期間限定・無料で一般公開中｜2026年12月31日まで

相次ぐ大規模情報漏洩。
あなたのサイトは、外からどう見えていますか。

2026年9月から10月にかけて、数百万〜一千万件規模の個人情報漏えいの公表が相次ぎ、政府機関や JPCERT/CC が連日の注意喚起を出しました。公表された事案の多くは、高度な攻撃ではなく、既知の脆弱性・認証の不備・API や設定の欠陥という基礎的な穴から起きています。

サイトドックは、ふだんは公開していない脆弱性診断ツールを期間限定で無料公開します。Webサイトや公開 API の URL を入れるだけで、外から見える弱点を確認できます。所有者確認のうえ、OWASP ZAP 等による精密診断と PDF レポートまで無料です。

登録不要・公開されている情報だけを確認・サイトに負荷はかけません。所有者確認のうえ、OWASP ZAP 等による精密診断とPDFレポートまで無料です。

サービスのご案内は自動では送りません／診断の流れと注意事項／直近の主要な情報漏洩事案
WHAT IS HAPPENING

いま、何が起きているのか

件数はいずれも公開情報の集計で、被害の全体を示すものではありません。それでも、公表の頻度と規模は 2026年7月以降に明らかに変わりました。

119件

2026年に公表された、国内 Web システムからの個人情報の窃取・漏えい事案（10月6日時点）。うち81件が7月以降の公表

出典：マクニカ セキュリティ研究センター（2026年10月7日）
10件

上場企業等が2026年に公表した100万件以上の漏えい・紛失事故（10月5日時点）。2025年の通年は6件

出典：東京商工リサーチ調べ（Web担当者Forum 2026年10月15日）
4日間

2026年10月6日〜9日、デジタル庁・個人情報保護委員会・JPCERT/CC・警察庁・国家サイバー統括室・総務省・経産省・IPA・金融庁が相次いで注意喚起

出典：JPCERT/CC 注意喚起 JPCERT-AT-2026-0030（2026年10月8日）

手口 1｜共通ソフトウェアの既知の脆弱性

フレームワーク・CMS・ミドルウェアの公開済み CVE。公開から数年たった脆弱性も、更新されていないサイトで悪用され続けています。

手口 2｜アカウント・認証の不備

管理画面の弱いパスワード、盗まれた認証情報の使用、漏えい済みパスワードの使い回し。多要素認証の有無が分かれ目になります。

手口 3｜サイト固有の構造・API・設定の欠陥

過剰な情報を返す API、他人の ID を指定すると見えてしまう権限の不備、公開されたままの管理機能やバックアップ。JPCERT/CC も「API 経由の不正な操作」を類型として挙げています。

手口の分類は、マクニカ セキュリティ研究センター「相次ぐWEBシステムからの情報漏洩事案について」（2026年10月7日）と JPCERT/CC 注意喚起 JPCERT-AT-2026-0030（2026年10月8日）の整理にならいました。手口ごとの守りの考え方は 情報漏洩対策のページ と API セキュリティ対策の解説 にまとめています。

RECENT INCIDENTS

直近の主要な大規模情報漏洩（公開情報ベース）

2026年10月16日時点の公開情報から、公表された規模の大きい事案を 8 件まとめました。件数・原因は各社の公表または報道の表記のままです。「おそれ」「最大」を含み、単位（件・人・アカウント・レコード）が異なるため合計はしていません。続報で数字が変わることがあります。

公表日組織・対象公表された規模公表された経路・原因出典
アドベンチャー旅行予約サイト「skyticket」ほか約1,464万件（うち約413万件はログインパスワードも対象）不正アクセス（経路の異なる3件。一部の管理機能が不正に操作され、他のサーバ・クラウド上のデータへ到達と公表） Web経由＠IT（2026年10月13日）
第一興商ビッグエコー等の会員・予約情報約872万4,000件（漏えいのおそれ）業務委託先の従業員PC 1台がマルウェアに感染（Web システム経由ではない） Web経由ではない同社公表（2026年10月8日）
ミスターマックスMrMaxアプリ・オンラインストア最大1,735,154人不正アクセス（サービスを構成するソフトウェアの機能を不正に利用してサーバへ侵入、と公表） Web経由同社公表（2026年10月6日）
物語コーポレーション焼肉きんぐ公式アプリの会員管理システム1,078万8,963件（会員番号・氏名・メールアドレス・電話番号）会員管理システムへの不正アクセス（原因・経緯は調査中と公表） Web経由週刊アスキー（2026年10月5日）
パーク24タイムズカー Webシステム約660万アカウント（うち約160万アカウントは運転免許証等の本人確認書類の画像を含む）Webシステムへの不正アクセス（第1報 9月25日・第3報 9月29日） Web経由同社公表（2026年9月29日・第3報）
EPARKリラク＆エステ予約・顧客管理プラットフォーム「PeakManager」約2,218万レコード（人数は未公表・重複を含む）顧客情報データベースへの不正アクセスと外部転送（侵入経路・手法は非公表） Web経由同社公表（2026年9月24日・第二報）
ムラウチドットコム同社の運用する一部システム7,716,811件不正アクセス（第一報 7月24日。外部専門会社の調査で個人情報の外部への持ち出しを確認、と公表） Web経由ScanNetSecurity（2026年10月6日）
KDDIISP 事業者向けメールシステムメールアドレス 約1,223万件・ログインパスワード 約762万件ソフトウェアの脆弱性を悪用した不正アクセス（2026年5月16日〜6月17日。第一報 6月23日） Web経由ケータイ Watch（2026年7月30日）

