Wixのセキュリティは大丈夫？個人情報流出を受けて確認したい対策と運用

10月11日

読了時間: 13分

日本国内で、企業や団体の個人情報流出が相次いで報じられています。私自身もスカイチケットで個人情報が流出した一人です。サービスを利用する側としてだけでなく、お客様の情報を預かるWebサイトを制作・運用する立場として、セキュリティを改めて確認する必要があると考えています。

Wixを使っている方にとっても、「自分のサイトは大丈夫なのか」は気になる問題です。この記事では、Wixが公開している対策、エンタープライズの管理機能、今後悪意のある業者がAIを悪用する手法を進めた場合の備えを整理します。

この記事の要点

Wixには、情報を読み取られにくくする暗号化、不審な動きの監視、システムの弱点への対策があります。ただし、誰がサイトを管理し、誰が顧客情報を見られるかは、運営側でも確認する必要があります。
企業向けのエンタープライズでは、会社のログインとの連携、操作履歴の確認、アクセス元の制限などによって、組織全体の管理を強化できます。
AIで攻撃が巧妙になっても、ログイン時の本人確認、担当者ができる操作の制限、不要な個人情報を持たない運用を重ねることが備えになります。

最近の個人情報流出から、サイト運営者が受け取るべき教訓

2026年10月9日の読売新聞の一覧では、複数の業種にわたる企業・団体の情報流出や、その疑いが整理されています。ただし、流出の原因、確認できた範囲、調査状況は各事案で異なります。報道の件数だけで、特定のサービスの安全性を判断することはできません。

参考記事：サイバー攻撃で個人情報などの流出が判明した企業・団体の一覧（読売新聞）

スカイチケットの運営会社アドベンチャーは、10月9日の発表で、異なる経路による3件の不正アクセスを説明しています。データやサービスを動かすサーバーへの侵入、業務管理システムの弱点（脆弱性）の悪用、ログインなしで表示できたバス予約完了ページの機械的な閲覧です。

公表された経路	Web運用で考えるべきこと
サーバーへの不正アクセス	管理機能や、そこから接続できるデータまで含めて保護を考える。
業務管理システムの脆弱性	公開サイトの見た目だけでなく、業務で使う仕組みも確認する。
予約完了ページの閲覧	URLを知っているだけで、他人の個人情報を表示できない設計か確認する。

サーバーへの不正アクセスでは約1,464万件が対象とされ、そのうち約413万件にはハッシュ化されたログインパスワードが含まれています。ハッシュ化とは、パスワードを計算によって別の値に変換することです。パスワードそのものが保存されている状態とは異なりますが、ハッシュ化されていれば流出後も安全、と判断することはできません。これは公表された「件数」であり、同数の人数と読み替えるべきではありません。また、この数字が私自身の流出項目を示すわけでもありません。

公式資料：不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（2026年10月9日・skyticket）

ここから得られる教訓は、通信の暗号化だけでは個人情報を守り切れないということです。正しい相手だけが、必要な情報にアクセスできる状態を維持することが欠かせません。

Wixのセキュリティは大丈夫？公開されている対策を確認する

Wixは、サイトを動かすサービスとして複数の防御策を公開しています。サーバーの保守や、サイトを支えるシステムの弱点への対応には、Wix側が管理する領域があります。運営者がすべてを自分で管理する必要はありませんが、自社の設定や使い方の確認は必要です。

対策の領域	公式資料で確認できる内容
通信・保存データ	HTTPS／SSLを提供し、通信にはTLS 1.2以上、保存データにはAES-256による暗号化を採用。補足：暗号化とは、情報を第三者が簡単に読み取れない形に変える仕組みです。通信の暗号化はサイトと利用者の間でやり取りする情報を、保存データの暗号化は保存された情報を保護するために使われます。TLS 1.2やAES-256は、そのための技術の名前です。ただし、暗号化だけで不正ログインや権限設定の誤りによる流出を防げるわけではありません。
検知・監視	不審な通信や侵入の兆候を調べ、攻撃を防ぐための対策です。専門チームによる監視や操作・通信の記録（ログ）の確認、不審な通信を遮断する仕組み（ファイアウォール）などがあります。
脆弱性への対応	システムの弱点を見つけるための検査です。社内外の専門家が侵入できる弱点を調べるテストや、弱点を報告した人に報奨金を出す仕組みがあります。
サービスの継続	DDoS攻撃を緩和する仕組みなど、サイトの利用を妨げる攻撃への対策。補足： DDoS攻撃とは、大量の通信を送りつけてサイトをつながりにくくしたり、利用できなくしたりする攻撃です。「緩和する」とは、その影響を抑えることを意味します。サイトが必ず止まらないという保証ではありません。

これらは重要な基盤ですが、どんな攻撃も必ず防げることを意味しません。例えば、DDoS対策はサービスの継続に関わる防御であり、フォームの閲覧権限や、盗まれた管理者アカウントによる操作をすべて解決するものではありません。

