日系中小企業のホームページ346社 セキュリティリスク実態調査結果（2026年11月）
6割の企業で高リスクの問題を確認。3割の企業では、WordPressのログインIDが外から見える状態
株式会社ガーディアンは、日系中小企業のホームページ346社を対象に、サイトの外から確認できる情報によるセキュリティ診断を行いました。その結果、212社（61.3%）で、悪用されると改ざんや情報漏えいにつながる可能性がある高リスクの問題が1つ以上確認されました。また、WordPressの管理画面のログインに使うIDが外から分かる状態が、108社（31.3%）で確認されました。
346社中212社
345社中108社
346社中262社
346社中191社
背景と目的
背景
ホームページは、会社の案内や問い合わせの窓口として、規模を問わず多くの企業が持っています。一方で、公開した後のソフトウェアの更新や設定の見直しは後回しになりやすく、攻撃の入口になることがあります。情報処理推進機構（IPA）の「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、不正アクセスを受けた企業が挙げた手口として「脆弱性」が48.0%で最も多く、被害を受けた企業の約7割が「取引先にも影響があった」と回答しています。
中小企業のセキュリティの実態は、これまで主にアンケートによって調べられてきました。アンケートは、対策への意識や取り組みを知るうえで欠かせない一方、実際のホームページが外からどう見えているかまでは分かりません。また、IPAの同じ調査では、困ったときの相談先が「特にない」企業が50.8%にのぼり、自社のホームページの状態を知る手段が限られていることがうかがえます。
目的
本調査は、日系中小企業のホームページを、攻撃する側と同じく「サイトの外から見える情報」で診断し、次の3つを明らかにすることを目的としています。
- 中小企業のホームページに、どのようなセキュリティ上の問題が、どのくらいの割合で残っているか
- 経営者と担当者が、どこから手を付ければよいか（対策の優先順位）
- 同じ分類と判定基準で毎月集計し、状況の変化を継続して示すこと
主な調査結果
- 346社中212社（61.3%）で、高リスクの問題を確認。2つ以上確認されたのは78社（22.5%）でした。何らかのセキュリティ上の課題が確認されたのは308社（89.0%）です。
- WordPressのログインに使うIDが外から分かる状態を、345社中108社（31.3%）で確認。そのうち85社では、更新されていないソフトウェアも確認されました。ログインの入口と、既知の脆弱性が同じサイトに重なっています。
- ソフトウェアの更新に関する問題を262社（75.7%）で確認。高リスクと判定された企業の多く（190社）が、この分類に当たります。CMSの本体が更新されていないサイトは195社（56.4%）でした。
- 公開を想定しない情報が外から見える状態を191社（55.2%）で確認。サーバーの設定や、公開領域に残ったファイルによるものです。
- 1社あたりの該当数は中央値で2件。問題が確認されなかったのは38社でした。
実態調査の概要
| 調査名 | ホームページ セキュリティリスク実態調査（2026年11月号） |
|---|---|
| 調査主体 | 株式会社ガーディアン |
| 調査対象 | 日系中小企業のホームページ 346社（当社が診断を完了した企業。WordPressのログインIDの確認は345社） |
| 集計日 | 2026年11月12日 |
| 調査方法 | 当社調査による結果です。公開されているホームページにインターネット経由でアクセスし、外部から確認できる情報を調べています |
| 結果の示し方 | 個別の確認内容は公表せず、「ソフトウェアの更新」「公開を想定しない情報の露出」「サーバー・通信の設定」「ログイン・セッションの保護」の4つの分類と、WordPressのログインIDの露出で示しています |
| リスクの判定 | 当社の判定基準による。「高リスク」は、既知の脆弱性がある、または公開を想定しない情報が外部から取得できる状態で、悪用されると改ざんや情報漏えいにつながる可能性があるもの。「中リスク」は、単独では被害につながりにくいものの、ほかの問題と組み合わさると悪用の手がかりになりうるもの |
| 公表の範囲 | 企業名・URLなど、個別の企業が特定できる情報は公表しません |
経営者の方へ：この結果から確認していただきたいこと