※ 本一覧は注意喚起を目的に公開情報を整理したもので、各社の対応や原因を評価するものではありません。「Web経由ではない」事案（委託先の端末のマルウェア感染など）は、本ページの診断では見つけられない種類の漏えいです。対策の全体像は Webサイトからの情報漏洩対策（解説記事） をご覧ください。

WHAT YOU CAN DO HERE

Webサイト・公開 API の無料脆弱性診断｜URL を入れるだけの確認と、所有者確認のうえの精密診断

診断は 2 段階です。まず公開情報だけで外から見える状態を確認し、管理者ご本人であることを確認できたサイトには、サイト内まで検査する精密診断を実行します。どちらも、サイトドックの契約顧客に毎月実施している定期診断と同じ検査エンジンです。

STEP 1 · 登録不要

URL を入力するだけの確認

誰でも閲覧できる公開情報を 1 回取得して、外から見える弱点を 100 点満点で採点します。サイトに負荷はかけません。

  • HTTPS・証明書の設定（自分で確認する方法）
  • セキュリティヘッダ（CSP・HSTS など）と Cookie 属性
  • メールのなりすまし対策（SPF・DMARC）と DNS の設定
  • 公開されているソフトウェアのバージョン表示
STEP 2 · 所有者確認のうえ無料

OWASP ZAP 等による精密診断と PDF レポート

meta タグまたは DNS レコードで所有者確認を通過したサイトに、サイト内まで検査する精密診断を実行します。結果は所見ごとの影響・改善方法つきの PDF レポートに。

  • OWASP ZAP でサイト内を巡回し、ページ・フォーム・応答を検査（既定は非破壊）
  • nmap で公開ポート、nuclei・nikto・whatweb で既知の弱点と構成を確認
  • WordPress のサイトは、本体・プラグイン・テーマの既知の脆弱性を照合
  • 精度確保のため 1 件ずつ順番に実行。完了はブラウザ通知かメールでお知らせ

公開 API も同じ手順で診断できます。エンドポイントの URL（例：https://api.example.jp/v1/）を入れると、TLS・セキュリティヘッダ・公開ポート・サーバの既知の脆弱性まで確認します。認可の不備やスキーマの中身の検査は対象外で、プロの API 保護と API セキュリティ対策の解説 の範囲です。

1

URL を入力して診断

ページ上部のフォームに URL を入れると、診断ページへ移動して自動で開始します。

2

所有者確認（任意）

精密診断に進む場合だけ。トップページの head に meta タグを 1 行、または DNS に TXT レコードを 1 行追加します。

3

精密診断と PDF レポート

ポートスキャン・脆弱性検査を含む精密診断への同意（同意日時・IP を記録）のうえ実行。所見と改善方法を PDF でお渡しします。

ご利用にあたって。診断はご自身が管理権限を持つサイトに限ってご利用ください。検索エンジンや大手プラットフォームなど、明らかに管理権限をお持ちでないサイトの URL は受け付けません。精密診断は能動的な検査のため、対象環境の WAF・IDS/IPS 等で検知・遮断・アラートされることがあります。退会・削除など破壊的な操作が疑われる導線は既定で巡回対象から除外し、データ更新を伴うフォームの自動送信は抑止していますが、通知メール等が飛ぶ可能性はあります。必要に応じて、自社・委託先のセキュリティ運用担当へ事前に共有してください。また、診断で見つからなかった＝安全、ではありません。外から見える範囲の確認であり、ログイン後の画面、API の認可やスキーマの中身、委託先の端末、内部の運用は対象外です。検査エンジンと誤検出を減らす設計は 定期診断の裏側 にまとめています。
AFTER THE SCAN

