AIを使えば、サイトは5分で完成します。デザインもフォームも整っています。
でも、そのサイトはもう「誰か」に狙われているかもしれません。
2026年10月5日には「焼肉きんぐ」のアプリから1,000万件超の会員情報が流出しました。9月にはタイムズカーで約660万アカウントが流出しています。2025年に上場企業が公表した漏えい事故は180件で、過去2番目の多さでした。
しかも、狙われているのは大企業だけではありません。
中小企業の「お問い合わせフォーム」も漏れている
2026年には、フォームに送られた情報の流出が相次いで公表されています。
| 公表日 | 企業 | 規模 | 原因 |
|---|---|---|---|
| 2026/8/19 | ジェックス | 78,979件 | Webサイト管理サーバーへの不正アクセス |
| 2026/8/18 | VOISING | 調査中 | サイトのプラグインの脆弱性 |
| 2026/8/14 | うんこミュージアム | 4名 | サイトのソフトウェアの脆弱性 |
漏れたのは、お客様の情報です。被害者のはずのあなたが、お客様から見れば「加害者」になります。
AIは「守り」までは作ってくれない
AIは頼まれたことしかやりません。そのため、AIで作ったサイトにはこんな穴がよく残っています。
- フォームにスパム対策がない
- APIキーがコードに丸見えになっている
- 古いライブラリがそのまま使われている
画面を見ても気づけません。「動く」と「安全」は別物です。
お問い合わせが急に大量に届いたら、危険信号です
ある日、お問い合わせフォームから何十件、何百件もの送信が届く。中身は英語の広告や意味のわからない文章ばかり——。
「ただの迷惑メールでしょ？」と放っておくのは危険です。これは、すでに被害が出ているか、狙われ始めているサインだからです。
あなたのサイトが「迷惑メールの発射台」にされる
多くのお問い合わせフォームには、送信した人に「お問い合わせありがとうございます」と返事を送る、自動返信の機能があります。
悪い人はここを狙います。フォームに他人のメールアドレスを入力して、何百回も送信するのです。すると、あなたのサイトからその人へ、身に覚えのないメールが大量に届いてしまいます。
つまり、あなたのサイトが、知らない人に迷惑メールを送りつける側にされてしまうのです。
普段のメールまで届かなくなる
迷惑メールを大量に送ったサイトは、メールの世界で「迷惑メールを出す怪しい送り主」として目をつけられます。
そうなると、取引先やお客様に送った普通のメールまで、相手の迷惑メールフォルダに入ってしまうことがあります。ほかにも、サーバーのメール送信が止められたり、サイトが重くなったり、本物のお問い合わせが埋もれて見落としたりと、実害がどんどん広がります。
フォームの弱点を「試されている」こともある
大量の送信の中には、ただの広告ではないものが混ざっていることがあります。
入力欄に、記号だらけの文字列やプログラムの一部のような文章が入っていたら要注意です。これは、フォームに入り込める弱点がないか、鍵穴をガチャガチャと試している状態です。
上で紹介した流出事例のように、フォームやその裏側の弱点から情報が抜き取られることもあります。試されている段階で手を打つことが大切です。
大量送信が届いたら、まずやること
- フォームに機械よけの対策を入れる
このあと紹介するreCAPTCHA v3を入れて、入口を止めます。 - 自動返信メールの内容を見直す
入力された文章をそのまま返信に載せる設定になっていたら、外しておくと悪用されにくくなります。 - WordPressとプラグインを最新版にする
弱点をふさぐための修正は、更新で配られます。 - 届いた送信の中身をざっと確認する
記号だらけの文字列やプログラムのような文章がないか、一度見ておくと安心です。
フォームがあるなら、必ずreCAPTCHA v3を入れて！
まずやるべきことは、GoogleのreCAPTCHA v3の導入です。
reCAPTCHA v3は、Googleが無料で提供している「人間か機械かを見分ける仕組み」です。フォームに書き込んでいるのが本物の人なのか、迷惑メールを大量に送りつける機械（ボット）なのかを、Googleが裏側で自動的に判断してくれます。訪問者は何もしなくてよく、怪しい送信だけをはじいてくれます。
導入の流れ（Contact Form 7の場合）
- reCAPTCHA管理画面を開き、サイトを登録します。
- ラベル：自分がわかる名前ならなんでもOK（例：example.com）
- reCAPTCHAタイプ：「スコアベース（v3）」を選択
- ドメイン：設置するサイトのドメインを入力
reCAPTCHA v3の管理画面
- 発行された「サイトキー」と「シークレットキー」をコピーします。
reCAPTCHAV3のシークレットキーとサイトキーをコピー
- WordPressの管理画面でContact Form7を使用している場合「お問い合わせ」→「インテグレーション」を開きます。
- reCAPTCHAの欄に2つのキーを貼り付けて保存します。
外部 APIとのインテグレーション
- フォームのあるページを開き、画面の右下にreCAPTCHAのマークが表示されていれば完了です。
リキャプチャマーク
自作フォーム・AIで作ったフォームの場合は要注意！
Contact Form 7なら、送信内容のチェックはプラグインが自動で行ってくれます。
一方、自作フォームやAIに作らせたフォームでは、サーバー側での判定チェックを省略しないでください。ページにreCAPTCHAを読み込んだだけでは、ボットは素通りします。AIに書かせたコードは、ここが抜けていることが本当に多いです。
また、シークレットキーは絶対にHTMLやJavaScriptに直接書かないこと。AIに実装を頼むときは、次のように具体的に伝えるのがおすすめです。
「お問い合わせフォームにreCAPTCHA v3を導入して。トークンの検証は必ずサーバー側で行い、スコアが0.5未満なら送信を拒否して。シークレットキーは環境変数で管理して。」
なお、reCAPTCHA v3はボットを入口で止めるための「最初の鍵」です。上の事例のようなサーバーへの侵入まで、これ1つで防げるわけではありません。だからこそ、次のチェックリストとセットで固めてください。
5分でできる！ AI生成サイトのセルフチェック
あなたのサイトはいくつ当てはまりますか？
- ☐ お問い合わせフォームにreCAPTCHA v3などのボット対策が入っている
- ☐ （自作フォームの場合）reCAPTCHAの判定をサーバー側でチェックしている
- ☐ APIキーやシークレットキーが、HTMLやJavaScriptに直接書かれていない
- ☐ フォームの入力欄に、文字数や形式のチェックがある
- ☐ サイト全体がhttps（鍵マーク付き）で表示される
- ☐ 使っているプラグインやライブラリを、最近アップデートした
- ☐ 公開前に、AI以外の目（自分や詳しい人）でコードを確認した
ひとつでも当てはまらなければ、そこが今日の改善ポイントです。
まとめ
AIは「作る」担当で、「守る」はあなたの担当です。
次の流出ニュースに、あなたの会社の名前が載る前に。まずはフォームから守りを固めましょう。
出典：不正検知Lab、Infoseekニュース／ロイター、日本経済新聞
コメント