日本郵便に不正アクセス！問い合わせフォームの０円防衛術

2026年9月、日本郵便株式会社は、国際郵便物の配送状況調査をオンラインで受け付ける「調査請求Web受付サービス」のサーバーに対し、外部から不正アクセスを受けた可能性があると発表しました。発覚後、同サービスは即座に受付停止に追い込まれ、原因や個人情報流出を含む影響範囲の調査が進められています。

この事案は、大企業だけの特殊なインシデントではありません。自社のホームページに「問い合わせフォーム」や「見積もり依頼フォーム」を設置しているすべての中小企業にとって、極めて身近で警戒すべき事象です。

Web上の入力フォームや受付サーバーは、インターネット上に24時間365日公開されているため、世界中のサイバー攻撃者から常に自動攻撃ツールで狙われています。高額なセキュリティシステムを契約していなくても、自社サイトが攻撃の踏み台や情報流出の現場になるのを防ぐ「0円のフォーム防衛手順」を解説します。

📊 【公的統計エビデンスとWeb改ざん・漏洩の損害実態】

情報処理推進機構（IPA）や警察庁の公表データによると、中小企業が受けるサイバー攻撃の侵入経路のうち、「公開サーバー（Webサイト・問い合わせフォーム・VPN機器）の脆弱性の放置」が全体の約半数を占めています。中小企業の多くが「うちは大した情報を置いていない」と油断していますが、攻撃者は情報を盗むだけでなく、サーバーを乗っ取って他社への攻撃の「踏み台」や「フィッシング詐欺サイトの偽装」に悪用します。
損保大手の事故対応データによると、自社Webサイトが不正アクセス・改ざんされた場合の事故対応費用は平均1,200万〜2,500万円にのぼります。その内訳は「フォレンジック調査費用（500万〜1,000万円）」「サイト再構築・セキュリティ改修費（300万〜600万円）」「取引先・顧客への個別通知・謝罪対応費用（200万〜500万円）」であり、中小企業の経営基盤を激しく圧迫します。

1. なぜ起こったのか？（事件の客観的分析）

日本郵便の発表によると、同社が試行的に提供していたWeb受付サーバーに外部からの不審なアクセスが検知され、安全確保のため即座にサービスが停止されました。

Web受付フォームや公開サーバーが狙われる背景には、中小企業にも共通する2つの要因があります。

1. 公開Webサーバーの脆弱性（プログラムの更新放置）： Webフォームを動かしているシステム（WordPressや各種プラグイン、Webサーバーソフト）に古いバージョンが残っていると、攻撃者の自動探索プログラム（ボット）に数秒で検知され、不正プログラムを送り込まれます。
2. 入力フォームを経由した不正コマンド送信（インジェクション攻撃）： 氏名やメールアドレスの入力欄に、特殊なプログラムコードを注入することで、裏側にあるデータベースを直接操作・抽出したり、サーバーを乗っ取ったりする攻撃手法です。

2. どうすれば防げたのか？（現場目線の0円初動防衛）

ホームページや問い合わせフォームの防衛は、多額の予算をかけなくても、社内の設定と運用だけで危険度を9割以上下げられます。

3. 明日から社内でゼロ円でできる基本防衛のステップ

自社のWebサイトや問い合わせフォームを守るために、専門業者に高い保守料を払う前に、社内の担当者が明日からできるゼロ円の対策は以下の3点です。

1. 「Google reCAPTCHA（リキャプチャ）」の無料設置： 問い合わせフォームに「私はロボットではありません」や、バックグラウンドで悪質な自動アクセスを判定するreCAPTCHA（無料）を設置してください。これだけで機械的な総当たり攻撃や不正コード送信の大半を遮断できます。
2. 「フォーム関連プラグイン」の即時アップデート確認： 自社サイトで使っているフォーム作成プラグイン（Contact Form 7やMW WP Form等）の更新が止まっていないか確認してください。古いプラグインの放置は攻撃者にとって「鍵のかかっていない勝手口」と同じです。
3. 「管理画面のパスワード強化」と二段階認証の設定： 自社サイトの管理画面（WordPress等）のログインパスワードを16文字以上の複雑な文字列に変更し、無料の二段階認証アプリ（Google Authenticator等）を連動させてください。IDとパスワードが漏洩しても侵入を確実に阻止できます。

4. 最後のセーフティネットとしての見極め方

Webフォームへの対策を講じていても、ゼロデイ攻撃（修正プログラムが出る前の未知の弱点を突いた攻撃）やサーバー自体の脆弱性を突かれ、万が一サイトが改ざんされたり顧客の送信履歴が抜き取られたりするリスクはゼロにはできません。

自社サイトが踏み台にされて取引先にスパムメールを送信してしまった場合、自社だけでなく取引先への賠償責任や調査費用が重くのしかかります。

サイバー保険は、自社ネットワークだけでなく「公開サーバーやWebサイトの改ざん・漏洩に伴うフォレンジック費用」や「第三者への損害賠償」も幅広くカバーします。社内の0円自衛を徹底した上で、自社サイトが停止・侵害された際のリスクをあらかじめヘッジしておくことが重要です。

5. まとめ

日本郵便のWeb受付停止事案は、「ネット上に公開された入力フォームは、規模の大小を問わず常に攻撃の標的になっている」という現実を教えてくれています。

「うちは中小企業だから狙われない」という油断が最大の脆弱性です。明日朝一番に、自社の問い合わせフォームの更新状況とreCAPTCHAの設定状況を確認してください。費用をかけずとも、正しい初期設定だけで会社を重大事故から守ることができます。