不動産会社の脆弱性対策とは？物件サイト・査定フォーム・顧客情報を守る具体策と脆弱性診断の受け方

同業がランサムウェアで顧客情報を流出させた、「PHPの脆弱性」が公表されてサーバの更新に追われた——そんなニュースを耳にして、自社の物件検索サイトや一括査定・問い合わせフォーム、そして溜め込んだ顧客の個人情報は大丈夫だろうかと、急に不安になった方は多いはずです。

この記事は、不動産会社が脆弱性対策として「何を・どの順でやればよいか」を優先順位つきの一覧にし、自社で今すぐできることと外部に頼むべきことを仕分けるところから始めます。そのうえで、同業で実際に起きた被害、物件サイト・査定フォーム・顧客情報という自社の持ち物ごとの弱点と打ち手、「PHPの脆弱性」と言われたときにサイト構築ベンダーへ確認すべきことを整理します。

最後に、脆弱性診断について、種類・受け方・費用の目安まで踏み込みます。読み終えたら、ベンダーへの確認と、外部診断サービスの資料請求という次の一歩に進めるはずです。

不動産会社がまずやるべき脆弱性対策【優先順位つき一覧】

ここからは、不動産会社が取り組む脆弱性対策を、自社で今すぐできること・外部に頼むこと・人と体制の整備の3つに分けて整理します。すべてを一度にやろうとせず、被害の起きやすさと自社で着手できる手軽さから、上から順に手を付けるのが現実的です。

優先順位の考え方には、独立行政法人情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威」が参考になります。

2025年版の「組織」向けランキングでは、1位がランサムウェア攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がシステムの脆弱性を突いた攻撃、4位が内部不正による情報漏えい等でした。自社のシステムの弱点をふさぐことと、委託先や従業員まで含めて守ることの両方が、上位の脅威への備えになります。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2025（組織向け）｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2025.html）

取り組む対策を、優先順位の高い順に並べると次のとおりです。上から着手すれば、自社で今すぐできる低コストで効果の高い守りから固められます。

以下では、この一覧を「自社で今すぐできる技術・運用の対策」「外部の専門家に頼む対策」「人・体制の対策」の3つに分けて補足します。

自社で今すぐできる技術・運用の対策

専門業者に頼まなくても、自社または契約先のベンダーと一緒に着手できる基本の対策があります。攻撃の多くは、ソフトウェアの既知の欠陥や設定の不備という「見つけやすい弱み」を突いてくるため、まずここをふさぐだけでも被害に遭う確率は大きく下がります。

• CMS・プラグイン・PHPなどのバージョンを最新に保つ：WordPressなどで物件サイトを運用している場合、本体・テーマ・プラグイン・サーバのPHPを更新せず放置すると、公表済みの欠陥がそのまま入口になります。更新を誰がいつ行うかを決めておきます。
• 管理画面に多要素認証（ID・パスワードに加え、スマホのコードなど2つ目の要素で本人確認する仕組み）を設定する：サイトや顧客管理システムの管理画面は、パスワードが破られても二段目で止められるようにします。
• パスワードの使い回しをやめ、推測されにくいものにする：社内で共有している管理アカウントがあれば、個人ごとに分けておくことが基本です。
• 重要なデータのバックアップを取る：ランサムウェアで暗号化されても、別の場所に復元元があれば事業を止めずに済みます。IPAは中小企業向けの基本として、従来の「情報セキュリティ5か条」に「バックアップを取ろう！」を加えた6か条を示しています。

出典・参考資料（2件）

• 参考資料：安全なウェブサイトの作り方 改訂第7版｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/vuln/websecurity/about.html）
• 参考資料：中小企業の情報セキュリティ対策ガイドライン 第4.0版｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/guide/sme/about.html）

物件サイトをWordPressで運用している場合は、本体・テーマ・プラグインを最新に保つことに加えて、無料ツールやプロの診断で弱点を点検する方法があります。無料ツールとプロ診断の違いや費用の目安は、次の記事で解説しています。

外部の専門家に頼む対策

自社での更新や設定だけでは、物件サイトや査定フォームのプログラムに作り込まれた弱点や、サーバOS・WordPressなど土台のソフトウェアに潜む脆弱性までは見つけきれません。この範囲は、専門の事業者による脆弱性診断で洗い出すのが現実的です。

