通知が来たら、最初にすること

公式の案内で対象を確かめ、そこで求められた対策を進めることが先です。 社内の責任者・情報管理担当と、制作会社・保守会社に共有してください。通知を受け取った担当者だけで抱え込む必要はありません。

  1. 通知の真偽と続報を確かめる。 メール内のリンクや添付から操作せず、普段使うブックマークや契約資料にある公式サイト・会員ページを開きます。事業者名だけで信用せず、公式のお知らせに同じ案内があるかを確認します。
  2. 自社の契約と対象を比べる。 サービス名、プラン、契約番号やサーバーの識別番号、対象期間など、公表・個別案内にある条件で確認します。分からなければ、公式サイトに掲載された窓口へ問い合わせます。
  3. 案内された対応の担当を決める。 認証情報の変更などを自社と保守会社のどちらが行うか確認します。対象と分かったら、必要な対策をほかの確認がすべて終わるまで待たせないようにします。
  4. 分かっていることと未確認を残す。 公式発表のURL・日時、自社の対象判定、対応した人・日時、残る確認と回答予定を社内でまとめます。記録にパスワード自体は書きません。

自社のサーバーが対象か、どう確かめる？

サイト・メール・業務システムが、同じ会社の別サービスや別サーバーに分かれていることがあります。会社名が一致するだけで全サービスが対象とは判断せず、契約しているサービスとサーバーを確かめます。 サイトが表示されていても、対象外・影響なしとは限りません。

自社の状況 確認する相手と内容
自社名義で契約している 契約担当が公式の会員ページ・個別案内を確認し、対象の契約やサーバーを事業者へ聞く
制作会社・保守会社がまとめて管理している 委託先に、自社サイト・メール・業務システムがどのサービスを使い、今回の対象かを聞く
契約先や管理担当が分からない 請求書・契約書・制作時の資料から窓口を探し、現在の管理担当と契約先を確認する

対象の確認と、被害の確認は別です。「対象だった」という回答だけで情報漏えいや改ざんがあったとは言えません。一方、「表示に問題がない」という回答だけで、調査済みとも判断できません。何を確認して得た回答かを聞いてください。

公式発表の例：第1報だけで判断しない

GMOインターネットは、2026年10月21日の第1報で、お名前.com デスクトップクラウドの一部サーバーに不正なプログラムが設置されたと発表しました。この時点では、預かっているお客様の個人情報の漏えいと、閲覧された情報の悪用は未確認としていました。

翌22日の第2報では、取引口座で不正な操作があったとの利用者の報告を受け、保存されていた口座のログイン情報等が取得・不正利用された可能性を公表しています。侵入経路と影響範囲は調査中です。

第2報の対象サービスはお名前.com デスクトップクラウド（全プラン）、影響の可能性があるサーバーは26,739件です。これはサーバーの件数であり、人数ではありません。同社のレンタルサーバーやドメインなど、別サービスまで対象だと広げて読まないでください。第2報時点では全プランのサーバー停止を継続し、再開時期は未定としています。

この例のように、初報の「未確認」はその時点の説明です。後の発表と、自社宛ての個別案内を合わせて確認しましょう。

どの認証情報を変える？

事業者が示す範囲を先に確認し、保守担当と変更対象・担当を決めます。 管理画面のパスワードを1つ変えるだけで、必要な対応が終わるとは限りません。

次は変更の要否を聞くための一覧です。すべてが今回の被害対象だという意味ではありません。対象サーバーでの保管・利用の有無と、事業者の案内を基準にしてください。

認証情報の例 保守担当へ聞くこと
サーバーの契約・管理画面 今回の変更対象か。契約管理とサーバー操作のアカウントが分かれているか
サイトの管理者（WordPressなど） 対象サーバーで認証情報を保管・利用していたか。誰が変更するか
FTPなどのファイル転送、メール 変更が必要なアカウントはどれか。更新用ツールやメールソフトの設定変更を誰が行うか
業務システムや外部サービス サーバー内で使っていた認証情報があるか。連携先の案内を含め、どこまで変更が必要か

GMOインターネットの第2報は、サーバー内で保管・利用していた認証情報と、ほかのサービスでも使っている同じパスワードの変更を求めています。

同サービス上で取引ツールを利用していた人には、取引ツール・取引口座の認証情報を同サービスのサーバー以外の端末から変更し、その後ログオフすることも案内しています。取引履歴・残高の確認、不審な取引があれば取引先への連絡、提供されていれば二段階認証の設定も求めています。該当する利用者は公式の手順を確認してください。これは同サービスの案内であり、ほかの事業者の全利用者に同じ操作が必要と断定するものではありません。

