01
狙っているのは、たいてい「人」ではない
映画に出てくるような、フードをかぶったハッカーが手打ちで狙ってくる——そんな場面はほとんどありません。実際の多くは、休みなくサイトを巡回する「自動の探索ボット」です。会社の大小も知名度も関係なく、ただ弱点があるかどうかだけを見ています。
63.3%
66.3%
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）
では、そのボットは何を見て、どう「値踏み」しているのか。まずは、密着してみましょう。
02
密着：ある「自動ハッカー」の数分間
00:00$起動。今日も世界中のサイトを、片っ端から。
00:02$site-a.example … 常に最新。公開物も整理済み。がっちり。
00:02$→ つまらない。SKIP。
00:03$site-b.example … 返事のヘッダーに、古いバージョンの手がかり。
00:03$既知の弱点リストと照合中… 一致あり。
00:04$置き忘れた設定ファイルも見えた。ログイン画面もすぐ出た。
00:04$スコア：手間少・うまみ大。あとで戻る候補に追加。
00:05$次へ。相手は選ばない。見るのは「弱点があるか」だけ。
※ イメージです。ボットは相手を選ばず、短い時間で大量のサイトを「弱点の有無」で振り分けます。
03
ボットが最初に見る「5つの入口」
特別なことはしていません。外から誰でも分かる範囲を、順番に確かめているだけです。あなたのサイトも、同じように見られています。
- 01
バージョンの手がかり
見え方応答ヘッダーやページの生成元情報に、ソフトやCMSの種類・版が残っていることがある。
攻撃者には古い版なら、公開済みの弱点リストと即照合。「入れそうな家」の目印になる。
- 02
公開されたままのファイル・画面
見え方バックアップ、設定ファイル、管理画面、ディレクトリ一覧が外から開けるか。
攻撃者には一つでも開けば、そこが入口の候補。鍵のかかっていない勝手口。
- 03
通信が暗号化されているか
見え方http のままか、TLS の方式が古くないか。
攻撃者には暗号化が弱いほど、盗み見や書き換えがしやすい＝「おいしい」。
- 04
メールのなりすまし耐性
見え方SPF・DMARC などの送信ドメイン認証があるか。
攻撃者には無ければ、そのドメインを名乗る偽メールを作りやすい。取引先をだます踏み台に。
- 05
ドメイン・DNS の設定
見え方DNS の守り（DNSSEC等）や、ドメインの有効期限。
攻撃者には隙があれば乗っ取りや有効期限切れ狙い。サイトとメールを丸ごと奪える。
04
狙われやすさは、下げられる
弱点をひとつ閉じるたびに、ボットから見た価値は下がります。対策の前と後で、狙われやすさがどう動くか見てみましょう。
穴あり：ボットから見た価値が大きい
いちばんの防御は、弱点のない「退屈なサイト」になること。派手な対策より、基本を一つずつ閉じるほうが効きます。
05
見つかったあと、何が起きる？
- 発見
弱点が見つかる
自動巡回で、古いソフトや開けっ放しの入口が見つかる。
- 侵入
侵入・改ざん
サイトやサーバーに入られ、ページの書き換えや不正なプログラムの設置。
- 拡大
持ち出し・踏み台
顧客情報の漏えい、訪問者への被害、取引先への攻撃の踏み台に。
- 影響
事業への影響
復旧費用・業務停止・報告や通知の対応・取引先や顧客からの信用低下。
06
よくある3つの言い訳（と、ボットの本音）
よくある「うちは小さいから、狙われない」
ボットは会社の規模を見ていません。見るのは「弱点があるか」だけ。むしろ対策が手薄な分、入りやすい相手です。
よくある「古いけど、問題なく動いてる」
「動く」と「安全」は別の話。古いソフトほど、公開済みの弱点が多く、入りやすい。動いているからこそ、放置されがちです。
よくある「盗まれて困るものは、特にない」
直接の情報が目当てとは限りません。サイトを「踏み台」にして別の攻撃に使えれば、それだけで十分おいしい獲物です。
放置したサイトと、対策したサイト
いちばんの防御は、「退屈なサイト」になること
かっこいい話ではありませんが、これが効きます。退屈＝弱点がない。まずは、自分のサイトがボットにどう見えているかを知るところから。難しい準備はいりません。具体的に何をすればいいかは、下の実践編にまとめています。
ボットに「退屈」と思わせよう
ドメインを入力するだけで、攻撃者が最初に見る点を先回りして無料で診断します。