
- お問い合わせ
- info@yao-yoro-a.com
- ウェブサイト
- yao-yoro-a.com
よくある質問
申し込む前に、気になること。
うちのような小さな会社も、狙われますか。
狙われます。2026年上半期のランサムウェア被害のうち、約6割は中小企業でした。攻撃する側は機械で穴を探し、見つかった所から入るので、会社の規模は関係ありません。取引先の大手へ入るための「入口」として狙われることもあります。
本当に無料ですか。なぜ無料なのですか。
無料です。診断のあとに、直す作業や毎月の守りをご相談いただくことがあるからです。診断だけで終わっても、費用はかかりません。
結果はいつ届きますか。
お申し込みから5営業日以内に、診断レポート（PDF）をメールでお送りします。申し込みが重なったときは、先に目安の日をご連絡します。
診断で、サイトに負荷や影響はありませんか。
見るのは、公開されている情報と、サイトのふつうの表示・応答だけです。大量のアクセスや、ログイン・侵入を試すことはしません。サイトが止まったり、遅くなったりすることはありません。
自社のサイトでなくても申し込めますか。
申し込めません。診断できるのは、サイトの管理者か、管理者から許可を得た方のお申し込みだけです。制作会社にお任せのサイトでも、御社のサイトであれば申し込めます。
メールアドレスがサイトと別のドメインのときは、管理者であることを確かめるご連絡をすることがあります。
入力した情報や、診断の結果はどう扱われますか。
診断とご連絡のためだけに使います。診断の結果は、お申し込みいただいた方以外には渡しません。詳しくはプライバシーポリシーをご覧ください。
診断をすれば、攻撃をすべて防げますか。
いいえ。無料の診断は、外から見える範囲の確認で、いまの状態を知る最初の一歩です。社内のパソコン・VPN・委託先まで含めた会社全体の守りは、「守りまで預かる社外CTO」でご相談ください。
誰が診断しますか。
代表の辻本 拳也（YAOYOROA代表／エンジニア）が、責任を持って見ます。経歴は運営者をご覧ください。
穴は、先に
見つけた人のものに
なる。
先に見つけるのが御社か、攻める側か。
入れるのはドメインだけ。
診断は無料です。