どの診断をどう受けるか、費用はどのくらいかは、この記事の後半「脆弱性診断とは？種類・受け方・費用の目安」で具体的に解説します。

人・体制の対策

脆弱性は、プログラムだけでなく、人の運用や権限管理の緩さにも生まれます。IPAの10大脅威でも、内部不正による情報漏えいが組織向けの4位に挙がっています。顧客情報を扱う担当者を限定し、アクセス権限を業務に必要な範囲に絞ること、退職者のアカウントを速やかに止めること、不審なメールの見分け方を従業員に共有することが、技術的な対策と同じくらい効きます。

なぜ不動産会社が狙われるのか｜同業で実際に起きた漏洩・被害事例

ここでは、不動産会社が攻撃者に狙われる理由と、同業で実際に起きた被害を、出所のはっきりした事例で見ていきます。自社に起こりうることとして捉えると、対策の優先順位が付けやすくなります。

不動産会社が狙われる理由

不動産会社は、攻撃者から見て価値の高い情報と接点を多く抱えています。氏名・住所・勤務先・年収・家族構成といった個人情報を大量に保有し、売買や賃貸の取引では大きな金額が動きます。

さらに、物件検索サイトや一括査定フォーム、問い合わせフォームなど、インターネットに公開している入口が多く、そのどれかに弱点があれば侵入の足がかりにされます。扱う情報の価値と、外部に開いた接点の多さが、業界全体を標的にしやすくしています。

実際に起きた漏洩・被害事例

不動産会社が利用するクラウドサービスへの不正アクセスは、現実に起きています。不動産事業者向けのクラウド「いえらぶCLOUD」などを提供する株式会社いえらぶGROUPは、自社のクラウドサービスで第三者による不正アクセスを確認したと公表しました。

同社の公表によると、調査の結果、不正なアクセスが行われデータが不正に取得されたことが判明しています（第一報の時点では、具体的な情報項目や件数は公表されていません）。

株式会社いえらぶGROUP（以下、当社）は、当社のクラウドサービスにおいて、第三者による不正アクセスを確認したことをお知らせいたします。（中略）その結果、不正なアクセスが行われ、データが不正に取得されたことが判明しました。

出典：当社のクラウドサービスへの不正アクセスに関するお知らせ｜株式会社いえらぶGROUP（https://www.ielove-group.jp/news/detail-1371）

被害は、自社のシステムだけでなく委託先を経由しても起こります。中電不動産株式会社は、駐車場管理を委託する名鉄協商株式会社のサーバで第三者によるランサムウェアの不正アクセスの痕跡が確認され、自社の顧客情報およそ4,000件が外部に漏えいした可能性は否定できないと公表しました。自社のセキュリティを固めていても、業務を預けた先の弱点が自社の顧客情報の流出につながる例です。

攻撃の手口としては、入力フォームを悪用してデータベースを不正操作するSQLインジェクションや、Webページに悪意あるスクリプトを埋め込むクロスサイト・スクリプティングなど、Webアプリの作り込みの不備を突くものが代表的です。IPAの10大脅威でも、こうしたシステムの脆弱性を突いた攻撃は組織向けの3位に入っています。

出典・参考資料（3件）

• 出典：当社のクラウドサービスへの不正アクセスに関するお知らせ｜株式会社いえらぶGROUP（https://www.ielove-group.jp/news/detail-1371）
• 参考資料：名鉄協商へのランサムウェア攻撃、中電不動産の顧客情報約4,000件が漏えいした可能性｜ScanNetSecurity（https://scan.netsecurity.ne.jp/article/2026/08/18/55948.html）
• 参考資料：情報セキュリティ10大脅威 2025（組織向け）｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2025.html）

不動産以外も含めて、実名企業の漏洩がどのような手口・原因で起き、どの程度の被害につながったかは、次の記事で一覧できます。自社の弱点を点検する視点で読むと、どの対策を優先すべきかが見えてきます。

漏洩時に問われる法的責任と報告義務

顧客の個人情報が漏えいした場合、信用の失墜という痛手に加えて、法律上の義務も生じます。個人情報保護法は、個人データの漏えいなどのうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときに、個人情報保護委員会への報告と本人への通知を事業者に義務づけています。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

出典：個人情報の保護に関する法律 第二十六条第一項（e-Gov法令検索）（https://laws.e-gov.go.jp/law/415AC0000000057）

報告義務の対象は、規則で定める一定の類型（要配慮個人情報を含む漏えい、不正目的のおそれがある漏えい、一定件数を超える漏えいなど）に該当する場合です。すべての漏えいが即座に報告義務になるわけではありませんが、どの事態が該当するかを事前に把握しておくことで、万一の際に慌てずに対応できます。

