問い合わせフォームの個人情報漏えい対策｜バックアップだけでは守れない理由

「ホームページのバックアップを取っているから、何かあっても大丈夫」

そう思っていませんか。

バックアップは、壊れたサイトや消えたデータを復元するための大切な備えです。しかし、すでに流出した個人情報を、バックアップによって回収・削除することはできません。

お問い合わせフォームで受け取る氏名、メールアドレス、電話番号、相談内容。送信後に「どこに保存され、誰が読めるのか」まで確認することが、個人情報漏えい対策の第一歩です。

大企業の情報漏えいは、なぜ起きた？

企業の公表資料を見ると、原因は外部からの攻撃だけではありません。盗まれたアカウント、内部の人による持ち出し、クラウドの設定ミスなど、さまざまです。

表が画面に収まらない場合は、左右にスクロールできます。

国内企業の主な情報漏えい・漏えいのおそれの事例
事例	公表された侵入経路・原因	被害・対象情報の整理
アサヒグループ 2025年発生	拠点のネットワーク機器から侵入。パスワードの弱点を突かれて管理者権限を奪われ、内部の探索や侵入が拡大したと説明しています。	2026年2月公表の漏えい確認は、従業員等5,117件、取引先等110,396件。 7月には「漏えいのおそれ」がある対象範囲を更新しています。 [1] [2]
アスクル 2025年発生	例外的に多要素認証が適用されていなかった、委託先向けの管理者アカウントが不正利用されました。	2025年12月時点で約74万件の流出を確認。 2026年7月には、漏えいの事実は未確認ですが、おそれを否定できない約60万件を追加で本人通知の対象としました。 [3] [4]
KADOKAWAグループ 2024年発生	従業員の認証情報の窃取が根本原因と推測されています。フィッシングなどが想定されていますが、具体的な窃取経路・方法は不明です。	2024年8月5日の公表時点で、 254,241人分の個人情報の外部漏えいを確認しています。 [5]
NTT西日本グループ 2023年公表	元派遣社員がシステム管理者アカウントを悪用し、顧客情報を不正に持ち出した内部不正です。	69の委託元に関する928万件。外部からの侵入とは異なる事案です。 [6]
トヨタコネクティッド 2023年公表	クラウドの誤設定により、データが外部からアクセスできる状態になっていました。	約215万人に関する車載端末ID、車台番号、車両の位置情報、時刻が対象です。氏名やメールアドレスの名簿215万人分が流出した、という意味ではありません。公表時点で第三者による二次利用等は未確認でした。 [7]

※「漏えいが確認された情報」と「漏えいのおそれがある情報」は異なります。また、件数・人数の定義も異なるため、単純な比較や合算はできません。

これらは、問い合わせフォームの不具合が原因と確認された事例ではありません。 ただし、フォームで受け取った情報についても、保存先やアカウント、閲覧権限まで含めて管理する必要があることを考える参考になります。

バックアップと情報漏えい対策は、役割が違う

バックアップが役立つのは、サイトが壊れたり、データが消されたり、ランサムウェアで読めなくされたりしたときの復旧です。

一方、情報漏えい対策では、そもそも情報を不正に読まれたり、持ち出されたりしにくくする必要があります。

「復元できること」と「情報を漏らさないこと」は、両方備えたい別の課題です。

バックアップ自体にも個人情報が含まれる場合があるため、その保存先やアクセス権も確認しましょう。

SSLや暗号化で、どこまで守れる？

表が画面に収まらない場合は、左右にスクロールできます。

暗号化で守れる範囲と、別に対策が必要なこと
対策	主に守る範囲	限界・注意点
HTTPSによる通信の暗号化	ブラウザーと送信先の間を流れる情報。	受信後の保存情報や、管理者による閲覧、侵害されたサイト内の処理には別の対策が必要です。
ディスク・データベース全体の暗号化	盗まれた保存機器や、暗号化されたままのデータファイルなど。	稼働中のシステムや正規アカウントから読める情報の持ち出しを、そのまま防げるわけではありません。
氏名・住所・本文などの項目単位の暗号化	復号に必要な鍵を含まない、データベースのコピーの流出など。	鍵も盗まれたり、システムの復号機能を悪用されたりすると、保護が弱まります。
公開鍵で暗号化し、秘密鍵を別環境で管理	サイト側で復号できない構成なら、過去の保存情報の保護に役立ちます。	侵害中のサイトが新しい入力を盗むことや、復号する環境への侵入には別の対策が必要です。

