難しい言葉は覚えなくていい 診断結果の読み方と直す順番は3つだけ
アンリミテッドアム株式会社 CEO
2026年10月16日、ネットショップの仕組み「ショップサーブ」を提供する株式会社Eストアーが、不正アクセスによる情報漏えいの最終報告を出しました（Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」）。サーバー上で動くアプリケーションの脆弱性（ソフトの弱点）を突かれ、約 2,335 万 6 千人分の情報が外へ送られ、対象は 7,858 店舗に及びました。約 209 万 6,900 人分は、カードの名義や番号の一部などカードに関わる情報でした。
こうしたニュースを見て、自社のサイトを無料で点検してみた。すると結果に「XSS」「CSP」「CORS」といった英字が並んでいて、何が悪いのか、どれから手をつければいいのかが分からない。この記事は、そんな方のために書きました。
先に答えを言います。結果で見るのは「点数」「判定」「名前」の 3 つだけ。直す順番も 3 つだけです。①外から見えてはいけないものを隠す、②勝手に差し込まれる穴を塞ぐ、③通信とフォームの設定を整える。英字の名前は覚えなくて大丈夫です。
診断結果で見るのは、点数・判定・名前の3つだけ
結果の画面では、全部を読む必要はありません。上から順に 3 つだけ見てください。
- 点数: サイト全体の今の状態です。VibeGuard の結果の例では、62 点のサイトに「注意が必要なサイトです」「すぐ塞ぎたい入口が 2 つ」と表示されます
- 判定: 項目ごとに「安全」「注意」「危険」が付きます。最初に見るのは「危険」だけです
- 名前: 何が問題かの名前です。社長は名前を読めなくても困りません。制作会社に名前ごと転送すれば通じます
VibeGuard の無料診断では、会社のドメインのメールアドレスで申し込むと、点数に加えて問題の名前まで届きます。Gmail など別のドメインのアドレスでは、点数と件数だけです。
名前は覚えなくていい。「何が起きるか」だけ読む
結果に出る名前は、専門家どうしの呼び名です。社長が知っておけばいいのは「放っておくと何が起きるか」だけです。下の表の右の列だけ読んでください。
| 結果に出る名前 | 放っておくと何が起きるか | 直す順番 |
|---|---|---|
| 情報流出リスク | API キー（サービスどうしをつなぐ鍵）やパスワードが他人に見え、データを持ち出される | ① |
| XSS（外部スクリプトの差し込み） | 第三者の不正なスクリプトをページに埋め込まれ、入力した情報を盗まれる | ② |
| 読み込むパーツのすり替え | 外部から読み込んでいるスクリプトやパーツをすり替えられ、知らないうちにページが書き換わる | ② |
| セキュリティヘッダー（CSP など） | ブラウザに「これは読み込まないで」と伝える設定が無く、差し込みを止められない | ② |
| SSL/TLS と暗号化 | お客様との通信を、途中で盗み見されるおそれがある | ③ |
| フォームのセキュリティ | 問い合わせフォームからスパム送信や、本人になりすました送信をされる | ③ |
直す順番は3つだけ
私は、次の順番で直すことをおすすめしています。上ほど、漏えいに直接つながるからです。
①外から見えてはいけないものを隠す
API キーやパスワード、置きっぱなしのファイルが外から見えている状態は、玄関の鍵を表札に貼っているのと同じです。ここで「危険」が出たら、その日のうちに制作会社へ連絡し、見えていたものを隠すだけでなく、キーやパスワードを再発行してもらいます。
②勝手に差し込まれる穴を塞ぐ
第三者の不正なスクリプトを埋め込まれる穴と、読み込むパーツのすり替え、それを止める設定です。カード番号や住所を入力する画面がある会社ほど、早めに直します。
③通信とフォームの設定を整える
通信の暗号化と、フォームのセキュリティです。①②より急ぎではありませんが、問い合わせが多い会社ではスパム送信の入口になりやすいので、①②のあとに続けて直します。
3 つを同じ日に終える必要はありません。「危険」を 1 つ消すだけでも、サイトの状態は確実に良くなります。
カードを扱うお店は、外側だけでなく中身も
ネットショップでカード決済を使っている会社は、もう一歩だけ知っておいてください。カード会社などでつくるクレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」6.1版（2026年3月・日本クレジット協会の資料のページ）は、ネットショップに対して、Web アプリケーションの「脆弱性診断又はペネトレーションテストを定期的に実施し、必要な修正対応を行う」ことを求めています。脆弱性診断は「弱点を網羅的に洗い出す検査」、ペネトレーションテストは「攻撃者と同じ手口で実際に侵入を試すテスト」のことです。