今回の結果は、ホームページを公開した後の更新と設定の見直しが、多くの企業で行われていないことを示しています。ホームページの管理を外部に任せている場合も、次の5点を、担当の制作会社や保守会社に確認することをおすすめします。
- CMS（WordPressなど）の本体と拡張機能は、最新の状態になっているか。最後に更新したのはいつか。
- 使っていない拡張機能や、古いバックアップなどのファイルが、公開された場所に残っていないか。
- 管理画面のログインIDが外から分からないようになっているか。2段階認証は設定されているか。
- 公開後の更新と点検を、誰が、どのくらいの間隔で行う取り決めになっているか。
- 改ざんや情報漏えいが起きたとき、誰に連絡し、どこまで対応してもらえるか。
161.3%の企業で、高リスクの問題を確認
346社中212社で、高リスクの問題が1つ以上確認されました（95%信頼区間 56.0〜66.3%）。
高リスクの問題が2つ以上確認された企業は78社（22.5%）でした。高リスクの問題は無く、中リスクの問題だけが確認された企業は96社、問題が確認されなかった企業は38社です。当社の判定基準で最も重い段階に当たる問題は、今回の対象では確認されませんでした。
企業ごとに、確認された問題のうち最も高いリスクの段階で分類。
23社に1社で、WordPressのログインIDが外から分かる状態
345社中108社で、WordPressの管理画面へのログインに使うIDが、外部から分かる状態でした（95%信頼区間 26.6〜36.4%）。
WordPressの管理画面には、ログインIDとパスワードでログインします。ログインIDが外から分かると、攻撃する側はパスワードだけを推測すればよくなり、パスワードを次々に試す攻撃の手がかりになります。確認された企業のうち53社では、2つ以上のログインIDが分かる状態でした。
ログインIDが分かる状態だった108社のうち85社（78.7%）では、セキュリティ修正が反映されていないCMSの本体または拡張機能も確認されました。ログインの入口が見えている状態と、既知の脆弱性が残っている状態が、同じサイトで重なっていることがうかがえます。ログインIDが分かること自体は脆弱性ではありませんが、ほかの問題と重なると、管理画面の乗っ取りにつながる可能性が高まります。
3分類ごとの結果：最も多いのはソフトウェアの更新に関する問題
1つの企業で複数の分類に当たる場合があります。
| 分類 | 内容 | 該当 | うち高リスク | 割合 | 95%信頼区間 |
|---|---|---|---|---|---|
| ソフトウェアの更新 | CMSの本体、拡張機能、画面の動きを作る部品などに、セキュリティ修正が反映されていないものがある | 262 | 190 | 75.7% | 70.9–79.9% |
| 公開を想定しない情報の露出 | サーバーの設定や、公開された場所に残ったファイルによって、外部に見せる必要のない情報が確認できる | 191 | 9 | 55.2% | 49.9–60.4% |
| サーバー・通信の設定 | 使われていない機能が有効になっているなど、サーバーや通信の設定に見直しが必要な点がある | 51 | 1 | 14.7% | 11.4–18.9% |
| ログイン・セッションの保護 | ログインの状態を守るための設定が足りない | 34 | 25 | 9.8% | 7.1–13.4% |
| ログインIDの露出 | WordPressの管理画面のログインに使うIDが外から分かる（別の診断、345社） | 108 | — | 31.3% | 26.6–36.4% |
表1．分類ごとの結果（n=346。WordPressのログインIDは345社）。「うち高リスク」は、その分類の問題を高リスクと判定した企業数です。
44社に3社で、ソフトウェアの更新に関する問題
ホームページを動かすソフトウェア（CMSの本体、拡張機能、画面の動きを作る部品など）に、セキュリティ修正が反映されていないものが含まれている状態は、262社（75.7%）で確認されました。高リスクと判定された企業の多く（190社）が、この分類に当たります。
バージョン情報による判定のため、古いバージョンのまま個別に修正している場合も含みます。
いずれも、ホームページを公開した後に、ソフトウェアの更新が行われていないことで生じます。公開後の更新を誰が担当するかが決まっていない場合に、こうした状態が続きやすいことがうかがえます。2026年7月には、WordPress本体の重大な脆弱性が公表され、短期間で攻撃に使われる状況となりました。
52社に1社で、公開を想定しない情報が外から見える状態
