2026.10.17 セキュリティ

情報漏えいは自社だけの問題ではない｜外部サービス・委託先のセキュリティを見直す

不正アクセスによる情報漏えいは、特定の業種や規模の企業だけに起こる問題ではありません。

2026年10月には、大手企業が利用する外部サービスへの不正アクセスによって、会員情報などに影響が生じた事例が公表されました。

例えば、LINEヤフーは委託先が提供するコミュニティプラットフォームへの不正アクセスについて、利用者情報が閲覧・取得された可能性を公表しています。また、パナソニックも、コミュニティ運営の委託先で発生した不正アクセスに伴い、会員情報が漏えいしたとの報告を受けたことを明らかにしました。

こうした事例から考えたいのは、自社のシステムだけを対策すれば十分とは限らないということです。

業務で利用している外部サービスや、Webサイトの運用を委託している会社なども含めて、情報をどこに預け、誰がアクセスできるのかを把握しておく必要があります。

今回は、企業のWeb担当者や経営者が確認しておきたい、外部サービス・委託先を含めた情報漏えい対策について解説します。

自社のセキュリティ対策だけでは十分とは限らない

企業では、Webサイトの運用や顧客管理、問い合わせ対応、メール配信、オンラインコミュニティの運営など、さまざまな業務で外部サービスを利用しています。

便利なサービスを活用することで業務を効率化できますが、その一方で、サービスに登録した情報や連携先のシステムが、セキュリティ管理の対象になることも忘れてはいけません。

例えば、次のようなケースが考えられます。

顧客管理サービスに顧客の氏名や連絡先を登録している
問い合わせフォームの情報が外部サービスに連携されている
メール配信サービスに顧客リストを保存している
外部の制作会社にWebサイトの管理権限を付与している
クラウドサービスで社内資料や取引先情報を共有している

これらのサービスやシステムで問題が発生した場合、自社のサーバーに直接侵入されていなくても、自社に関係する情報が影響を受ける可能性があります。

つまり、情報漏えい対策では「自社のシステムを守れているか」だけでなく、「業務で利用するサービスや外部の関係者を適切に管理できているか」という視点も重要です。

企業が確認しておきたい5つのポイント

1. どのサービスに、どのような情報を預けているか

まず確認したいのは、社内で利用している外部サービスの一覧です。

担当者が個別に契約したツールや、以前の担当者が導入したサービスなど、会社全体で把握できていないものが残っている場合もあります。

次のような項目を整理しておくと、管理状況を把握しやすくなります。

サービス名と利用目的
管理担当者
登録・保存している情報の種類
管理者アカウントの所在
契約状況と問い合わせ先
サービス終了時のデータ削除方法

特に、個人情報や取引先の機密情報を扱うサービスは、優先的に確認することをおすすめします。

すべてのサービスを一度に詳しく調査するのが難しい場合は、重要な情報を扱うサービスから着手しましょう。

2. 外部の担当者に必要以上の権限を与えていないか

Webサイトの制作会社や保守会社、広告運用会社などに、管理画面へのアクセス権限を付与している企業も多いでしょう。

業務を依頼するうえで権限の付与が必要になる場合はありますが、必要以上の権限を与えないことが大切です。

例えば、ページの文章を更新するだけの担当者に、サーバー全体を管理できる権限まで付与する必要があるとは限りません。

確認しておきたいポイントは次のとおりです。

担当者ごとに必要な権限だけを付与しているか
共有アカウントを安易に使い回していないか
多要素認証を利用できるか
退職者や契約終了した担当者のアカウントが残っていないか
権限やアカウントの棚卸しを定期的に実施しているか

WordPressについても、管理者権限を付与する相手は必要最小限にし、作業が終了した担当者の権限を見直すことが重要です。

3. 委託先のセキュリティ管理について確認できているか

外部サービスや委託先を利用する場合、契約時に確認した内容をそのままにせず、必要に応じて管理状況を見直すことも大切です。

例えば、次のような事項を確認しておくとよいでしょう。

アカウントやアクセス権限をどのように管理しているか
不正アクセスを検知した場合の連絡体制があるか
インシデント発生時に、誰が何を担当するか
データの保存先や取り扱い方法を把握できているか
契約終了時にアカウントやデータをどう扱うか

