Webサイトの脆弱性診断で何が分かる？決済画面の改ざんが続く今の3点

2026年10月29日、グッドスマイルカンパニー公式ショップの第 3 報が報じられました（HOBBY Watch 2026年10月29日）。10月21日 13時55分から10月23日 7時までのあいだ、クレジットカードの決済ページに不正なプログラムが置かれ、対象は 2,800 名、カード名義人名・カード番号・有効期限・セキュリティコードが流出したおそれがあるとしています。同社は、原因は最近報告された PHP の脆弱性ではないと説明しています。

ネットショップや会員サイトを持つ会社なら、「うちの決済画面は大丈夫か」と気になったはずです。ただ、調べ始めると専門用語ばかりで、何を見ればいいのか分からない。この記事は、そんな方のために書きました。

先に答えを言います。Web サイトの脆弱性診断で外から分かるのは、決済画面を「すり替えられやすい状態か」です。見る所は 3 点だけ。①外から読み込むスクリプトに改ざん検知が付いているか、②フォームの送り先が知らない外部ドメインになっていないか、③古いパーツを使っていないか。これで全部が分かるわけではありませんが、外から見える 3 点は無料で確かめられます。

決済画面の改ざんとは、何が起きることか

決済画面の改ざんとは、お客様がカード番号を入れるページに、気づかれないように別のプログラムを置かれることです。画面の見た目は変わらず、注文も普通に進みます。そのあいだに、入力されたカード番号が別の所へ送られます。お客様も、お店も、すぐには気づけません。

グッドスマイルカンパニーの例でも、同社が不正なプログラムの設置を把握したのは、置かれてから 1 週間ほどあとの 10月28日の夕方でした。原因はサイトごとに違い、今回の件の詳しい侵入経路はまだ公表されていません。だからこそ、外から確かめられる所は先に確かめておく、という考え方が大事になります。

1点目　外から読み込むスクリプトに、改ざん検知があるか

多くのサイトは、ほかの会社が配っているスクリプトやパーツを、外部から読み込んで使っています。その配り元が書き換えられると、読み込んでいる側のページも、知らないうちに書き換わります。

これを防ぐのが、SRI（サブリソース・インテグリティ）と呼ばれる改ざん検知です。読み込むファイルに「中身の指紋」を付けておき、指紋が合わなければブラウザが読み込まない、という仕組みです。VibeGuard の点検では、外部から読み込むスクリプトやスタイルにこの改ざん検知が付いているかを見て、付いていないものを一覧で知らせます。

ただし、タグマネージャーやアクセス解析のタグは、提供元が中身を随時更新するため、仕組み上この改ざん検知を付けられません。点検ではこれらを分けて表示するので、「付けられるのに付いていないもの」だけを直せば大丈夫です。

2点目　フォームの送り先が、知らない外部ドメインになっていないか

入力フォームには、「入力された内容をどこへ送るか」という送り先が書かれています。この送り先が外部のドメインになっていると、お客様が入れた内容は、その外部のサービスへ渡ります。

決済代行会社やフォームのサービスを使っていれば、送り先が外部なのは普通のことです。大事なのは、それが自社の契約しているサービスかどうかです。点検で「フォームの入力が外部ドメインへ送られています」と出たら、出てきたドメインの一覧を制作会社に見せて、全部が契約先かを確かめてもらいます。知らない送り先が 1 つでもあれば、その日のうちに相談してください。

3点目　古いパーツを使っていないか

jQuery や Bootstrap のような広く使われているパーツは、古い版のまま使っていると、すでに知られている弱点がそのまま残ります。IPA の調査（IPA 2025年2月14日 速報版）でも、不正アクセスを受けた中小企業の 48.0% が「脆弱性を突かれた」と答えています。

VibeGuard の点検では、ページが読み込んでいるファイルの名前から、使っているパーツとそのバージョンを読み取り、公開の脆弱性データベースと照らし合わせます。古いバージョンや既知の弱点が見つかれば、名前とバージョンを知らせます。制作会社には「このバージョンを上げられますか」と聞くだけで足ります。