サーバーの設定や、公開された場所に残ったファイルによって、本来は外部に見せる必要のない情報が確認できる状態は、191社（55.2%）で確認されました。多くは中リスクにとどまるものの、9社では、システムの設定情報など、悪用されると被害につながりうる情報が含まれていました。
サイトの移転やリニューアルの際に作られたファイルや、制作の途中で使った設定が、そのまま残っている例が考えられます。
6設定の見直しで防げる問題も、一定の割合で確認
サーバー・通信の設定に関する問題は51社（14.7%）、ログイン・セッションの保護に関する問題は34社（9.8%）で確認されました。後者のうち25社は高リスクと判定しています。いずれも、多くはサーバー会社や制作会社に設定の変更を依頼することで解消できる種類の問題です。
71社あたりの該当数は中央値2件
問題が確認されなかった企業は38社でした。一方で、5件以上が確認された企業も44社あり、同じ企業の中で複数の問題が重なっている状況がうかがえます。
8推奨する対策
根本的な対策ソフトウェアを最新に保つ体制を決める
CMSの本体、拡張機能、サイトで使っている部品を一覧にし、それぞれが最新の状態かを、制作会社や保守会社に確認してもらいます。更新はバックアップを取ったうえで行い、使っていない拡張機能は停止ではなく削除します。
あわせて、公開後の更新を誰が、どのくらいの間隔で確認するかを、保守の契約や社内の担当で決めておくことが、同じ状態の繰り返しを防ぎます。
根本的な対策管理画面のログインを守る
WordPressは、初期の設定のままだと、ログインに使うIDが外部から分かる場合があります。自社のサイトが当てはまるかどうかは、制作会社や保守会社に確認を依頼してください。
対策は、①投稿に表示される名前をログインIDと別のものにする、②ログインIDが外部から分からないよう、設定を見直す、③ログインに2段階認証を設定し、試行の回数を制限する、の3つです。あわせて、推測されにくい長いパスワードに変更します。
根本的な対策公開を想定しない情報を外に出さない
公開された場所に、古いバックアップや設定のファイルなど、公開を想定していないものが残っていないかを、サーバーの管理者に確認してもらい、不要なものは削除します。パスワードや鍵などが含まれていた場合は、すでに読み取られている可能性があるため、作り直します。
保険的な対策サーバーとログインの設定を見直す
使っていない機能を無効にし、ログインの情報を守るための設定が入っているかを、サーバー会社や制作会社に確認してもらいます。設定を変えたあとは、主要なページの表示とお問い合わせフォームの送信を確かめます。
9よくある質問
- 中小企業のホームページで多いセキュリティの問題は何ですか？
- 2026年11月の調査では、ソフトウェアの更新に関する問題が346社中262社（75.7%）で最も多く、公開を想定しない情報の露出が191社（55.2%）で続きました。いずれも、公開後の更新や設定の見直しが行われていないことで生じるものです。
- WordPressのログインIDが外から分かると、何が危ないのですか？
- 管理画面へのログインに必要な情報のうち、IDが分かることで、攻撃する側はパスワードだけを推測すればよくなります。今回の調査では、ログインIDが分かる状態だった108社のうち85社で、更新されていないソフトウェアも確認されました。
- 「高リスク」とはどういう意味ですか？
- 当社の判定基準で、既知の脆弱性がある、または公開を想定しない情報が外部から取得できる状態で、悪用されると改ざんや情報漏えいにつながる可能性があるものを指します。CVSSなど共通の評価基準による深刻度とは異なります。
- 問題が確認されたら、すでに攻撃されているということですか？
- いいえ。外から見える状態として、攻撃の手がかりになりうるものが確認されたという意味です。攻撃が成立したことや、情報が漏えいしたことを示すものではありません。
- どのような項目を確認しているのですか？
- 悪用につながるおそれがあるため、個別の確認内容は公表していません。結果は、ソフトウェアの更新、公開を想定しない情報の露出、サーバー・通信の設定、ログイン・セッションの保護の4つの分類で示しています。
- この調査は定期的に行っていますか？
- 毎月、当社が診断した中小企業のホームページを対象に、同じ分類と判定基準で集計して公開しています。判定基準を変える場合は、その号で変更点を明記します。
- 自社のホームページも診断できますか？
