【Web・ECサイトのセキュリティ実態調査】57.4%が不正ログインの実被害または大量試行を検知

　AIと独自のアルゴリズムでオンライン取引の安全を支えるかっこ株式会社（本社：東京都港区、代表取締役社長：岩井 裕之、証券コード：4166、以下かっこ）が運営会員を務める一般社団法人サイバーセキュリティ連盟（以下 サイバーセキュリティ連盟）は、同連盟の運営委員会（株式会社イーシーキューブ、かっこ株式会社、サイバーコマンド株式会社、株式会社サイバーセキュリティクラウド）企画・取りまとめのもと、全国のWebサイト・Webサービスの運営・管理に関わる担当者500名を対象に「セキュリティ運用とAIリスク対応の実態調査」を実施いたしました。

　本調査により、全体の57.4%に及ぶ回答者が不正ログインの実被害または大量の不正試行（予兆）を経験している実態が判明しました。さらに、実際に被害に遭った回答者の17.1%で事後対応費用が「1,000万円以上」に上るなど、発覚後の対応に伴う経営リスクの大きさが浮き彫りとなりました。

「対策しているつもり」の裏側に潜むWeb・ECサイト運用上の課題と、最新のセキュリティリスクの実態について調査結果をお知らせいたします。

　デジタル庁が掲げる「デジタルの日 / デジタル月間」を迎え、企業のDX推進に加え、業務やサービスにおける「生成AI・AI エージェント」の活用が広がっています。しかしその一方で、サイバー攻撃の手口は日々進化・巧妙化しており、IPA（情報処理推進機構）の「情報セキュリティ10大脅威」や各省庁のガイドラインでも指摘される通り、企業のWebシステムやサプライチェーンを取り巻くセキュリティリスクへの継続的な対応が求められています。

　セキュリティツールの導入や生成AIの活用が進む一方で、「ツールを導入しているから大丈夫」「生成AIを利用できているから問題ない」といった「安全神話（思い込み）」に陥ることで、導入後の設定・運用の見直しや、AIの利用形態に応じたセキュリティ対策が十分に行われない懸念があります。本調査では、こうした「対策しているつもり」の裏側に潜む運用・管理上の課題を明らかにすることを目的として実施いたしました。

1. 調査方法： インターネット調査

2. 調査対象： 全国のWebサイト・Webサービスの運営・管理に関与、または業務上その状況を把握している方

3. 有効回答数： 500名

4. 調査実施日： 2026年10月1日

5. 調査主体： 一般社団法人サイバーセキュリティ連盟

   （運営委員会：株式会社イーシーキューブ、かっこ株式会社、サイバーコマンド株式会社、株式会社サイバーセキュリティクラウド）

※ 複数回答設問は回答割合の合計が100%を超える場合があります。

※ 各回答割合は小数点以下を四捨五入しているため、合計が100%にならない場合があります。

※ 本調査は回答者ベースの集計です。本文中の割合は、回答者が勤務先の状況について回答した結果であり、企業数そのものの構成比を示すものではありません。

１．【クラウド・WAF※1領域】セキュリティ製品は「導入後の運用・見直し」に課題。約3割が長期間設定を見直さず

利用中のセキュリティ製品について、設定・ルールを最後に見直した時期が「1年以上前」は21.4%、「導入以来実施していない」は9.6%、「分からない」は19.6%。導入後の継続的な見直しや運用状況の把握が課題として浮き彫りとなった。

※1：Web Application Firewallの略。Webアプリケーションの脆弱性を悪用したサイバー攻撃からWebサイトを守るためのセキュリティ対策

２．【EC・オープンソース※2領域】脆弱性対応をすぐ行わない理由は「カスタマイズ（26.3%）」「予算不足（20.0%）」「表示崩れ懸念（19.2%）」

ECサイトのシステムやプラグインのアップデートをすぐに行わない理由は「独自カスタマイズをしているため簡単に行えない」（26.3%）が最も多かった。また、自社で「実際に不審コード埋め込みや情報漏洩被害に遭った」と回答した人は15.0%、「身近で被害事例を聞いた」は35.0%となり、計50.0%が自社または身近な企業での被害を認識している。

※2：ソフトウェアのソースコードを一般公開し、自由な使用、改良、配布を許可するソフトウェア

３．【人材・インシデント領域】約6割が取引先のセキュリティ対策を「必要に応じて把握したい」、44.4%が今後の業務増加を予想

自社のセキュリティ運用業務を行っている回答者の66.5%が、取引先のセキュリティ対策状況を「必要に応じて把握したい」と回答。

４．【不正ログイン・決済領域】不正ログインの実被害または大量試行の経験者は57.4%。実被害経験者のうち事後対応費用が「1,000万円以上」となった割合は17.1%