【資産別】物件サイト・査定フォーム・顧客情報の弱点と打ち手

ここからは、不動産会社が持つ主な資産ごとに、どんな弱点があり、何をすればよいかを対応づけて整理します。一般論の「セキュリティ対策」ではなく、自社のどの持ち物の話なのかに引き付けて読んでください。

自社で構築・運用を外注している場合は、この表をそのままベンダーへの確認リストとして使えます。次の章では、とくに相談の多い「PHPの脆弱性」を例に、ベンダーへ何を確認すればよいかを具体的に見ていきます。

「PHPの脆弱性」と言われたら？サイト構築ベンダーに確認すること

「PHPの脆弱性」というニュースが流れるたびに不安になるものの、サイトの構築を外部に任せていると、自社のサイトが該当するのか、対応は済んでいるのかが分かりません。ここでは、PHPの脆弱性とは何かを簡単に押さえたうえで、ベンダーへ確認すべき項目を整理します。

PHPの脆弱性とは何か

PHPは、WordPressをはじめ多くのWebサイトやフォームを動かすのに広く使われているプログラム言語です。そのPHP自体に欠陥が見つかると、そのPHPで動くサイト全体が攻撃の対象になり得ます。

たとえばIPAは2024年7月、Windows上で動作するPHPの脆弱性（CVE-2024-4577）について注意喚起を出しました。これは遠隔からコードを実行されるおそれがある深刻な欠陥です（共通脆弱性評価システムCVSSの基本値は9.8）。国内の複数組織で実際に悪用され、不正なプログラムを設置される被害が確認されたと報告されています。

対策として、修正済みのバージョンへのアップデートが推奨されました。なお、この事例はWindows上のPHPで確認されたものですが、PHPの脆弱性は特定のOSや環境に限って起こるわけではないため、自社サイトは該当しないと早合点せず、更新状況を確かめることが大切です。

こうしたPHPの脆弱性は、不動産業界にとっても他人事ではありません。公益財団法人日本賃貸住宅管理協会は、PHPの重大な脆弱性の公表を受けて、自協会のホームページと申込フォームを運用するサーバを修正版へ更新し、予防的に一部機能を停止したことを公表しています。

当協会のホームページ、及び申込フォームを運用しているサーバーにつきましては、公表された修正版への更新を本日（令和8年10月22日）完了いたしました。（中略）本対応は、公表された脆弱性への予防的な対策として実施しているもので、現時点で本件による不正アクセスや情報漏えいは確認されておりません。

出典：「PHP」の脆弱性に伴う当協会サーバー対応状況と一部機能の停止について｜公益財団法人 日本賃貸住宅管理協会（https://jpm.jp/topics/103954）

業界団体ですら、脆弱性の公表を受けてサーバの更新と機能停止の判断を迫られます。自社サイトを運用する不動産会社も、ベンダー任せにせず、更新が済んでいるかを自ら確認することが大切です。

出典・参考資料（2件）

• 出典：PHPの脆弱性（CVE-2024-4577）を狙う攻撃について｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/security-alert/2024/alert_20240705.html）
• 出典：「PHP」の脆弱性に伴う当協会サーバー対応状況と一部機能の停止について｜公益財団法人 日本賃貸住宅管理協会（https://jpm.jp/topics/103954）

ベンダーに確認するチェックリスト

脆弱性のニュースが出たとき、あるいは平時の点検として、サイト構築・保守を委託しているベンダーに次の点を確認します。専門用語が分からなくても、そのまま質問として投げれば十分です。

• 当社サイトのPHPやCMS（WordPress等）のバージョンは、サポート期間内の最新に保たれているか
• 脆弱性が公表されたとき、誰がいつ更新を判断・実施する体制になっているか
• WAFなど、攻撃を検知・遮断する仕組みは入っているか
• 脆弱性診断は実施しているか、しているならどのくらいの頻度か
• フォームから送られた個人情報は、どこに・どのように保管され、アクセスできる人は限定されているか

「診断は実施しているか、頻度はどのくらいか」は特に重要です。脆弱性診断を定期的に実施し、その頻度を公表しているサービスもあり、更新や設定だけでなく専門家の目で定期的に弱点を洗い出しているかが、サイトやサービスを任せるときの判断材料になります。

前述のとおり、攻撃手口の変化を踏まえると、自社サイトでは年1回以上、できれば四半期・月単位での定期診断が一般的な目安とされています。

脆弱性診断とは？種類・受け方・費用の目安

自社の更新や設定だけでは、サイトのプログラムに潜む弱点までは見つけきれません。そこを専門家や専用のツールで洗い出すのが脆弱性診断です。ここでは、診断の種類・受け方の流れ・費用の目安を順に見ていきます。