- 新・七つの大罪の無料診断で、セキュリティの最も基礎的な項目と、WordPress製のホームページの場合はログインIDが外部から確認できる状態になっていないかを確かめ、その診断結果をお申し込みの当日中に受け取れます。確認された問題の対策についても、あわせてご相談いただけます。
10用語の解説
- 高リスク・中リスク
- 当社の判定基準による段階です。高リスクは、既知の脆弱性がある、または公開を想定しない情報が外部から取得できる状態で、悪用されると改ざんや情報漏えいにつながる可能性があるもの。中リスクは、単独では被害につながりにくいものの、ほかの問題と組み合わさると悪用の手がかりになりうるものです。CVSSなどの共通の評価基準による深刻度とは異なります。
- CMS（コンテンツ管理システム）
- WordPressなど、専門知識がなくてもホームページの更新ができる仕組みです。
- ログインID
- WordPressの管理画面にログインするときに、パスワードと一緒に入力する名前です。外部から分かると、パスワードを推測する攻撃の手がかりになります。
- 外部診断
- サイトの外から確認できる情報をもとに行う診断です。サーバーの内部やログインが必要な画面は確認しません。
- 参考：OWASP Top 10（2021年版）との対応
- ソフトウェアの更新に関する問題は「A06 脆弱で古くなったコンポーネント」、公開を想定しない情報の露出とサーバー・通信の設定は「A05 セキュリティの設定ミス」、ログインIDの露出とログイン・セッションの保護は「A07 識別と認証の失敗」に関係します。
11調査主体について
| 会社名 | 株式会社ガーディアン |
|---|---|
| 設立 | 2011年2月4日 |
| 代表者 | 代表取締役 青山裕一 |
| 拠点 | 東京本社、京都、大阪、福岡、札幌 |
| 事業 | 中小企業のホームページの制作と、公開後の運用・改善の支援。ホームページのセキュリティ診断、表示に関する法令の診断、集客の診断 |
| 運用の実績 | 運用するサイト数 76,325サイト（2026年10月時点） |
| 運用の体制 | 24時間365日の有人監視。15年間、事故の確認なし。直近365日のサーバー稼働率99.74273%（2026年11月13日時点） |
| セキュリティの情報発信 | サイバー攻撃の手口と対策の解説（サイバー攻撃・セキュリティ対策）、国内のサイバー攻撃の被害を毎日まとめる事例速報 |
執筆・分析：久保日向太（株式会社ガーディアン 営業グループ長）。数値の集計と確認は、当社の分析担当が行っています。
12参考資料
- 独立行政法人情報処理推進機構（IPA）「2024年度 中小企業における情報セキュリティ対策に関する実態調査」 https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html
- 独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方」 https://www.ipa.go.jp/security/vuln/websecurity/about.html
- OWASP Foundation「OWASP Top 10:2021」 https://owasp.org/Top10/
13引用について・更新履歴
主な数値（引用の際は、調査対象と調査時点をあわせて記載してください）
| 数値 | 値 |
|---|---|
| 高リスクの問題が1つ以上確認された企業 | 346社中212社（61.3%、95%信頼区間 56.0〜66.3%） |
| WordPressのログインIDが外から分かる状態の企業 | 345社中108社（31.3%、95%信頼区間 26.6〜36.4%） |
| 上記のうち、更新されていないソフトウェアも確認された企業 | 108社中85社（78.7%） |
| ソフトウェアの更新に関する問題 | 346社中262社（75.7%） |
| 公開を想定しない情報の露出 | 346社中191社（55.2%） |
| 何らかのセキュリティ上の課題が確認された企業 | 346社中308社（89.0%） |
本レポートを引用する際は、出典として「株式会社ガーディアン『日系中小企業のホームページ346社 セキュリティリスク実態調査結果（2026年11月）』」と、本ページへのリンクを記載してください。
報道関係のお問い合わせ：株式会社ガーディアン（お問い合わせフォーム）
判定基準：v1.0（2026年11月号）｜次号（2026年12月号）は2026年12月に公開予定
更新履歴：2026年11月13日 公開