実際に不正ログイン等の被害を経験した回答者のうち、事後対応費用が「100万円以上」だった割合は60.9%。さらに従業員1,000名以上で実被害を経験した回答者では「500万円以上」が61.6%を占める。

５．【生成AI・最新トレンド】AIセキュリティ対策は企業規模で大きな差。ルール整備率は従業員1,000名以上で50.9%、49名以下では15.2%

生成AI・AI エージェント※3の利用にあたり、従業員1,000名以上の企業では多角的な対策が進む一方、中小・中堅企業では取り組みの遅れが見られる。

※3：与えられた目的を達成するために、AIが自ら計画を立て、必要なツールやシステムを使いながら自律的にタスクを遂行・完遂するソフトウェア

死角①：クラウド・Webサイト運用の死角

〜ツール導入で安心する「お守り化」と、〜

今回の調査で、利用しているセキュリティ製品の設定やルールの見直し時期について尋ねたところ、「1年以上前」が21.4%、「導入以来実施していない」が9.6%、「分からない」が19.6%となりました。また、企業規模別では、従業員49名以下の企業において「導入以来実施していない」が37.9%となるなど、企業規模によっても差が見られました。

考察：セキュリティ製品は、導入するだけでなく、その後も利用環境や脅威の変化に応じて設定・ルールを継続的に確認・見直すことが重要です。今回の結果からは、一定数の企業で設定の見直しが長期間行われていない、または見直し状況そのものが把握されていない実態が確認されました。

死角②：ECサイト・プラットフォーム保守の死角

〜「動いているから触らない」塩漬け運用が招く偽決済画面・情報漏洩のリスク〜

ECサイトのシステムやプラグインのアップデート（脆弱性対応）を「すぐに行わない理由」としては、「独自カスタマイズをしているため簡単に行えない（26.3%）」が最も多く、次いで「予算がない（20.0%）」、「表示崩れや機能不全の懸念（19.2%）」でした。また、プラグインの脆弱性等に関する自社での被害経験や身近な被害事例については、15.0%が「自社で実際に被害に遭った」、35.0%が「身近で被害事例を聞いた」と回答しています。

考察：「画面が崩れるのが怖い」「カスタマイズしているから触れない」といった、現在の安定稼働を優先する判断が、結果としてアップデートを遅らせる一因となっていることがうかがえます。脆弱性が残るCMS（コンテンツ管理システム）やプラグインは、不正コードや偽決済画面の挿入、情報漏洩等につながるおそれがあるため、継続的なアップデートや公式サポート等を活用した保守体制の整備が重要です。

死角③：セキュリティ人材とサプライチェーンの死角

〜増大する運用負荷と約6割が感じる「取引先の対策状況把握」の必要性〜

取引先のセキュリティ対策状況を把握する必要性について尋ねたところ、全体の57.6%が「必要に応じて把握したい」と回答しました。自社のセキュリティ運用業務を行っている回答者に限ると、その割合は66.5%（121/182名）となっています。一方で、今後のセキュリティ運用業務の変化については、全体の44.4%（従業員1,000名以上では52.6%）が「対応すべき業務は増えていく」と回答しています。

考察：取引先のセキュリティ対策状況を「必要に応じて把握したい」と回答した割合は57.6%、自社でセキュリティ運用を担う層では66.5%に上りました。一方で、44.4%（従業員1,000名以上では52.6%）が今後「対応すべき業務は増えていく」と見ており、自社の運用だけでも負担が高まるなか、取引先まで目配りする余力をどう確保するかが課題といえます。

取引先の状況把握を個々の担当者に委ねるだけでは、業務負荷が高まる中で継続的な確認が難しくなる可能性があります。平時から取引先管理を含むセキュリティガバナンスを整備し、役割や確認範囲を明確にするとともに、担当者だけでなく従業員全体のセキュリティに関する理解を高める教育を進めることが重要です。

死角④：不正ログインと事後コストの死角

〜不正ログインの実被害・大量試行の実態と事後対応費用の負担状況〜

第三者による不正ログイン（リスト型攻撃等）や情報流出の被害について尋ねたところ、「実際に被害に遭った」が21.0%、「被害は未確認だが大量の不正試行（予兆）を検知した」が36.4%となり、合わせて57.4%が、不正ログインによる実被害または大量の不正ログイン試行を経験したと回答しています。

さらに、被害発覚後の事後対応費用（フォレンジック調査、謝罪対応、システム改修、人件費等）については、実際に被害に遭った回答者のうち、17.1%が「1,000万円以上」と回答しました。また、従業員1,000名以上で実被害を経験した回答者では、61.6%が「500万円以上」と回答しています。

考察： 本調査では、不正ログインによる実被害または大量の不正ログイン試行を経験した回答者が57.4%となりました。また、実被害経験者の中には、原因究明やフォレンジック調査、システム修復、顧客・関係者対応等に1,000万円以上の費用を要したケースも確認されています。被害発生時の経営・業務への影響を踏まえ、多要素認証や不審なアクセスの検知・監視など、不正ログインによる被害を未然に防ぐための対策を継続的に講じることが重要です。

