サイバー攻撃で広告も問い合わせも止まる前に｜Webマーケ担当者が準備すべき対策

1. 守る対象は「サイト」だけでなく、集客から受付までのつながり

Webサイトが表示できても、問い合わせメールが届かなければ商談機会は失われます。広告アカウントが安全でも、リンク先が別サイトへ転送されていれば、訪問者を危険な場所へ送るおそれがあります。マーケティング担当者は、自分が編集できる画面だけでなく、広告・SNSから問い合わせ受付までのつながりを管理対象にしてください。

資産台帳には「会社が取り戻せるか」まで書く

管理対象を、広告、SNS、ドメイン、サーバー、CMS、タグ管理、アクセス解析、フォーム、メール、顧客管理に分けます。ツール名だけではなく、契約名義、社内の責任者、操作する外注先、管理者権限の保有者、緊急連絡方法を記録します。パスワードや復旧コードそのものを、関係者全員が閲覧する台帳へ貼り付ける運用は避けてください。

制作会社が契約や設定を代行している場合は、会社側がどの範囲へアクセスできるかを確認します。担当者の個人メールにしか復旧通知が届かない、契約終了後も代理店だけが管理者である、といった状態は、障害時にも引き継ぎ時にも支障になります。権限を一斉に取り消す前に、現在の運用と復旧経路を確保する順番を決めます。

「止まると困る順」で確認範囲を絞る

最初からすべての過去記事を同じ深さで点検する必要はありません。広告費が発生しているLP、顧客情報を受け取るページ、主要SNSのプロフィールリンクを先に確認します。流入数が小さくても、個人情報を扱うフォームは優先対象です。アクセス数の多さと影響の大きさを混同しないことが重要です。

優先順位は「訪問者に被害が及ぶ可能性」「顧客情報の関与」「継続的な広告費」「代替手段の有無」で整理します。重要ページごとに正常時のURL、画面、遷移先を残しておくと、担当者が交代しても異常を説明できます。公開画面の記録と、個人情報を含むログは保存先・閲覧権限を分けて管理してください。

2. 広告・SNSは、ログイン対策と権限の棚卸しをセットにする

多要素認証を設定していても、不要な管理者や連携アプリが残っていれば、確認すべき範囲は残ります。担当者が変わったときは、パスワード変更だけで終了せず、誰が何を操作できるかを見直します。Google広告については、公式のアカウント保護の案内でも2段階認証などの対策が示されています。各SNSも、その時点の公式管理画面とヘルプに沿って設定してください。

共有IDを減らし、依頼する業務に合う権限にする

閲覧とレポート作成だけを任せる人に、管理者権限を渡す必要があるかを確認します。個別のユーザーに権限を付与すれば、誰の操作かを追いやすくなり、契約終了時の解除もしやすくなります。ただし、製品によって設定できる権限や所有者の移行条件は異なります。勢いで唯一の管理者を外さず、代替管理者と復旧手段を確保してから変更します。

月次の報告会では、成果だけでなく「新しく追加された管理者」「不要になった外注アカウント」「承認していない外部連携」を確認項目にします。追加が必要だった理由と承認者を残すことで、正規の変更と不審な変更を区別しやすくなります。退職・異動・契約終了時は、定例日を待たずに担当部門へ解除を依頼してください。

偽の警告を見たら、通知内のリンクではなく管理画面で確認する

「本日中に認証しないと広告を停止する」といった連絡を受けても、その文面だけで判断しないようにします。普段使っている公式の入口から管理画面を開き、同じ通知があるか、正規の問い合わせ窓口で確認できるかを調べます。メール、DM、電話で復旧コードや認証コードを渡す対応は避けます。

広告費が増えた場合も、直ちに乗っ取りと断定するのではなく、予算・キャンペーン・送客先・管理者の変更を照合します。社内の承認記録がない変更や、知らない送客先が見つかったら、関係者へ連絡し、影響範囲に応じて配信停止を判断します。「忙しいので来週まとめて確認する」ではなく、承認されていない変更が分かった時点で扱う問題です。

SNSの投稿予約やAI連携を増やす場合は、運用工程も見直します。CanvaでInstagram投稿を一括作成する手順のように制作を効率化しても、公開権限まで制作関係者全員に渡す必要はありません。制作、内容確認、公開の責任を分けると、事故時に止める場所も明確になります。

