ウェブスキミングとは、顧客サイトの入力画面が気づかないまま盗み見られること──制作会社が保守で止める改ざん検知・外部スクリプト・管理画面の守り

この記事は、ウェブスキミングの仕組みの概要と、制作会社が顧客サイトの保守でできる予防策を扱います。

「サイトは普通に動いています」が一番危ない

「お客様から、カードが不正に使われたと問い合わせが来ているんです。うちのサイト、大丈夫ですよね」

保守を受けている顧客から、こんな電話が来たとします。
画面は普段どおり表示され、注文も入っている。だから「問題ありません」と答えたくなります。

けれど、入力画面が改ざんされていても、サイトは普通に動き続けることがあります。
「動いている」と「安全である」は、別の話なのです。

ウェブスキミングとは、正規のサイトの入力画面を第三者が改ざんし、利用者が入力した情報を外部へ送らせる手口である

黒字化の外科医です。制作会社が保守の現場で向き合う、ウェブスキミングを解剖します。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威2025」個人編の解説書は、ウェブスキミングを、ECサイトの脆弱性を悪用して正規サイトの決済画面を改ざんし、入力されたクレジットカード情報を詐取する手口として紹介しています。

攻撃の手順をここで説明することはしません。制作会社が押さえるべきなのは、手口の細部ではなく「どこが狙われ、なぜ気づきにくいか」です。

制作会社が特に注意すべき理由は、三つあります。

第一に、利用者の画面では、ほとんど違いが見えないから。
入力画面の見た目は正規のままで、裏側で情報が別の宛先にも送られます。注文も決済も通常どおり完了するため、店舗側も利用者も、その場では気づきません。

第二に、発覚が「外から」になりやすいから。
カード会社からの連絡や、利用者からの不正利用の問い合わせで初めて分かることが多いのです。発覚した時点で、改ざんから時間が経っている可能性があります。

第三に、法令上の扱いが変わったから。
個人情報保護委員会の施行規則の改正（2024年4月1日施行）で、不正の目的をもって行われたおそれのある行為による漏えい等の報告対象に、事業者が「取得しようとしている」個人情報も含まれました。ガイドライン（通則編）には、ウェブサイトの入力ページが第三者に改ざんされ、入力された個人情報が第三者に送信された場合の事例が示されています。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

今すぐ試せる：顧客サイトの「入力画面の棚卸し」プロンプト

私はWeb制作会社の経営者です。保守を受けている顧客サイトについて、
個人情報やカード情報を入力させる画面の棚卸し表を作ってください。

【前提】
・サイト名と、使っているCMS・ECシステム：〔　　〕
・個人情報を入力する画面（会員登録、問い合わせ、購入、資料請求など）：〔　　〕
・カード決済の方式（決済代行会社の画面に移る／自社画面に埋め込む等）：〔　　〕
・読み込んでいる外部のスクリプト（解析、広告、チャット、フォーム作成ツール等）：〔　　〕
・管理画面のURLと、ログインできる人数：〔　　〕

1. 入力画面ごとに、入力される項目と、送信先を表にする。
2. 各画面で読み込まれている外部スクリプトを列挙し、「誰が追加したか」「今も必要か」の欄を作る。
3. 改ざんされた場合に影響が大きい順に、優先度を付ける。
4. 保守として確認すべき項目を、月次・四半期の頻度に分けて提案する。

攻撃の方法は書かないこと。確認と予防の観点だけで整理すること。

ウェブスキミング予防工場：制作会社が保守でできる3つの守り

1. 改ざんを検知する

□ 入力画面・決済まわりの重要ファイルの一覧を作ったか
□ 重要ファイルの差分を定期的に確認する仕組みがあるか（改ざん検知ツール等）
□ 差分が出たとき、誰に通知が届き、誰が判断するか決めたか
□ 正しい状態のファイル（比較の基準）を、サーバーの外に保管しているか
□ CMS・ECシステム・プラグインの更新を、決めた頻度で実施しているか

IPAと経済産業省の「ECサイト構築・運用セキュリティガイドライン」（2023年3月公開）は、運用時の必須要件として、重要ファイルの定期的な差分チェック、または改ざん検知ツールによる監視を挙げています。

2. 外部スクリプトを管理する

【外部スクリプト台帳】
画面：〔購入画面／問い合わせ画面 など〕
スクリプト名：〔　　〕
読み込み元：〔　　〕
追加した人・日付：〔　　〕
目的：〔解析／広告／チャット 等〕
まだ必要か：〔はい／いいえ／確認中〕
次の見直し日：〔　　〕

入力画面に読み込むスクリプトは、少ないほど守りやすくなります。
「いつ誰が入れたか分からないタグ」が残っていないか、まず台帳にしてください。

3. 管理画面を守る

□ 管理画面に接続できる端末や接続元を制限しているか
□ 管理者IDを個人ごとに分け、共有IDをなくしたか
□ 退職者・取引終了した外注先のIDを削除したか
□ パスワードの使い回しをやめ、多要素認証を使える箇所は有効にしたか
□ 管理画面のログイン履歴を、確認できる状態にしているか

アカウントの預かり方と台帳は、別の記事で整理しています。

▶ ドメイン・サーバーの管理台帳テンプレート、制作会社のアカウント管理キット──台帳の32項目、名義と権限の整理表、更新日のアラート設計、引き渡しチェックリスト、お客様への説明文、AIの点検プロンプト

保守の範囲を契約に書く

【保守契約に追記する例】
・改ざん検知：〔重要ファイルの差分確認／ツールでの監視〕を〔月1回／常時〕
・外部スクリプト台帳の見直し：〔四半期ごと〕
・管理画面の権限棚卸し：〔四半期ごと〕
・検知時の連絡：〔発見から〇時間以内に、ご担当者様へ電話とメール〕
・範囲外：決済代行会社のシステム、顧客が独自に追加したタグの内容保証

構造的なリスク

逆説を指摘しておきます。

予防を保守の範囲に入れると、「守ってくれているはず」という期待も一緒に背負います。
範囲と頻度を書かずに引き受けると、事故が起きたときに責任の線が引けません。

予防策は、必ず「何を、どの頻度で、どこまで」を契約に書いたうえで売ってください。

▶ Web制作の契約書に、必ず入れておく11の条項──業務範囲、修正回数、検収、著作権と人格権の不行使、損害賠償の上限。なぜ必要かまで

よくあるQ&A

Q. カード情報を保持しない決済方式なら、関係ないのでは？

関係はあります。クレジット取引セキュリティ対策協議会の資料でも、非保持化でも環境設定の不備等による漏えいが起きていることが、脆弱性対策を追加した背景として挙げられています。

Q. 小さな問い合わせフォームしかないサイトも対象か？

個人情報を入力させる画面があれば、改ざんの対象になり得ます。フォームの守り方は、こちらで整理しています。

▶ 問い合わせフォームのセキュリティは「保存しない設計」から──通信・スパム対策・送信先・ログの5つの線と、納品前の確認表

Q. 改ざんに気づいたら、まず何をすればいいか？

自社だけで判断せず、すぐに顧客（委託元）へ第一報を入れてください。報告の流れはこちらにまとめています。

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

最後に

ウェブスキミングは、サイトが普通に動いたまま進む事故です。

入力画面と外部スクリプトを台帳にし、改ざんの検知を保守の範囲として約束した制作会社だけが、「動いている」ではなく「守っている」と言えるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #ウェブスキミング #セキュリティ #改ざん検知 #保守契約 #個人情報保護 #制作会社経営 #中小企業 #ECサイト #情報漏えい