変更後は、関係する設定変更と業務への影響を担当者に確認します。通知への返信や問い合わせ文に、パスワードを記載しないでください。同社も、メールや電話でパスワード・クレジットカード情報を尋ねることはないと注意喚起しています。

制作会社・保守会社への問い合わせ文例

URLやサービス名は自社の内容に置き換えてください。認証情報や顧客データを添付せず、まず確認項目を共有します。

件名：サーバーの不正プログラム通知に関する対象・対応状況の確認

当社が利用するサーバーについて、不正なプログラムに関する通知がありました。公式のお知らせ（公式URL・発表日時）を確認し、当社サイト（対象URL）・メール・業務システムへの影響を確認したく、ご連絡しました。

  1. 当社で利用しているサービス・プラン・サーバーは、今回の対象ですか。確認できる公式案内や個別連絡と合わせて教えてください。
  2. 事業者から求められている対策と、変更が必要な認証情報はどれですか。サーバーの管理画面、サイトの管理者、FTP・メール、外部サービスへの連携を含め、当社と御社の担当範囲・対応予定を教えてください。
  3. サイトの改ざんや不審な動作、保管している情報への影響を、どこまで確認していますか。未確認の範囲と、追加調査の要否・依頼先も教えてください。
  4. バックアップはありますか。取得日時・保存先・復旧に使えるかの確認状況と、事業者の案内を踏まえた復旧の進め方を教えてください。
  5. お客様の情報への影響について、分かっていることと未確認事項は何ですか。サービスの停止・再開や、当社側で必要な対応はありますか。

対応済みの項目は実施日時を、確認中の項目は回答予定をお知らせください。保守契約の範囲と追加費用の有無も確認したいです。

バックアップがあることと、安全に復旧できることは別です。事業者・保守会社の確認を待たずに、自分でファイルを削除したり復元したりせず、復旧の方法を相談してください。

保守契約がなければ、まずサーバー事業者の公式窓口で対象と必要な対策を確認し、元の制作会社に今回の確認を依頼できるか聞きます。対応できない場合は、サーバー保守や侵害調査を扱う専門事業者へ、対象と依頼範囲を伝えて相談しましょう。

お客様への連絡が要るかは、どう判断する？

事業者の発表と、自社が扱う情報への影響を合わせて判断します。 サーバーに顧客情報を保管していたか、そこで外部の顧客管理サービス等に接続していたか、閲覧・持ち出しの可能性をどこまで確認できているかを、社内の情報管理責任者に共有してください。

事業者の続報を確認しつつ、自社で疑いを把握している場合は相談を先送りしないでください。「個人情報の漏えいは未確認」という発表だけで、自社のお客様への影響もないとは判断できません。

個人情報保護委員会の案内では、一定の漏えい等やそのおそれがある場合に、報告・本人への通知が必要になると説明しています。事業者が公表したサーバー件数だけで要否を決めず、同委員会の案内を確認し、必要に応じて専門家へ相談してください。この記事では、個別の報告・通知の義務を判定しません。

連絡する場合は、確認済みの事実、未確認の範囲、お客様にお願いする行動、公式の問い合わせ先を分けて書きます。原因や被害を推測で補わず、「影響はありません」と未確認のまま案内しないようにしましょう。

サイト・メールが止まっている場合

事業者が停止しているサービスの再開は、公式案内を確認します。自社では、問い合わせ受付・受発注・社内作業のうち何が止まるかを整理し、使える連絡手段と担当を決めてください。

停止中の仕事の進め方は取引先の停止に備える業務継続と再開の手順、メール配信を委託している場合はメール配信サービスが侵害されたときの対応で整理しています。

サイトを動かすPHPの更新については制作会社に確認したいこと、顧客情報の保管先・委託先の点検には個人情報漏えいを受けて今週確かめることも参照してください。

よくある質問

Q. サイトは普通に表示されています。それでも確認が必要ですか？ 表示されるだけでは、今回の対象外とも、改ざんや情報への影響がないとも判断できません。公式案内と契約情報で対象を確認し、保守担当に調査済みの範囲を聞いてください。

Q. 制作会社に任せていれば、自社で何もしなくてよいですか？ 制作会社がサーバー保守まで担当しているかは契約によります。対象確認と認証情報の変更を誰が行うかを聞き、自社が扱う顧客情報や停止中の連絡手段は社内でも確認してください。

Q. パスワードを変えたら、対応は終わりですか？ パスワードの変更と、サーバーや保管情報への影響の確認は別です。事業者が案内するほかの対策、保守担当の確認結果、未対応の項目も確かめてください。