3. WordPressと問い合わせは「表示・受付・到達」を別々に確認する

トップページが開くことと、問い合わせが営業担当に届くことは別です。WordPressの更新やバックアップを保守会社に任せていても、マーケティング側で主要な導線を動かして確かめる役割は残ります。点検のために実在顧客の情報を使わず、社内で識別できる確認用データと承認済みの宛先で行います。

更新とバックアップには、戻せる条件を付ける

保守契約では「更新している」「バックアップがある」という回答だけでなく、対象、実施日、失敗時の通知先、復元の担当者を確認します。データベースとファイルの片方だけでは、必要な状態を戻せない場合があります。バックアップの保存先と復元検証の実施状況は技術担当に確認し、担当者不在時の依頼先も共有します。

脆弱性への対応と互換性の確認は両方必要です。更新を永久に止めることも、準備なく大量のプラグインを更新することも避け、保守側に緊急度と手順を判断してもらいます。警察庁のウェブサイト改ざん対策は、被害時の調査とログの保管を案内しています。異常がある状態での復元や削除は、調査担当と相談して進めます。

フォームは、完了画面・受信・返信の経路を分けて点検する

確認は、ページが開く、入力できる、送信できる、完了表示が出る、受付先に届く、担当者が返信できる、という順番で行います。途中を省いて「機能している」と判定しないでください。迷惑メールへの振り分け、宛先設定、メール認証、受信側のルールなど、フォーム以外の要因でも見落としは起こります。

当メディアで2026年10月22日に行った送信確認では、送信完了表示が出たメールが、受付先の迷惑メールフォルダへ届いていました。同時に、GA4では閲覧・入力開始を確認できた一方、送信完了イベントはその確認時点で確認できませんでした。これは自サイトで確認した当日時点の状況であり、サイバー攻撃の被害事例ではありません。最新の設定状態とも区別してください。

このような問題をアクセス減少や攻撃と決めつけると、原因と無関係な設定を変えてしまいます。通知が来ない場合は、まず送信時刻と識別用の件名をそろえ、受付記録とメールの到達先を照合します。メールが見つからない場合に初めて、保守担当へ送信ログなどの確認を依頼すると、調査の範囲を絞れます。

代替窓口は、公開する前に実際に受け取れることを確認します。障害が起きているドメインのメールだけに依存する場合、代替にならない可能性があります。社内承認済みの電話窓口や別経路を準備し、扱える情報と対応時間を明記します。急場しのぎで公開SNSのコメント欄へ顧客情報を書かせてはいけません。

4. GA4・GTMの異常は、顧客受付と突き合わせて判断する

GA4の数値は、顧客の問い合わせ受付台帳そのものではありません。広告クリック、ページ閲覧、フォーム入力開始、送信成功、メール受信、営業の受付は別の出来事です。計測値だけを見て「問い合わせがない」「すべて正常」と判断しない運用を作ります。

タグの変更権限は、記事の編集権限と分けて考える

GTMなどのタグ管理は、計測だけでなくページ上の動作に関係する変更を含む場合があります。公開権限を持つ人、レビューする人、変更理由、戻す版を記録します。不明なタグが見つかったときは、名前だけで削除せず、設置者と目的、送信先、変更日時を確認してください。正規の変更を消すと、原因調査中に別の計測障害を作るおそれがあります。

顧客名、メールアドレス、自由記述の問い合わせ本文などを、確認のためという理由で解析イベントへ送らないようにします。問い合わせの突合には、個人情報を含まない社内の確認番号や時刻を使い、アクセス権を限定した受付記録と照合します。GA側へ送ってよい情報は、製品の規約と社内方針の両方で判断します。

ゼロ件を見たら、まず「いつから・どこだけ」を絞る

昨日まで記録されていたイベントがゼロになっても、訪問者の減少、同意設定、管理者除外、タグの変更、集計遅延など、複数の可能性があります。実際の問い合わせ受付が続いているか、特定ページだけか、同じ時刻に別の変更がなかったかを確認します。数字が見つからないことを、実際の行動がゼロだった証拠にしないでください。

分析結果を改善判断に使うときは、Claudeを使ったInstagram分析でも扱うように、入力データの範囲をそろえることが前提です。SNSの反応とサイトのセッション、フォーム受付数を一つの指標として混ぜると、どの工程が止まったのか分からなくなります。

AIへ相談するときも、事故資料をそのまま渡さない

AIには、個人情報や認証情報を取り除いた状況整理、社内連絡文のたたき台、確認項目の整理を任せる使い方が考えられます。一方、問い合わせ一覧、認証コード、アクセスキー、顧客情報入りのログを、未承認のAIサービスへそのまま送ることは避けてください。AIの回答だけで侵害の有無や安全性を確定せず、調査担当の確認を通します。

