小さな会社は狙われない？自動攻撃は会社の大きさを見ない

小さな会社は、本当に狙われないのか？

小さいから外れるという根拠は見当たりません。今の攻撃のほとんどは、会社の名前ではなく、インターネット上のアドレスとそのすき間を見てやって来ます。

昔の泥棒は家を選びました。塀が高いか、お金持ちの家かを下見して、夜を待ちました。今の攻撃プログラムは違います。通りに並ぶすべての家のドアノブを、一軒ずつ引いてみる機械のようなものです。表札の名前は読みません。ドアが開くかどうかだけを見ます。

ですから、問うべき質問が変わります。「うちの会社は狙われるほどの会社か？」ではなく、「うちのドアは鍵がかかっているか？」です。

これまでの考え

• 攻撃者は会社を選ぶ
• 大きな会社、お金のある会社が先
• うちは小さいので目立たない

今の現実

• プログラムがアドレスを順に調べる
• 先に開いたドアから入る
• 小さくても、すき間があれば対象になる

攻撃者にとって、会社の大きさは後回しです。先に見るのはすき間です。

名前ではなく、すき間を見ます。

ヤンのまとめ「誰がうちを狙うのか」という問いには答えがありません。「うちのドアに鍵はかかっているか」という問いには答えがあります。

自動攻撃は、実際にどう動いたのか？

今回のPHPの脆弱性が知られた初日から、攻撃プログラムは会社を選ばず、たくさんのサーバーに同じリクエストを送りました。米国のセキュリティ企業とCloudflareが、その記録を残しています。

• 米国のセキュリティ企業VulnCheckは、攻撃を観察するためにインターネット上におとりのサーバーを置いています。PHPが脆弱性を公表した10月21日、あるアドレスからのリクエストがこのおとりのサーバー188か所に、別のアドレスからは26か所に届きました。リクエストは複数のクラウド会社と地域のサーバーに広がっていました。¹
• Cloudflareは、公式の公表より前に情報が先に漏れ、すでに自社のお客さまに向けた攻撃を観測したと明かしました。²
• 警察庁が見張り用に置いているアドレスには、2026年上半期、脆弱性を探す不審なアクセスが、アドレス1つあたり1日13,687件届きました。1年前より50.7%増えています。³

おとりのサーバーには、会社の名前も売上もありません。それでも、攻撃はそこに届きました。

おとりのサーバーは、表札のない空き家です。それでもドアノブが引かれたということは、攻撃プログラムが持ち主を見ていないということです。同じ日にVulnCheckは、公開された攻撃コードによる試みがこれからも広く続くとみていると書きました。¹

ヤンのまとめ攻撃プログラムにとって、うちのホームページは「小さな会社」ではなく「アドレス1つ」です。アドレスは、誰もがひとつずつ持っています。

数字は何を言っていて、何を言っていないのか？

日本の公式の数字を見ると、被害の多くは中小企業です。ただし、これは「中小企業を選んで狙っている」という意味ではありません。「小さいから外れる」という根拠がない、という意味です。

そして、もうひとつ数字があります。サーバー側の言語がわかる日本（.jp）のサイトの83.5%がPHPを使っています（2026年10月24日時点）。⁷ 今回の脆弱性は大企業だけの話ではなく、たくさんの会社のホームページの床下にあった話です。

ヤンのまとめ数字を大げさにするつもりはありません。ただ、「小さいから大丈夫」を支えてくれる数字もありません。

なぜ「うちは大丈夫だろう」と感じるのか？

人には、悪いことは他人のほうに起きやすいと信じるくせがあります。心理学では楽観バイアスと呼びます。恥ずかしいことではなく、誰にでもある気持ちです。

米国の心理学者ワインスタインは1980年の研究で、人は悪いことが他人より自分には起きにくいと考えがちだということを示しました。⁸ しかも、ニュースに出るハッキングの被害は、いつも名の知れた大企業です。小さな会社の被害は記事にならないので、頭の中に絵が浮かびません。

日本損害保険協会が2019年に中小企業の経営者に尋ねた調査では、自社が攻撃の対象になる可能性を「高い」「やや高い」と答えたのは、合わせて6.2%でした。ところが、約2割はすでに攻撃の被害を経験していました。⁹

心が遠くに置いているリスクほど、体はすぐそばで経験していることが多いのです。

ヤンのまとめ「うちは大丈夫だろう」という気持ちを責める必要はありません。その気持ちを、一度の確認に変えればいいのです。

では今日、何から確かめればいいのか？

うちのサイトが今回の脆弱性に当てはまるかどうかから見ます。1分で済みます。決めるのはそのあとです。

ドアノブを引いて回る機械を防ぐ第一歩は、怖がることではなく、うちのドアにどんな鍵が付いているかを知ることです。

1. 当てはまるかを見る：5つの質問で「当てはまらない・確認が必要・対応が必要」を分ける「1分判定表」をやってみます。
2. サーバー会社のお知らせを読む：共用レンタルサーバーなら、サーバー会社が今回の修正を代わりに入れていることが多くあります。お知らせ1枚で済む会社もあります。
3. 一言聞く：制作会社や管理の担当者に「うちのサイトのPHPのバージョンと、今回の修正が入ったかどうか」を聞きます。
4. 痕跡を見る：直す前に誰か来ていないか心配なら、「パッチの前に侵入されていたら？攻撃の痕跡三つ」を読みます。

すべて見たうえで「当てはまらない」なら、それも立派な結論です。確かめたから得られた安心は、思い込みで得た安心とは重みが違います。

ヤンのまとめ小さな会社の強みは、すぐに確かめて、すぐに決められることです。今日、1分で済みます。