復旧費用は損失の一部でしかない
侵害と聞いてまず思い浮かぶ費用は、調査と復旧の作業でしょう。見積もりを取るときも、たいていはこの範囲で考えます。ところが事業への打撃は、その作業と並行して始まり、終わったあとも続きます。
続く負担は3つに分かれます。どれも、調査と復旧の作業とは別に対応が必要になります。
- 法的リスク：決められた類型に当てはまる個人データが漏れた、あるいは漏れたおそれがあるとき、個人情報保護委員会（業種によっては委任先の省庁）への報告と本人への通知を期限内に済ませることになる。
- 信用リスク：踏み台にされてスパムを送れば、ドメインの評価が下がることがある。取引先との普段のやり取りにも響きうる。
- 売上リスク：サイトを止めているあいだ、問い合わせも受注も入らない。検索結果に警告が付けば、解除まで訪問者は警告画面を先に見る。
攻撃の段階
- 1
侵入
脆弱性や弱いパスワードを突いてサイトの内部に入られます。ここまでは、このあとどの被害につながるかに関わらず共通です。
- 2
保存されたデータへの到達
問い合わせの記録や会員情報に手が届く状態になると、報告義務の判断が必要になる範囲に入ります。
- 3
配信・送信の悪用
同じ侵入から、閲覧者への不正な配信やスパム送信に使われることがあります。2と3のどちらか一方だけの場合もあります。
- 4
発覚と対応の開始
第三者の指摘や警告表示で侵害が判明します。運営者は、報告の要否、停止中の業務、取引先への説明を同時に抱えます。
どんなときに報告の義務が生じるか
個人情報保護法にもとづく報告義務の有無は、プライバシーマークやISO認証の取得とは関係なく決まります。個人情報をデータベースなどにまとめて事業に使っていれば、取り扱う件数の多寡にかかわらず個人情報取扱事業者に該当します（外部サイト）。5,000人分以下なら対象外という規定は、2017年5月30日に廃止されました。一定の中小規模事業者には、安全管理措置を履行する手法として簡易な例も示されています。ただし措置の義務そのものが緩むわけではなく、漏えい等の報告義務が免除される制度でもありません。
ただし、漏えいが起きれば常に報告が必要になるわけでもありません。個人情報保護委員会は、個人データが漏れたとき、あるいは漏れたおそれがあるときに、委員会への報告と本人への通知が原則として必要になる場合を4つ挙げています。要配慮個人情報が含まれるとき、不正に使われれば財産的な被害が出るおそれがあるとき、不正の目的をもって行われたおそれのある行為によるとき、そして漏えいした個人データの本人が1,000人を超えるときです。本人への通知には例外があり、通知が難しく、本人の権利利益を守るための代替措置をとる場合が当たります。
3つめを見落としがちです。不正アクセスで個人データを持ち出された場合や、改ざんによって入力された個人情報が第三者へ送られた場合が、これに当たります。問われるのは不正アクセスの有無ではなく、不正の目的をもって行われたおそれのある行為によって、個人データが漏れたか、漏れたおそれが生じたかどうかです。そして、この類型に人数の要件はありません。本人が1,000人以下でも報告対象になり得ます。
該当するかどうかは事案によって変わります。ここまでの説明だけで自社が対象かどうかを決められるものではありません。迷うときは、個人情報保護委員会の相談窓口、業種ごとに定められた報告先、必要なら弁護士に確かめてください。
そのうえで、時間の制約があります。速報は速やかに行うのが原則で、個人情報保護委員会は発覚から3〜5日以内を目安に挙げています。確報は発覚から原則30日以内、不正の目的による類型では60日以内です。侵害に気づいてから相談先を探し始めれば、原因の調査と報告の準備を同時に進めることになります。
WordPress側に個人データを保存している事業者は、侵害が起きればこの判断を迫られます。
「個人情報を持っていない」つもりでも対象になる
通販をしていないから個人情報は扱っていない。そう考えていないでしょうか。WordPressの問い合わせフォームには、送信内容をデータベースへ保存するものがあります。保存しない設定でも、通知メールやサーバー上のメールボックスに、氏名・メールアドレス・相談内容が残っている場合があります。
報告の対象になるのは、検索できる形にまとめられた「個人データ」です。フォームの記録やメールがその形で管理されているかどうかで、扱いが変わります。個人情報が残っていること自体が、ただちに報告の対象になるわけではありません。