5. 異常を見つけたら、被害拡大の防止と事実の記録を並行する

初動では、原因を完全に説明することよりも、誰に何が起きているかを共有し、顧客への被害を広げないことが先です。マーケティング担当者は、観測した画面、URL、時刻、対象キャンペーンを整理し、技術担当と広告運用担当へ連絡します。独断で復旧を急いで記録を消さないようにしてください。

マーケ担当者は、復旧作業を独断で進めるより、広告の送客先・問い合わせの到達・計測の整合性を確認し、停止と再開の判断材料をそろえる。

魚見幸司の実務上の見解

「確認した事実」と「疑い」を分けて報告する

たとえば「本日10時05分、スマートフォンで広告の遷移先が別ドメインに変わった。PCでは未確認。直近の変更担当は確認中」という報告なら、次の確認を依頼できます。「サイトが攻撃されたらしい」だけでは、影響と緊急度が分かりません。これは報告方法の架空例であり、当メディアの被害記録ではありません。

URL、画面、エラーメッセージ、発見時刻とタイムゾーン、直前の変更、関係するアカウントを残します。ただし、疑わしいページを何度も開く、未知のファイルをダウンロードする、顧客情報入りの画面を大人数のチャットへ貼る、といった調査は行いません。必要な証拠の取得方法と保管先を専門担当に確認します。

広告停止は、異常がある範囲と承認権限で決める

顧客を危険なサイトへ送っている疑いがある場合は、該当する広告やプロフィール導線の停止を急いで検討します。担当者が操作権限を持たないなら、停止を実行できる人へ連絡します。全社の広告を一律に止める必要があるかは、影響範囲と技術担当の判断によって変わります。GA4の表示が遅れているだけの場合と、遷移先が改ざんされている場合を同じ扱いにしません。

サイトのアクセス遮断、端末の隔離、ログ保全、アカウント回復は、社内手順と調査担当の指示に沿って進めます。原因が分からないままバックアップへ戻すと、侵入経路が残る場合や、調査に必要な情報を失う場合があります。攻撃者らしき相手との交渉や支払いを、マーケ担当者だけで決定してはいけません。

社外への説明も、確認済みの事実、影響範囲、利用者に求める対応、次回案内の予定を分けます。「情報漏えいはない」「完全に安全」といった断定は、根拠と責任者の確認がない段階では避けます。法令上の報告や本人通知の要否は法務・個人情報保護担当に判断を依頼し、広報文の作成だけで対応を終えないようにします。

6. 復旧後は、表示できた瞬間に広告を全開にしない

サイトが開くようになっても、顧客受付と計測が戻っているとは限りません。再開は、技術担当による安全性・原因対応の確認と、マーケティング担当による利用導線の確認を分けて行います。前者が未確認なのに、フォームが動くことだけを根拠に広告を再開しないでください。

再開に必要な証拠を、担当者別にそろえる

技術担当には、影響範囲、復旧作業、残っている制限、監視方法、問題が再発したときの連絡先を確認します。マーケティング側は、スマートフォンとPCで、広告の実際のリンク先から問い合わせまで進みます。ログインした管理者だけで確認すると、一般訪問者と異なる表示や計測条件を見落とす場合があります。

確認用の問い合わせでは、完了画面、メール到達、営業の受付、計測イベントを記録します。メール到達が確認できないまま広告を増やすと、集客費は発生しても取りこぼしが続きます。GA4のイベントだけに二重計測がある場合は、問い合わせ自体の復旧とは分けて扱い、自動入札などへの影響も広告担当と確認します。

損失の説明では、売上と機会の推計を混ぜない

社内説明用には、配信停止時間、影響する広告費、受付できなかった可能性のある件数を整理します。架空の計算例として、正常時の同じ曜日・時間帯に20セッション／時、フォーム受付率2％だったとします。4時間の停止について同じ条件を仮定すると、20×4×0.02＝1.6件が受付機会の推計です。実際に1.6人が問い合わせを断念したという観測でも、売上損失の確定値でもありません。

この推計には、季節性、広告配信量、停止中の自然流入、電話などへの迂回を反映できていない可能性があります。広告費も予算額と実際の請求額を区別し、売上への換算には商談化率や受注率の条件が必要です。不確かな金額を大きく見せるより、どのデータが欠けているかを明記する方が、再発防止の投資判断に使いやすくなります。