脆弱性診断の種類

脆弱性診断は、何を対象にどう調べるかでいくつかに分かれます。自社のサイトやシステムの状況に合わせて選びます。

• Webアプリケーション診断（動的診断）：稼働中の物件サイトや査定フォームに、攻撃者の視点で実際にアクセスして弱点を探します。公開中のサイトの入口を確かめたいときの基本です。
• ソースコード診断（静的診断）：サイトのプログラム（ソースコード）を解析し、書き方に起因する弱点を早い段階で見つけます。
• プラットフォーム（依存ミドルウェア）診断：サーバOSやWordPressなど、システムが土台として使うソフトウェアの弱点を検査します。PHPの脆弱性のような土台側の問題はここで見つかります。
• ペネトレーションテスト：実際のシステムに仮想的な攻撃を仕掛け、どこまで侵入・情報取得できるかを検証します。より踏み込んだ検査です。

受け方の流れ

外部の事業者に診断を依頼する場合、おおむね次の流れで進みます。申し込みと問い合わせから始まり、診断したい対象（サイトのURL、フォーム、APIなど）をヒアリングで整理し、実際の診断を経て、見つかった弱点とその直し方をまとめた報告書を受け取ります。修正後に再診断を行い、ふさげたことを確認する流れが一般的です。

近年は、年に1回だけ診断する従来のやり方から、四半期ごと・月ごとに定期的に診断するサブスクリプション型の受け方も広がっています。攻撃の手口が増え続けるなかで、一度の診断で終わらせず継続的に点検する考え方です。

費用の目安

費用は「診断の種類」と「料金の形」で大きく変わります。受託型は1回ごとの費用で、ソースコード診断から動的診断、ペネトレーションテストへと検査の深さが増すほど高くなる傾向があります。

一方、ツールで継続的に検査するSaaS型は、1回いくらではなく月額・年額のサブスクリプションで、利用人数などで料金の規模が決まります。スポットで深く調べたいか、継続的に点検し続けたいかで、向く料金の形が変わります。

種類別の具体的な金額は、このあとの比較表と各サービスの個別紹介で確認できます。

中小不動産会社が無理なく回す進め方

専任のセキュリティ担当を置きにくい中小の不動産会社でも、やり方を決めれば対策は回せます。参考になるのが、大手デベロッパーの三井不動産株式会社が内閣サイバーセキュリティセンター（NISC）のセミナーで示した考え方です。規模は違っても、骨組みはそのまま中小にも応用できます。

資産を把握し、脆弱性を管理し、攻撃対象を限定して対処（中略）①定期的なセキュリティ診断（健康診断）（中略）②攻撃者に弱みを見せない（脆弱性撲滅）

出典：三井不動産におけるサイバーセキュリティ強化の取り組み｜内閣サイバーセキュリティセンター（NISC）サイバーセキュリティ月間2024セミナー資料（https://security-portal.cyber.go.jp/cybersecuritymonth/2024/seminar/pdf/05_ohnishi_2024.pdf）

この考え方は、規模の大小を問わず応用できます。まず、自社がどんなサイト・フォーム・顧客情報を持っているかを棚卸しして把握します（資産の把握）。

次に、使っていない機能や古いシステムを減らし、守るべき範囲を絞ります（攻撃対象の限定）。そのうえで、定期的な脆弱性診断を「健康診断」のように受け、見つかった弱点を優先度の高いものから直していきます（定期診断と脆弱性の解消）。

IPAの中小企業向けガイドラインにある「情報セキュリティ自社診断」や「資産管理台帳」のサンプルを使えば、資産の把握と定期点検は手元から始められます。すべてを自前で抱え込まず、サイトの保守はベンダー、定期的な専門診断は外部サービスというように、役割を分けて回すのが続けやすいやり方です。

出典・参考資料（2件）

• 出典：三井不動産におけるサイバーセキュリティ強化の取り組み｜内閣サイバーセキュリティセンター（NISC）サイバーセキュリティ月間2024セミナー資料（https://security-portal.cyber.go.jp/cybersecuritymonth/2024/seminar/pdf/05_ohnishi_2024.pdf）
• 参考資料：中小企業の情報セキュリティ対策ガイドライン 第4.0版｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/guide/sme/about.html）