すべての委託先に高度な監査を実施することが難しい場合でも、取り扱う情報の重要度に応じて確認項目を決めておくことはできます。

また、委託先の説明だけで安全性を完全に判断することはできません。契約内容、利用サービスの仕様、実施可能な対策を確認し、必要な管理を継続することが重要です。

4. 不審な連絡や情報漏えいの通知に備えているか

情報漏えいが発生した場合、関係する企業やサービスから利用者に通知が届くことがあります。

一方で、実際のインシデントに便乗し、企業やサービスの担当者を装った偽メールやフィッシングサイトが使われる可能性もあります。

そのため、セキュリティに関する通知を受け取ったときは、メール内のリンクをすぐに開くのではなく、公式サイトや既知の連絡先から情報を確認することが大切です。

社内では、次の点を決めておくと対応しやすくなります。

セキュリティに関する通知を誰が確認するか
正式な情報をどこで確認するか
社内の誰に報告するか
パスワード変更やアカウント停止が必要な場合の手順
顧客や取引先への連絡を誰が判断するか

なお、インシデントの通知を受け取った場合は、通知の内容や影響範囲を確認し、必要に応じて専門家やサービス提供元に相談しましょう。

5. 万一のときに、すぐ相談・対応できる体制があるか

セキュリティ対策は、攻撃を防ぐことだけで完結するものではありません。問題が起きたときに、状況を把握し、適切な対応につなげる体制も必要です。

例えば、次のようなことを事前に整理しておくと、緊急時に慌てずに対応しやすくなります。

社内の責任者と連絡先
サービス提供元や委託先の緊急連絡先
Webサイトやシステムを停止する判断の手順
ログや関連情報を保全する方法
バックアップから復旧する手順
個人情報の漏えいが疑われる場合の報告・相談先

実際に不正アクセスや情報漏えいの疑いが生じた場合は、自己判断でデータを削除したり、証拠となるログを消したりしないよう注意してください。影響範囲の確認と被害拡大の防止を進めながら、必要に応じて専門機関に相談することが重要です。

Webサイトの運用でも、外部とのつながりを確認しよう

Webサイトの運用では、WordPress本体やプラグインの更新、管理者アカウントの保護、バックアップの取得などが基本的な対策になります。

これらに加えて、Webサイトに関係する外部サービスや委託先も整理しておくと、管理上の抜け漏れを見つけやすくなります。

例えば、次のような点を確認してみましょう。

問い合わせフォームから送信された情報は、どこに保存されるか
メール配信や顧客管理に外部サービスを利用しているか
制作会社や保守会社に、どの範囲の権限を付与しているか
Webサイトの管理者アカウントを誰が把握しているか
契約終了後も不要なアカウントや権限が残っていないか

すべてを一度に変更する必要はありません。まずは、利用しているサービスと管理者を一覧にするところから始めるとよいでしょう。

まとめ｜自社と外部サービスの両方を見直そう

大手企業であっても、外部サービスや委託先で発生した不正アクセスによって、利用者情報などに影響が及ぶことがあります。

だからこそ、情報漏えい対策では、自社のシステムを保護するだけでなく、利用しているサービス、外部の担当者、アクセス権限、緊急時の連絡体制まで含めて確認することが大切です。

まずは、次の3つから始めてみてください。

社内で利用している外部サービスを一覧にする
管理者アカウントとアクセス権限を確認する
問題が発生したときの連絡先と対応手順を整理する

セキュリティ対策は、一度実施すれば終わりというものではありません。利用するサービスや担当者が変わったときにも見直し、継続的に管理していくことが重要です。

自社のWebサイトやWordPressの運用体制についても、定期的に確認する機会を設けてみてはいかがでしょうか。

参照情報：

LINEヤフー｜委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び

パナソニック｜外部委託先への不正アクセスによる当社コミュニティ会員情報の漏えいについて

個人情報保護委員会｜大規模な漏えい等事案を踏まえた対応について（注意喚起）