公式資料： Wix セキュリティ対策の概要

Wix Studioの日本語公式ページでは、情報管理などに関する複数のISO規格、セキュリティ対策の運用を評価する監査報告であるSOC 2 Type 2、カード情報の保護に関するPCI DSS Level 1への対応が案内されています。こうした認証や監査報告は、Wixの管理体制を判断する材料になります。ただし、それぞれ評価する対象が異なり、自社の運用や追加したプログラムまで自動的に認証・監査されるわけではありません。

公式資料：すべてのサイトにエンタープライズグレードのセキュリティを（Wix Studio）

Wixに任せる部分と、自分たちで守る部分

私の判断としては、Wixはセキュリティ対策を備えた基盤として検討できます。そのうえで、自社の扱う情報、社内ルール、追加する機能に対して、設定と運用が適切かを確認する必要があります。公開資料だけで、特定のサイトに「漏えいは起こらない」と保証することはできません。

運営側の確認点	見落とした場合のリスク
管理者アカウントと登録メール	パスワードの使い回しやメールの乗っ取りが、管理権限の悪用につながる。
共同管理者の役割	更新だけを担当する人に、顧客情報の閲覧や過剰な権限まで渡してしまう。
データ管理機能（CMS）・追加したプログラムの権限	画面に表示しないだけでは、情報を守れない場合がある。制作会社に、権限のない人がデータを取得できない設定か確認する。
外部アプリ・連携先	Wixの外へ送った情報は、連携先で誰が見られるか、どのように保存されるかも確認する必要がある。
一覧表などのファイルへの書き出し（CSVなど）	サイト内で保護した情報を、共有ドライブや端末で広く閲覧できる状態にする。

特に、「画面に出さない」と「取得できない」は別です。CMSは、サイトで使う情報を登録・管理する機能です。顧客情報をCMSや独自の機能で扱う場合は、ログインしていない人、別の会員、権限のない担当者が、本来見られない情報を取得できないか確認します。追加したプログラムがある場合は、画面だけでなく、データを渡す側でも本人確認と権限の確認が必要です。専門的な確認は、制作会社に「権限のない人へ顧客情報が渡らない設定と処理になっていますか」と依頼してください。

公式資料： CMS：コレクションの権限を変更する

Wixエンタープライズで強化できるセキュリティ管理

担当者やサイトが増える組織では、設定を個人任せにすると、担当者によって管理方法が異なったり、退職時の利用停止が漏れたりするおそれがあります。Wixエンタープライズには、通常の基盤に加えて組織としてアクセスや操作を管理する機能が案内されています。導入時には、契約で利用できる機能、対象となるアカウント・サイト、設定条件を確認します。

機能	導入時に考えること
SSO（シングル・サインオン）	会社で使っているログインの仕組みとWixのログインを連携する機能。誰が利用できるか、退職時にどう停止するかを決める。
監査ログ（操作の記録）	操作の記録を確認できる体制を作る。誰が、どの頻度で、何を確認するかを決める。
IP許可リスト	インターネット上の接続元を示す番号（IPアドレス）を使い、指定した接続元だけが対象サイトを利用できるようにする。社内利用など、用途に合うか確認する。
SCIM	会社の社員アカウント管理とWixのユーザー管理を連携する仕組み。入社・異動・退職時の管理に使える範囲と、変更の手順を確認する。
カスタムSSL証明書	暗号化した通信で使う証明書を、会社独自の要件に合わせるための機能。Wixには標準でHTTPSがあるため、追加対応が必要か社内の担当者に確認する。

公式資料： Wix Studio FAQ：エンタープライズソリューション

SSOは、会社などで使うログインの仕組みと連携する機能です。社員向けと顧客向けが案内されており、アカウントの設定によって利用できる選択肢が異なります。連携するログイン側でも、パスワードに加えて別の方法で本人確認を行う多要素認証や、退職者の利用停止を検討する必要があります。

IP許可リストは、指定したページなどへアクセスできる接続元を制限する仕組みです。例えば、許可した会社のネットワークからだけ利用する用途が考えられます。一般のお客様向けのサイトでは利用できない人が出るため、社内利用などの目的に合わせて使います。

さらにエンタープライズでは、独自に扱う特定のデータを、自社専用のクラウド環境（プライベートクラウド）で、定められた地域内に保存・処理する構成が案内されています。データの保存場所に社内ルールがある企業では、検討する材料になります。ただし、すべてのサイトデータを日本国内に保存できるという意味ではありません。どのデータを、どの地域に、どのように保存・処理できるかと、契約条件を個別に確認する必要があります。

公式資料：エンタープライズソリューション：シングル・サインオン（SSO）ログインを設定する公式資料：エンタープライズソリューション：IP 許可リストを使用してサイトへのアクセスを管理する公式資料：すべてのサイトにエンタープライズグレードのセキュリティを（Wix Studio）