7. 今日・今週・毎月に分けて、続く運用へ落とし込む

対策を一度の点検で終わらせず、担当者交代やツール追加に追従できるようにします。最初から専用の管理システムを購入する必要はありません。閲覧権限を制限した台帳と、実施日・担当者・次の対応を記録する運用から始められます。以下は公的機関の所要時間基準ではなく、社内で進め方を決めるための提案です。

今日：広告を止める人と、問い合わせを受ける人を確認する

主要LP、広告アカウント、公式SNS、フォームについて、責任者と緊急連絡先を整理します。次に、管理者一覧と認証方法を確認し、不明な権限は担当部署へ照会します。権限変更や設定更新は、依存関係が分からないまま一括で実行せず、承認と復旧手段を確保して進めます。

最後に、一般訪問者の状態で主要なCTAからフォームまで動かし、承認済みの確認用問い合わせを1件送ります。受信担当にも事前に伝え、営業成果へ混入しないよう識別します。自動返信がある場合は、その到達確認も別に行います。この時点で問題があれば、記事や広告を増やす前に、取りこぼす工程の修正を優先します。

今週：保守・代理店との責任範囲を確認する

バックアップからどこまで戻せるか、夜間や休日の連絡先はどこか、広告の停止を誰が判断できるかを確認します。「制作会社に任せている」だけでは、広告やメール、ドメインまで対象に含まれているか分かりません。契約範囲外の業務と追加対応の見積もり方法も確認し、緊急時に費用承認から止まらないよう整理します。

費用は、通常の保守、緊急対応、調査、復元、再発防止で分けて相談します。一律の相場で予算を決めるより、営業時間外の対応、保全するログ、対象アカウント、復元の範囲をそろえて見積もる方が比較できます。内部作業も、設定時間だけでなく、承認・確認・関係者連絡に必要な工数を含めてください。

毎月と変更時：成果確認に、受付・権限の確認を足す

月次では管理者の変更、連携サービス、フォーム到達、バックアップ状況を見直します。毎月の固定日だけではなく、退職、代理店変更、プラグイン更新、タグ公開、フォーム移転、AI自動化ツール追加の直後にも確認します。更新担当者とマーケ担当者が別の場合は、変更連絡を受ける経路を用意します。

運用の進捗は「対策済みです」という一言ではなく、重要資産の責任者が確定した割合、不要権限の未解消件数、問い合わせ到達の確認日、復元検証の確認状況で示します。母数は今月管理している重要資産数などと定義し、未調査を安全と数えません。これらは攻撃を防げる確率ではなく、準備状況を管理する指標です。

改善を繰り返す枠組みとしては、FIELD Loopの考え方と同様に、観測した事実、判断、実行後の確認をつなげると整理しやすくなります。ただし、マーケティングの改善フレームワークをセキュリティ診断の代わりにはできません。技術的な安全確認は専門担当へ引き継ぎます。

今日の着手点は、主要な問い合わせ導線を一つ選び、停止できる人・復旧を頼む人・実際に受信する人をそろえることです。被害への不安を抱えたままツールを増やすより、責任と確認方法を具体化してください。SNS・Webの運用工程や問い合わせ導線の整理は、SNS運用の相談フォームで相談内容を共有できます。侵害調査や緊急復旧は、契約中の保守会社や専門窓口へ依頼してください。

よくある質問

小規模なメディアでも準備は必要ですか？

広告費が小さくても、顧客情報を受け取る窓口や会社の公式アカウントがあれば管理対象になります。大規模な仕組みを最初から導入するのではなく、責任者、復旧手段、受付経路から整えます。個人運営でも、端末やメールを使えないときに復旧できるかを確認してください。

外注先が対策していれば、自社は何もしなくてよいですか？

自社側には、契約範囲を確認し、停止・再開の意思決定や顧客対応を担う役割が残ります。外注先が管理していない広告、SNS、メール、計測の領域がないかを確認します。技術作業を任せることと、事業上の責任者を置かないことは別です。

アクセスが急減した場合、すぐ攻撃だと公表すべきですか？

アクセス減少だけでは原因を確定できません。まず実際のページ表示、問い合わせ受付、計測設定、障害情報を確認します。利用者に不便が生じている場合の案内と、原因の断定は分け、確認できた範囲を責任者の承認のもとで伝えます。

準備にAIを使ってもよいですか？

社内で認められた環境とデータ範囲で、台帳の項目案や訓練用の架空シナリオ、連絡文の整理に使う方法があります。実データを使う場合は機密性と送信先を確認し、出力は人が点検します。専門担当による安全性の判定をAIに置き換える使い方は避けてください。