外部に頼む診断サービスは、受け方や費用が事業者ごとに異なります。ここからは、受託型とSaaS型の代表的なサービスを比較表で見比べていきます。

【比較表】不動産会社向け脆弱性診断サービス

自社サイトや顧客情報の診断を外部に頼むときに検討しやすい脆弱性診断サービスを比較します。診断の方式・対象・費用感の違いを確認してください。

脆弱性診断サービスの個別紹介

比較表に挙げたサービスを個別に紹介します。サイトを外注していて社内に開発者がいない会社は、対象を預けて報告書を受け取る受託型が扱いやすく、継続的に自動で検査したい・社内に開発体制がある会社はSaaS型が向きます。自社のサイトや体制に合う方を見極める材料にしてください。

1. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker 脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた受託型の脆弱性診断です。対象を事業者に預け、弱点と直し方をまとめた報告書を受け取る形のため、「自社のサイトやフォームを外部にきちんと見てもらいたい」という不動産会社のニーズに合います。

診断メニューは、ソースコードを解析する静的診断、稼働中のWebアプリやAPIに攻撃者視点でアクセスする動的診断、仮想的な攻撃でどこまで侵入できるかを検証する実践攻撃シミュレーション診断（ペネトレーションテスト）の3方式です。AIによる自動解析で診断スピードを高め、専門家が最終確認する設計により、年1回だけでなく四半期・月単位で繰り返す定期診断にも対応しやすい点が特徴です。

年1回で十分とされてきた診断が、なぜ定期的な実施へと変わりつつあるのでしょうか。提供元のCoWorker株式会社は、攻撃する側の変化を次のように説明しています。

費用は、静的診断が15万円程度から、動的診断が対象規模に応じて30万円程度から、Webペネトレーションテストが60万円程度からが目安です（取材に基づく金額で、正確な費用は見積りで確認してください）。

2. Aikido Security（株式会社AndGo）

Aikido Securityは、ソースコード・クラウドの設定・稼働中のWebアプリ、そしてサーバOSやWordPressなどの依存ミドルウェアまでを1つの管理画面で検査するオールインワン型の診断SaaSです。報告書を納品する受託型ではなく、ツールで継続的に自動検査する形で、ベルギーの事業者が開発し、日本では株式会社AndGoが日本語での導入・運用の窓口を担います。

とくに「PHPの脆弱性」のような、サイトの土台となる依存ミドルウェア起因の弱点まで検査対象に含む点は、物件サイトをWordPressで運用する不動産会社にとって確認したい領域と重なります。

ツール型で自社に開発チームがいることを前提とする製品のため、サイト構築を外注している場合は、保守ベンダーに運用してもらう、あるいはAndGoの日本語サポートや無料トライアルを使って導入を伴走してもらう形が現実的です。

料金は1回いくらの受託型ではなく、月額・年額のサブスクリプションです。日本窓口のAndGoの参考価格では、年額3,780ドルのBasic、年額7,560ドルのProなどがあり、月額5万円台からと案内されています（年間契約・利用者10人までの場合の参考価格で、為替により変動し、実額は問い合わせが必要です）。無料トライアルも用意されています。

脆弱性は、見つけるだけでなく直すところまで進めて初めて対策になります。診断後の修正という論点について、日本窓口の株式会社AndGoは次のように述べています。

ここでは不動産会社向けに代表的な2サービスを取り上げましたが、脆弱性診断サービスは診断方法も料金体系も事業者ごとに大きく異なります。受託型・SaaS型を含めた幅広い比較や、費用相場・選び方の詳しい解説は、次の記事にまとめています。

まとめ

不動産会社の脆弱性対策は、まず自社で今すぐできること（CMS・PHPの更新、管理画面の多要素認証、バックアップ）から着手し、次に権限管理や従業員教育で人と体制の緩さをふさぎ、自社だけでは見つけきれない部分を外部の脆弱性診断で洗い出す、という順序で進めるのが現実的です。

サイトの構築・保守を外注しているなら、PHPやCMSのバージョン・更新体制・診断の実施状況をベンダーに確認するところから始めてください。そのうえで、物件サイトや査定フォームの作り込み、サーバOSやWordPressなどの依存ミドルウェアまで検査したいときは、受託型・SaaS型の脆弱性診断サービスの資料を取り寄せ、診断範囲と費用を並べて比べてみることをおすすめします。