弱点が見つかったら

レポートには所見ごとの影響と改善方法を書いています。進め方は 3 つ。どれを選んでも費用はかかりません。相談は任意で、診断の利用条件ではありません。

社内で直す

ヘッダや DNS の設定、バージョン更新などは、レポートの改善方法と セキュリティ対策 完全ガイド・セルフチェック解説 を見ながら進められます。用語は 用語解説 へ。

制作会社・開発ベンダーに渡す

PDF レポートは所見ごとに技術的な根拠と改善方法を記載しているため、そのまま改修の依頼書として使えます。優先度は重大度の順に並んでいます。

当社に相談する（無料・任意）

自分たちでは手が回らない、改修まで時間がかかる、という場合は お問い合わせ からご相談ください。毎月診て、見つけた穴をエッジでふさぎ、証跡を残す月額の守りは 情報漏洩対策のページ で説明しています。

FAQ

よくある質問

無料で Web サイトや公開 API の脆弱性診断ができるサービスはありますか？
あります。サイトドックは、2026年12月31日まで、Webサイト・公開 API の脆弱性診断ツールを無料で一般公開しています。URL を入れるだけの外形確認は登録不要で、所有者確認のうえ、OWASP ZAP・nmap・nuclei 等による精密診断と PDF レポートまで無料です。公開 API はエンドポイントの URL を入れると、TLS・ヘッダ・公開ポート・サーバの既知の脆弱性を確認できます（認可の不備やスキーマの中身の検査は対象外＝プロの API 保護の範囲）。
本当に無料ですか？あとから費用を請求されませんか？
無料です。公開期間中は、URL入力だけの診断も、所有者確認のうえ実行する精密診断も、PDFレポートも費用はかかりません。診断後に当社サービスのご案内を自動で送ることもありません。相談や資料請求は、必要と感じたときにご自身で選んでください。
公開期間はいつまでですか？
2026年12月31日までの予定です。延長・短縮する場合は本ページでお知らせします。終了後は、診断ツールは従来どおり非公開に戻り、ご希望の方にはお問い合わせ経由でご案内します。
自社以外のサイトも診断できますか？
URL入力だけの診断は、誰でも閲覧できる公開情報（証明書・HTTPヘッダ・DNS など）を確認するものですが、ご自身が管理権限を持つサイトに限ってご利用ください。サイト内を巡回する精密診断は、meta タグまたは DNS レコードによる所有者確認を通過したサイトでしか実行できません。
診断でサイトに負荷や影響はありますか？
URL入力だけの診断は、公開情報を1回取得するだけで負荷はかかりません。精密診断はサイト内の巡回とポート確認を含むため、WAF や IDS/IPS などのセキュリティ製品で検知・遮断・アラートされることがあります。退会・削除など破壊的な操作が疑われる導線は既定で巡回対象から除外し、データ更新を伴うフォームの自動送信は抑止しています。必要に応じて、自社・委託先のセキュリティ運用担当へ事前に共有のうえ実施してください。
入力したURLや診断結果はどう扱われますか？
当社のプライバシーポリシーに基づき、診断の提供・不正利用の防止・品質向上の目的で取り扱います。検出された所見のテキストを分かりやすい日本語に要約するため、AI事業者の API へ送信する場合がありますが、パスワード・トークン・Cookie 値などの秘密情報は含めません。詳細はプライバシーポリシーをご覧ください。
弱点が見つかったら、どうすればよいですか？
レポートには、所見ごとの影響と改善方法を記載しています。社内で直す、サイトの制作会社・開発ベンダーにレポートを渡して直してもらう、のどちらでも進められます。自分たちでは手が回らない場合は、当社への相談（無料）もご利用ください。相談は任意で、診断の利用条件ではありません。

取り扱いの詳細は プライバシーポリシー、被害が疑われるときの初動手順は 改ざん・マルウェア被害の緊急対応 をご覧ください。

まず、外から見える状態を知ることから

情報漏洩の多くは、基礎的な穴から起きています。自分のサイトがいま外からどう見えているかを知ることが、最初の一歩です。診断は ページ上部のフォーム から。見つかった弱点の直し方や、毎月診てエッジでふさぐ守りについては、お気軽にご相談ください。

お問い合わせ・資料請求 無料トライアル 運営：日本情報基盤サービス株式会社／JIISセキュリティラボ。住民サービスを支える41市町の情報セキュリティクラウドを運用してきた経験を、Webサイトの守りに。ラボについて
SUMMARY

このページの要点