この記事のポイント
・情報流出の公表は今年すでに216件、昨年1年間の2.6倍。サイト経由の攻撃が急増している
・GaroopはPHPを使わず、サーバーはAWSやVercelなどのクラウドに任せている
・任せられない「アプリ・設定・アカウント・データ」は、エンジニアが自分たちで見ている
こんにちは。株式会社Garoop代表の山下です。
先に結論を書きます。守りで大事なのは、「専門の会社に任せる部分」と「自分たちで見る部分」をはっきり分けることです。 Garoopは土台をAWSやVercelに任せ、残りをエンジニアが見ています👍
サイト経由の攻撃が、いま急増している
10月27日、時事通信がこう報じました。セキュリティ大手マクニカの集計で、情報流出やその恐れが公表された事案は今年すでに216件。昨年1年間の2.6倍です。外部から使えるウェブサイトやアプリのシステムを経由した攻撃が急増しているといいます。
出典：時事通信「[サイバー攻撃、サイト経由型が急増](https://news.yahoo.co.jp/articles/4bd5e5b22f02383eb23c0c876a625220c00b2561)」（2026年10月27日、Yahoo!ニュース）
JPCERT/CCも、公開されているシステムの既知の弱点を探す攻撃や、設定ファイル・バックアップファイルを盗む攻撃、公開アプリを解析して裏側のAPIを狙う攻撃が相次いでいると注意を呼びかけています。
出典：JPCERT/CC「[直近で相次いでいる国内組織における不正アクセスに関する注意喚起](https://www.jpcert.or.jp/at/2026/at260030.html)」（2026年10月23日更新）
GaroopはPHPを使っていない
GaroopのサービスはバックエンドがGo、画面がNext.jsです。PHPは使っていません。 10月21日にPHPの重大な脆弱性が出たときも、止める必要はありませんでした。この話は「[PHPの重大な脆弱性でたくさんのサイトが止まった週に、GaroopがGoとNext.jsでやっていたこと](/articles/ceo-security-php-update-speed)」に書いています。
PHPが悪いという話ではありません。僕たちが選んでいるのは、AIと一緒に速く更新を回せる道具です。更新が速く回るほど、弱点が見つかってから直すまでの時間が短くなります。
サーバーは、AWSやVercelに任せている
サーバーは、自分たちで1台ずつ面倒を見るのではなく、AWSやVercelなどのクラウドを使っています。
AWSは「責任共有モデル」という考え方を公開しています。
・AWSが守るもの：ハードウェア、ソフトウェア、ネットワーク、施設など、クラウドの土台
・利用者が守るもの：使うサービスによって変わる。OSまでAWSが運用するサービスでも、データの管理や権限（IAM）の設定は利用者の責任
出典：Amazon Web Services「[責任共有モデル](https://aws.amazon.com/jp/compliance/shared-responsibility-model/)」
Vercelも、すべてのデプロイをHTTPSで配信してSSL証明書を自動で発行すること、DDoS攻撃の緩和を含むファイアウォールを設定なしで全利用者に提供していることを公式ドキュメントに書いています。
出典：Vercel「[Vercel security overview](https://vercel.com/docs/security)」
土台を専門の会社に任せるぶん、僕たちは自分たちにしか守れない部分に集中できます。
任せられない部分は、エンジニアが見ている
クラウドを使っても、アプリの作り、設定、アカウント、預かるデータは僕たちの責任です。ここは中身の分かるエンジニアが自分たちで見ています。僕自身もエンジニア出身です。
10月に実際にやったことは、これまでの記事でも書いてきました。
・パスワードの保存方式をbcryptから、OWASP推奨設定のArgon2idに替えた
・ログインにreCAPTCHA v3を入れた
・Next.js・Node.js・Goと依存パッケージをまとめて更新した
・ログイン情報（鍵）はサーバーの中に置かず、AWSのパラメータストアで管理する
詳しくは「[日本への攻撃報告が3か月で48%増えた：小さな会社でもできる、Garoopの4つの守り](/articles/ceo-security-small-company)」と「[サーバーに「鍵」を置かない](/articles/ceo-security-gmo-credentials)」をどうぞ。
それでも「絶対に安全」とは言わない
正直に書きます。どんな作り方をしても、100%安全なシステムはありません。 だから僕たちは「絶対に安全です」とは言いません。
言えるのは、入口を少なくし、土台は信頼できるクラウドに任せ、自分たちの責任の範囲は中身の分かるエンジニアが見ている、ということです。もし何かが起きたら、分かっていることと調査中のことを分けて、公式サイトですぐにお知らせします。
今日からできること
自分の会社のサイトやサービスについて、これだけ確認してみてください。
・サイトが何で動いているか（言語・CMS・サーバー）を、開発会社に1回聞いてみる
・サーバーやクラウドで、どこまでが事業者の責任で、どこからが自社の責任かを確かめる
・管理画面やクラウドのアカウントに多要素認証を入れ、使っていないアカウントを消す
・何か起きたときにお知らせを載せるページを決めておく
次に挑戦すること
任せる部分と自分で見る部分の線引きを、サービスごとに一覧にして、だれが見てもすぐ分かるようにしていきます。守りも、AIと一緒に速く回す。これを続けます🚀
おわりに
攻撃が増えている今、「全部自分で守る」も「全部任せる」も現実的ではありません。任せるところは任せて、自分たちにしか守れないところを確実に守る。その分担をはっきりさせることから始めてみてください。