これは、自分の失敗の話です。
ある日、自社名で検索したときに、見覚えのないページが出てきた。
うちのドメインなのに、自分が作った記憶が一切ないページ。 クリックしてみると、自社サイトのトップが普通に表示される。おかしい。
調べていくと、サイトマップに大量のURLが登録されていた。 数えたら、701件あった。すべてスパムだった。
タチが悪いのは、人間がアクセスしても気づけないようにできていたこと。 検索エンジンのクローラーにだけ別のページを見せて、人間には正常なサイトを見せる。だから、自分でサイトを開いても異常は一切分からない。
つまり、しばらく前から乗っ取られていて、その間ずっと気づいていなかった。
業務改善とか、仕組み化とか、そういうことを仕事にしている人間が、 自分の会社のサイトを半年以上放置していた。
やったことは、原因の特定、スパムURLの駆除、サイトマップの再生成、Search Consoleでの再審査申請。手順としてはそれだけで、作業自体は難しくない。
問題は、気づくまでに時間がかかったことのほうだった。
なぜ気づけなかったか。 理由はシンプルで、見ていなかったからだ。それに尽きる。
セキュリティ対策は入れていた。バックアップも取っていた。 でも「異常が起きたときに、それに気づける仕組み」は何も作っていなかった。
これは、支援先でよく見る構図とまったく同じだった。
チェック体制はある。ルールもある。 でも「ルール通りに運用されているか」を確認する人がいない。だから、崩れたことに誰も気づかない。
対策を作ることと、対策が効いているかを見ることは、別の仕事だ。 自分は前者だけやって、後者をやっていなかった。
じゃあ毎日サイトを監視しろという話なのか、というと、それは現実的じゃない。 中小企業に、そんな余力はない。
自分がその日から始めたのは、月に一度、10分で終わる3つの確認だけ。
- 自社名とドメインで検索して、身に覚えのないページが出ていないか見る
- Search Consoleのインデックス数を見る（急に増えていたら異常）
- サイトマップの件数を見る
これだけで、少なくとも「半年気づかない」はなくなる。
もちろん、これで全部防げるわけじゃない。 攻撃の入り口を塞ぐのはまた別の話で、そこは専門家の領域だと思う。ただ、気づけない状態を放置していることのほうが、中小企業にとっては現実的なリスクだと思っている。
情報セキュリティの話になると、どうしても「何を入れるか」の議論になりやすい。 でも、その前に必要なのは「異常に気づける状態かどうか」のほうじゃないか。
思い返すと、技術的な知識が足りなかったわけじゃない。 自分のことだから後回しにしていい、と無意識に思っていただけなんだと、今は思う。
みなさんの会社のサイト、最後に確認したのはいつでしょうか。 今日、自社名で検索してみるところから始めてもいいかもしれません。