死角⑤：生成AI・AI エージェント利用に潜む「最新トレンドの死角」

〜企業規模で差が見られるAIセキュリティ対策〜

生成AIやAI エージェントの利用・導入に伴うセキュリティ対策の実施状況を企業規模別に見ると、1,000名以上の企業では「社内ルール・ガイドラインの整備」が50.9%に達し、入力データの制限（44.0%）やAIアプリケーションの脆弱性診断（34.9%）など、複数の対策が実施されています。

一方、49名以下の企業ではルール整備率が15.2%、50〜299名では28.6%となりました。また、49名以下では40.9%が「生成AI・AI エージェントを利用・導入していない」と回答しています。AIの利用状況とセキュリティ対策の実施率の双方で、企業規模による差が見られる結果となりました。

考察：生成AI・AI エージェントに関するセキュリティ対策は、企業規模によって実施状況に大きな差が見られました。従業員規模が大きい層で対策実施率が比較的高い一方、49名以下や50〜299名の層では、ルール整備や技術的なセキュリティ検証の実施率が相対的に低い結果となりました。

また、1,000名以上の企業においても、AIアプリケーションの脆弱性診断は34.9%、プロンプトインジェクション※4等のAI特有の攻撃に対する検証は25.7%にとどまっており、企業規模を問わず、AIの利用形態に応じた技術的なセキュリティ対策を検討する余地があることがうかがえます。

※4：生成AIに対して人間の指示を装った不正な入力（プロンプト）を与え、AIに設定された本来のルールや制限を無視させ、意図しない動作や情報の漏洩を引き起こさせるサイバー攻撃

　今後のWeb・ECサイト運営において、連盟加盟企業をはじめとする全国の事業者は、以下の包括的アプローチへ舵を切ることがより一層求められます。

１．インフラ・アクセスの継続的監視（クラウド/WAF）：

ツールを「入れっぱなし」にせず、変化する脅威や利用環境に応じて設定・ルールを継続的に見直し、必要な運用・チューニングを行うこと。

２．安全なプラットフォームと最新化（EC/オープンソース）：

改ざんやスキミング等のリスクを低減するため、保守契約や公式サポートを活用し、セキュリティアップデートや脆弱性対応を継続的に実施すること。

３．体制構築とサプライチェーン管理（人材/インシデント）：

平時からセキュリティガバナンスを整備し、取引先を含むセキュリティ状況の把握・確認の仕組みを構築するとともに、担当者だけでなく従業員全体のセキュリティに関する理解を高める教育を進めること。

４．取引の安全確認とリスクの予防投資（不正アクセス/決済）：

被害発生後に多額の対応費用が生じる可能性を踏まえ、多要素認証、不審なアクセスの検知・監視など、不正ログイン等の被害を未然に防ぐための対策を整備すること。

５．安全なAI活用のためのガイドライン策定とセキュリティ格差の解消（生成AI/AI エージェント）：

AI利用ルールや入力制限等のガバナンス対策に加え、AIアプリケーションの脆弱性診断やAI特有の攻撃に対する検証など、利用形態に応じた技術的対策を進め、企業規模を問わずAIセキュリティ対策全体の底上げを図ること。

　Caccoは、「未来のゲームチェンジャーの『まずやってみよう』をカタチに」という経営ビジョンを掲げ、当社の有するセキュリティ・ペイメント・AI等のデータサイエンスの技術とノウハウをもとに、アルゴリズム及びソフトウエアを開発・提供することで、企業の課題解決やチャレンジを支援することを目指しております。 EC事業者向けには、不正ログインから不正注文対策、金融機関や会員サイトには、口座開設からログイン、取引に至るまでの一連の工程において、情報漏洩やフィッシング、なりすまし等への対策として、不正検知ソリューションを提供しております。

データサイエンスサービスでは、製造業やアパレル、建設業など様々な業種において、データ活用・分析を通じ、コスト削減・業務効率化・利益向上などに貢献しております。

不正検知サービス「O-PLUX」詳細： https://frauddetection.cacco.co.jp/o-plux/

　「サイバー攻撃による『深刻な被害』ゼロ」を目指し「日本のDXをもっと安全に」するための活動を展開しています。専門的な強化コンテンツから、初心者向けの啓発まで、幅広くサイバーセキュリティの必要性を発信しています。

URL： https://www.cscloud.co.jp/dx-security

※記載されている会社名および商品・製品・サービス名（ロゴマーク等を含む）は、商標または権利者の登録商標です。

※本件による、今期業績への影響は軽微です。今後開示すべき影響が見込まれる際は、速やかに開示いたします。

会社概要

かっこ株式会社