よくあるご質問（FAQ）

Q. 脆弱性診断とは何ですか？

A. 脆弱性診断とは、Webサイトやサーバーに潜むセキュリティ上の弱点（脆弱性）を、専門家やツールで洗い出して確認する検査です。

不動産会社の場合、物件検索サイトや一括査定・問い合わせフォームといったWebアプリ、サーバOSやPHPなど土台となるソフトウェアが対象になります。

稼働中のサイトを攻撃者の視点で調べるWebアプリケーション診断（動的診断）、プログラムを解析するソースコード診断（静的診断）、土台の依存ミドルウェアを検査するプラットフォーム診断、仮想的な攻撃で侵入を試すペネトレーションテストなどの種類があり、自社のサイトやシステムの状況に合わせて選びます。

Q. 物件サイトをWordPressで運用している不動産会社は、まず何を優先すべきですか？

A. WordPress本体・テーマ・プラグイン・サーバのPHPを、サポート期間内の最新バージョンに保つことが最優先です。

攻撃の多くは公表済みの既知の欠陥を突くため、更新を誰がいつ行うかを決めて放置をなくすだけで、被害に遭う確率は大きく下がります。あわせて、管理画面への多要素認証の設定、使っていないプラグインの削除、重要なデータのバックアップに着手すると、自前でできる基本の守りが整います。

Q. 不動産会社は脆弱性診断をどのくらいの頻度で受けるべきですか？

A. 法律で定められた頻度はありませんが、最低でも年1回、攻撃手口の変化を踏まえるなら四半期ごとや月ごとの定期診断が望ましいとされます。

従来は年1回の診断が一般的でしたが、近年は継続的に検査するサブスクリプション型の受け方も広がっています。契約しているクラウドやサイトについては、脆弱性診断を定期的に実施し、その頻度を公表しているかを確認しておくと安心です。

Q. 無料ツールや自社の更新作業だけで、不動産会社の脆弱性対策は足りますか？

A. CMSやPHPの更新・多要素認証・バックアップといった基本対策は自前で着手できますが、それだけではサイトのプログラムに潜む弱点までは見つけきれません。

入力フォームの作り込みの不備（SQLインジェクションやクロスサイト・スクリプティング）や、土台となる依存ミドルウェアの弱点は、専門の事業者による脆弱性診断やWAFの導入で補う必要があります。自前でできる基本は低コストで固めつつ、見つけきれない部分を外部の診断で洗い出す、という役割分担が現実的です。

Q. 脆弱性診断の費用は何で変わりますか？

A. 脆弱性診断の費用は、診断の種類と検査対象の規模によって変わります。

受託型の目安として、ソースコード診断（静的診断）が15万円程度から、稼働中のWeb・APIを調べる動的診断が対象規模に応じて30万円程度から、Webペネトレーションテストが60万円程度からが一つの水準です。

一方、ツールで継続的に検査するSaaS型は1回いくらではなく月額・年額のサブスクリプションで、月額5万円台からという参考価格の例もあります（いずれも取材に基づく金額で、為替等により変動するため、正確な費用は見積り・問い合わせで確認してください）。

Q. サイトを外注している不動産会社は、自社で何を確認すればよいですか？

A. サイトの構築・保守を委託しているベンダーに、PHPやCMSのバージョン・更新体制・WAFの有無・脆弱性診断の実施状況を確認することが最初の一歩です。

専門用語が分からなくても、「PHPやCMSはサポート期間内の最新に保たれているか」「脆弱性が公表されたとき誰がいつ更新するか」「診断は実施しているか、頻度はどのくらいか」「フォームから届いた個人情報はどこに保管され、誰がアクセスできるか」を、そのまま質問として投げれば十分です。これらに即答できるかどうかも、サイトを任せ続けてよいかの判断材料になります。

Q. 顧客情報が漏えいした場合、不動産会社は必ず個人情報保護委員会へ報告しなければなりませんか？

A. すべての漏えいが報告義務の対象になるわけではなく、報告が義務づけられるのは個人情報保護委員会規則で定める一定の類型に該当する場合です。

具体的には、要配慮個人情報を含む漏えい、不正な目的によるおそれがある漏えい、一定件数を超える漏えいなどが対象とされます。どの事態が該当するかを平時に把握しておくと、万一の際に委員会への報告と本人への通知を慌てずに進められます。

出典・参考資料（1件）

• 出典：個人情報の保護に関する法律 第二十六条第一項（e-Gov法令検索）（https://laws.e-gov.go.jp/law/415AC0000000057）

脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、不動産会社のサイト・フォーム・顧客情報を守る脆弱性診断サービスの最新資料を無料で一括請求できます。診断範囲や費用を並べて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。