ここで正直に書いておきます。VibeGuard の無料診断で分かるのは、外から見える 6 項目です。ログインした後の画面や、プログラムの中身は、外からの点検では分かりません。たとえば、マイページの URL の数字を 1 つ変えるだけで別の会員の注文が見えてしまう弱点は、ログインしないと見つかりません。
中身まで確かめたいときは、スポット診断（1 回 98,000 円・税別）で、外側・設定・プログラムの中身・ログインした後の画面を 1 回でまとめて見て、直し方まで書いた報告書を出します（2026年11月3日に料金のページで確認）。まずは無料診断で外側を知り、カードや会員の情報を預かるサイトなら、その次に中身を確かめる。この 2 ステップで考えると迷いません。
持っていない情報は、漏れない
Eストアーの最終報告には、もう一つ大事なことが書かれています。カードの番号の全部と、セキュリティコード（裏面の 3 桁や 4 桁の番号）は持っておらず、漏れていない。そのため「今回漏えいした情報のみでは、クレジットカード決済を行うことはできません」とあります。
持っていなかったものは、漏れませんでした。直す順番の前に、「そもそも持たなくていい情報はないか」を見直すことも、お金のかからない対策です。カードの情報は決済代行会社に任せ、自社では持たない。会員登録の入力欄も、使っていないものは外す。守るものが減れば、直す所も減ります。
直したら、もう一度測る
制作会社から「直しました」と連絡が来たら、もう一度無料診断を受けて、点数が上がったか、「危険」の判定が消えたかを確かめます。無料診断は 1 つのメールアドレスにつき 1 日 3 回まで使えます。
直したことを、点数という形で確かめておくと、社内にも取引先にも説明しやすくなります。毎回自分で測るのが手間なら、スタンダード（月 5,000 円・税別）で 3 サイトまで毎日自動で点検し、問題が出たときにメールで知らせる形にできます。
よくある質問
点数が低かったら、すぐにサイトを止めるべきですか？
多くの場合、止める必要はありません。まず「危険」と判定された項目を制作会社に伝えて、直すまでの日数を聞いてください。API キーやパスワードが外から見えていると出たときだけは、その日のうちにキーやパスワードを再発行してもらいます。
無料診断で「安全」ばかりなら、もう何もしなくていいですか？
外から見える 6 項目は大丈夫、という意味です。ログインした後の画面やプログラムの中身は、外からの点検では分かりません。カードの情報や会員の情報を預かるサイトは、年に 1 回は中身まで確かめることをおすすめします。
直し方は無料で見られますか？
無料診断で見られるのは、点数と問題の名前までです。理由と直し方は、スタンダード（月 5,000 円・税別）以上のプランで、所有者確認が済んだサイトに出します。
同じサイトを何回でも診断できますか？
無料診断は 1 つのメールアドレスにつき 1 日 3 回までです。直したあとにもう一度測り、点数が上がったかを確かめられます。
結果の読み方が分かれば、セキュリティの点検は怖いものではありません。まだ一度も測っていなければ、会社のドメインのメールアドレスでVibeGuard の無料診断を受けてみてください。点数と「危険」の数が分かるだけで、次に誰へ何を頼むかが決まります。
書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』。
出典
この記事を書いた人
アンリミテッドアム株式会社 CEO
大学卒業後、送電線建設会社、コンサル会社、メーカーと転職の後に独立。
1998年よりECスタートし、独立系ECコンサルタントとしては日本最古。
1999年よりネットショップ運営に携わり、立ち上げ1年半で月商4500万円を達成。3年連続楽天総合3位。200社を立ち上げから年商1億円以上に導く。
最高年商10億円。商品開発からシステム開発、広告プロモーションとEC経営とシステム開発にまつわる業務に精通し、運営も行う。
サポート企業は延べ1000社を超え17名のEC関連本の著者を輩出。
自ら著書3冊を持ち、新聞、雑誌など各メディアに寄稿。
2013年設立した一般社団法人ジャパンEコマースコンサルタント協会は、最新の日本と海外最新事例をECコンサルタントにアップデートしている。
2017年には、早稲田大学主幹の一般社団法人日本イーコマース学会を設立、大学にECのカリキュラムを構築。
直近では、多くのシステム開発を要件定義から開発、納品まで、直接クライアントとやりとりし、請け負っている。
著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』（SCS評価制度の星3に備える 中小企業のサイバーセキュリティ対策）