外からの点検で分からないこと

外からの点検で分かるのは、ここまでの 3 点のように、ページの表に出ている所です。サーバーの中に置かれたプログラムや、管理画面を乗っ取られたかどうかは、外からは分かりません。

カード決済のあるネットショップは、クレジットカード・セキュリティガイドライン 6.1版（日本クレジット協会の資料のページ）で、Web アプリケーションの脆弱性診断かペネトレーションテストを定期的に行うことが求められています。中身まで確かめるには、ログインした後の画面とソースコードまで 1 回でまとめて見るスポット診断（1 回 98,000 円・税別、2026年11月3日に料金のページで確認）のような深い診断が要ります。

持っていない情報は、漏れない

もう一つ、決済のセキュリティで一番強い対策があります。カードの情報を自社で持たないことです。2026年10月16日に最終報を出した Eストアー（Eストアー 最終報 2026年10月16日）は、カード番号の全部とセキュリティコードを持っていなかったため、流出した情報だけではカード決済の不正利用はできない、と説明しています。

カードの情報は決済代行会社に任せ、自社では持たない。お客様がカード番号を入れる画面も、できるだけ決済代行会社の側に置く。この 2 つを制作会社と確かめておくだけで、改ざんされたときの被害の大きさが変わります。

今日やること

1. 決済やお問い合わせのページの URL を 1 つ選ぶ
2. 会社のドメインのメールアドレスで、その URL の無料診断を申し込む
3. 結果に「読み込むパーツのすり替え」や「外部ドメインへ送られています」の行があるかだけ見て、あれば制作会社に転送する

見るのは 3 点だけです。全部を理解しなくても、行があるかないかが分かれば、次の一手が決まります。

よくある質問

無料の点検で問題がなければ、決済画面は安全ですか？

外から見える 3 点に問題がない、という意味です。サーバーの中にプログラムを置かれた場合や、管理画面を乗っ取られた場合は、外からの点検だけでは分かりません。カード決済のあるサイトは、年に 1 回は中身まで見る診断を受けてください。

タグマネージャーやアクセス解析のタグにも、改ざん検知を付けるべきですか？

タグマネージャーやアクセス解析のタグは、提供元が中身を随時更新するため、仕組み上、改ざん検知を付けられません。VibeGuard の点検でも、これらは「改ざん検知の対象外」として別に表示します。決済のページには、本当に必要なタグだけを置くのが現実的な対策です。

カード決済を決済代行会社に任せていれば、関係ありませんか？

カード番号を自社で持たないのは、とても強い対策です。ただ、お客様がカード番号を入れる画面が自社のサイトの中にある場合は、その画面に不正なプログラムを置かれる余地が残ります。決済の画面がどこにあるかを、制作会社に一度確かめてください。

点検の結果、問題があったら何から直しますか？

決済やお問い合わせのページで「外部ドメインへ送られています」と出た送り先が、自社が契約しているサービスかを最初に確かめます。知らない送り先なら、その日のうちに制作会社へ連絡してください。次に、古いパーツのバージョンを上げ、外部から読み込むファイルに改ざん検知を付けます。

決済画面の外から見える 3 点は、会社のドメインのメールアドレスで申し込むVibeGuard の無料診断で確かめられます。毎日の点検と直し方まで欲しくなったら、料金のページでプランを見比べてください。

書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』。

出典

• HOBBY Watch 2026年10月29日（グッドスマイルカンパニー公式ショップ 第3報）
• IPA「2024年度中小企業等実態調査結果」速報版 2025年2月14日
• 日本クレジット協会 クレジットカード・セキュリティガイドライン 資料のページ（6.1版）
• Eストアー「不正アクセスによる個人情報漏洩に関するお知らせ（最終報）」2026年10月16日
• 江藤正親『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』
• VibeGuard トップページ（診断項目・2026-11-03 確認）
• VibeGuard 無料診断（2026-11-03 確認）
• VibeGuard 料金（2026-11-03 確認）