採用応募の受付、資料請求、セミナー申込でも、入力された内容が同じように残ります。会員ページを持っている場合は、これらとは別に、アカウントと認証の情報が関わります。保存の場所も守り方も違うため、同じ扱いにはできません。フォームの送信記録も会員情報も、社内で管理する名簿としては意識されないまま溜まります。そのため、侵害が起きてから、どこに何が保存されていたかを調べ始めることになります。
過去に使っていた機能の記録も残ります。フォームのプラグインを無効にしただけなら送信内容はデータベースに残り、古いバックアップがサーバーに置かれたままになっていることもあります。侵害の範囲を判断するときは、これらも確認の対象に入ります。
第三者に被害が及ぶと、説明の負担が変わる
侵害されたサイトは、第三者への攻撃や不正な配信の経路として使われます。このとき自社は、被害を受けた側でありながら、被害を広げた経路を提供した側にもなります。相手への説明や信頼の回復には、自社の復旧作業とは別の手間がかかります。
立場が変われば、説明の相手が変わります。影響が自社内に限られるなら、説明する先も社内で足ります。閲覧者や取引先に影響が及べば、いつからいつまで、どの範囲に影響したのかを社外にも示すことになります。記録が残っていなければ、この問いに答えられません。
手口も広がっています。「ClickFix」と呼ばれる手口では、閲覧者に「エラーを直すため」などと称して画面の指示どおりの操作をさせ、その操作によって感染させます。セキュリティ企業ESETの2025年上半期の脅威レポート（外部サイト）によれば、この検知件数は2024年下半期からの半年で500%を超えて増えました。改ざんされたサイトは、こうした手口を閲覧者へ配る場所として使われます。
信用の低下は取引の場面で表れる
信用の低下は、次のような場面で表に出ます。サイトのメール送信機能が大量のスパムに使われると、送信元のドメインやIPアドレスの評価が下がる可能性があります。受信側の判定によっては、見積書や請求書まで迷惑メールとして扱われます。自社の画面では送信できたように見えるため、気づくのが遅れます。
検索エンジンやブラウザが警告を出した場合、警告の種類によっては、復旧のあとに解除の申請や再審査が必要になります。そのあいだ、訪問者は警告画面を先に見ます。
取引先によっては、侵害を知った時点でセキュリティ体制の確認を求めてきます。原因と対策を示せるかどうかが、取引を続けるかどうかの判断材料になることもあります。侵入経路を特定できないまま復旧していれば、この説明は難しくなります。
負担は時間をおいて次々に来る
これらの負担は、侵害が発覚した日にまとめて来るわけではありません。時期をずらして現れるので、技術的な復旧が終わった時点で片づいたと考えてしまいます。
まず動くのは調査と復旧です。そこへ、漏えいの可能性を判断し、必要なら報告する作業が重なります。速報は速やかに行うのが原則なので、原因の特定と同時に進めることになります。
取引先への説明はそのあとに来ることが多いものの、相手が先に気づけば同時に始まります。何が起き、何が漏れた可能性があり、再発を防ぐために何をしたのかを、相手の求める形で説明します。検索エンジンの警告表示やドメインの評価が戻るのは、さらに先です。
侵害への対応は、復旧作業の完了では終わりません。復旧費用だけで損失を見積もると、この後半がまるごと抜け落ちます。
自社にどこまで及ぶかを見分ける
侵害が起きたとき自社がどこまで負うのかは、次の5点で見当がつきます。どれも侵害の前に確かめられます。
- 問い合わせや応募の内容がサイト側に残っている：フォームの送信内容がデータベースやサーバーのメールに残っていれば、漏えいの対象に入る。
- サイトからメールを送っている：自動返信や通知メールの仕組みが不正メールに使われると、ドメインの評価が下がる。
- 決済や会員のログイン情報がサイト側に関わっている：カード情報は外部の決済サービスに預けるのが一般的で、その場合サイト側には残らない。会員のログイン情報を自社側で持っているかどうかで、判断の重さが変わる。
- 取引先からセキュリティ体制の確認を受けたことがある：過去に確認を受けた相手からは、侵害時にも説明を求められる可能性がある。
- サイトが止まると困る業務がある：受注・予約・問い合わせがサイト経由なら、止まっているあいだの売上機会を失う。
経路を減らせる範囲もある
ここまでの負担のうち、公開側のWordPressが侵入口や不正配信の経路になる分は、構成を変えれば減らせます。ページを事前に作り置きし、公開側でプログラムを動かさないWordPress静的移行がその方法です。これで負担の全体がなくなるわけではありませんが、残さざるを得ない範囲（編集用のWordPress、認証情報、フォームや決済の外部サービス、保存済みのデータの管理）に絞れるため、守るべき箇所を狭く限定できます。
参考情報（外部サイト）
本文で参照した外部の公開情報です。