※守れる範囲は、構成や運用によって異なります。 [8] [9]

表の仕組みをすべて自社で導入する必要がある、という意味ではありません。扱う情報や業務に合わせて、必要な対策を選びます。

SSL／HTTPSを設定していても、受信後の個人情報管理まで自動的に安全になるわけではありません。

問い合わせフォームの情報は、どこに残っている？

「担当者にメールが届くから、それで終わり」とは限りません。設定によっては、次の場所にも情報が残ります。

WordPressなどのホームページ管理システム
担当者への通知メールや、お客様への自動返信
アップロードされた添付ファイル
メール送信ログやバックアップ
制作・確認用に複製したテストサイト

保存先が増えれば、それぞれの管理も必要になります。

問い合わせが正常に届くことと、受け取った個人情報が適切に管理されていることは、別々に確認しましょう。

企業が確認したい、5つのセキュリティ対策

1．必要以上の情報を集めない

初回のお問い合わせでは、氏名とメールアドレスまたは電話番号など、返信・対応に必要な情報に絞ります。

住所、生年月日、本人確認書類などの追加情報は、業務上必要になった段階で求めるようにしましょう。

2．情報を見られる人を限定する

管理者アカウントの共有を避け、担当者ごとに必要な権限を設定します。

退職者や契約が終了した委託先のアカウントが残っていないか、情報のダウンロードを許可する人は誰かも確認しましょう。

3．ホームページとメールのアカウントを守る

対応サービスでは多要素認証を有効にし、パスワードの使い回しを避けます。

フォームの情報がメールへ届くなら、ホームページだけでなく、受信メールのアカウントも保護が必要です。

4．保存期間を決める

対応済みの問い合わせを、いつまでも残す必要があるか見直します。

業務上の必要性や法令・契約上の要件に合わせて、メール、添付ファイル、バックアップを含む保存・削除のルールを決めましょう。

5．更新と設定確認を続ける

WordPress本体、プラグイン、テーマなどを適切に更新し、フォームの動作と設定を確認します。 [10]

迷惑送信を防ぐ対策と、受け取った個人情報を守る対策は、それぞれ必要です。公開時だけでなく、担当者や利用サービスが変わったときにも確認しましょう。

制作会社・保守会社には、何を確認すればよい？

専門用語が分からなくても、まずは次の3つを聞いてみてください。

「どこに保存されるか」「誰が見られるか」「いつ削除するか」

保守を依頼している場合も、フォームの保存設定や個人情報の管理について、契約のどこまでが対応範囲なのか確認しておきましょう。

担当者がいない会社の管理体制については、中小企業のホームページセキュリティ対策｜担当者がいない会社の保守・管理でも紹介しています。

問い合わせフォームの管理に不安はありませんか？

「個人情報の保存先が分からない」
「前の担当者が設定したままになっている」
「今の保守で、どこまで確認してもらえるのか知りたい」

そんなときは、現在の管理状況を整理するところから始めましょう。

茨城県ひたちなか市のクミディアは、企業・団体のホームページ制作から、公開後の運用・保守まで支援しています。現在の状況を伺い、見直したい項目と対応範囲をご案内します。

参考資料

ホームページ運用・WordPress保守の支援内容を見る

※企業事例は各社の公表資料に基づき、2026年10月16日時点で確認した内容です。個別のサイトに必要な対策は、扱う情報や利用環境によって異なります。

問い合わせフォームの管理に不安はありませんか？

「個人情報の保存先が分からない」「今の保守で十分なのか確認したい」
クミディアが現在の状況を伺い、見直したい項目と対応範囲をご案内します。

問い合わせフォームの管理について相談する

Go Iijima

合同会社クミディアウェブマーケティング共同創業者。 18年以上にわたり、Web制作・SEO戦略・サイト構造設計・アクセス解析・Webセキュリティ分野に従事。茨城県を中心に全国および米国クライアントのWeb戦略を支援。サーバー構築から設計・制作・運営・改善まで一貫して担当。専門領域は、中小企業向けローカルSEO戦略と成果直結型サイト構造設計。研究分野はWebセキュリティおよびエシカルハッキング。Goのブログ