エンタープライズは、対策を組織全体で維持するための選択肢です。小規模な運営でも認証や権限を整える必要があり、大規模な運営でも機能を契約するだけでは十分ではありません。

今後、悪意のある業者がAIを悪用する手法を進めたら防げるのか

ここで考えるのは、今後AIを悪用した手法が進み、攻撃が巧妙化・効率化した場合です。先ほどの個人情報流出について、AIが使われたと断定するものではありません。

IPAの専門家による2026年の寄稿では、AIの翻訳能力を悪用した巧妙な日本語の詐欺メールや、攻撃の実行速度を上げる使い方、特定の企業や担当者を狙う攻撃（標的型攻撃）を半自動化した事例が紹介されています。AIの悪用は将来だけの問題ではありません。この記事では、今回の流出事案にAIが使われたとは断定せず、こうした手法が今後さらに進む場合の備えを考えます。

公式資料： AIがサイバーセキュリティに与える影響（2026年サイバーセキュリティ月間・寄稿コラム）

想定しておきたい変化	運営側の備え
自然な文章でのなりすまし	文章の出来より、公式画面から確認する手順を優先する。
相手の情報に合わせた誘導	知っている名前や取引情報が書かれていても、以前から把握している電話番号などで本人に確認する。届いたメールに書かれた連絡先だけを頼りにしない。
短時間に多くの攻撃を試す	ログイン時の本人確認を強化し、担当者ができる操作を必要な範囲に絞る。1つのアカウントが悪用されても、被害が広がる範囲を小さくする。
担当者を狙った操作依頼	権限追加・データ送信・振込先変更などは、確認と承認の手順を決める。

Wixの防御の仕組みに加え、管理者アカウントの二段階認証や、担当者ができる操作の制限も備えになります。二段階認証とは、パスワードに加えて、確認コードなどで本人かどうかを確かめる仕組みです。ここでいう設定は、サイトを管理するWixアカウントのものです。サイト会員のログインにも同じ設定が自動的に適用されるわけではありません。

ただし、将来のAI悪用をWixがどの程度検知・阻止できるかを示す実証データは、今回確認した公式資料にはありません。偽のメールやサイトへ誘導して情報を盗む手口を、フィッシングと呼びます。二段階認証だけでこうした手口や不正操作をすべて防げるわけではなく、担当者ができる操作の制限と、重要な操作をするときの確認が必要です。

公式資料： Wix アカウントで2段階認証を使用するアカウント設定リクエスト：サイト会員の 2段階認証を有効にしたい

例えば、担当者が偽の依頼を信じて顧客データを送れば、通信が暗号化されていても流出は起こります。技術的な防御と、人が操作するときの確認手順を合わせることが必要です。

自分たちはどうしたらいいのか：まず見直す運用

対策は、一度に高度な仕組みをそろえるより、現在の管理状態を把握するところから始めます。下の表を担当者と確認し、確認日と責任者を残しておくと、担当変更後も続けやすくなります。

確認する項目	具体的な対応
ログインと登録メール	管理者・共同管理者が使うWixアカウントの二段階認証を有効にする。GoogleやFacebook経由でログインする場合は、Wix側の確認コードが求められないため、ログインに使うサービス側でも二段階認証を設定する。登録メールも二段階認証などで保護し、パスワードを使い回さない。
管理者と共同管理者	必要な人だけに必要な役割を渡す。退職者・終了した外注先のアクセスを停止する。
フォームの収集項目	目的に不要な情報を集めない。自由記述欄には、病歴などの慎重に扱うべき情報を書かないよう案内することも検討する。
CMSと独自機能	公開してよい情報と顧客情報などを分ける。制作会社に、ログインしていない人や別の会員、権限のない担当者が非公開の情報を取得できないか確認を依頼する。
外部サービスとの連携・接続用の秘密情報	どの外部サービスに、どの情報を渡すか確認する。不要な連携は解除する。接続用の秘密情報（APIキーなど）が、閲覧者に見えるプログラム内へ入っていないか制作会社に確認する。
書き出しデータ	一覧表などに書き出したファイル（CSVなど）の保存場所、共有相手、削除期限を決める。そもそも書き出す必要があるかも確認する。
不審な連絡	メール内のリンクだけで操作せず、公式サイトや管理画面を自分で開く。データ送信や振込先変更などの依頼は、以前から把握している電話番号などで本人に確認する。
異常時の連絡先	Wixへの問い合わせ先、社内責任者、外部支援先と、操作履歴などの記録を消さずに残す手順を決める。

私自身のように利用サービスの流出に巻き込まれた場合は、そのサービスの最新の公式案内を確認します。スカイチケットはパスワードの変更と、同じパスワードを利用している他サービスでの変更、不審な連絡への注意などを呼びかけています。流出項目や対応状況は更新される可能性があるため、報道だけで判断せず公式発表を確認してください。

公式資料：不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（skyticket）

自社で漏えいやその疑いが生じたときは、被害の拡大を抑えながら、操作履歴などの記録を消さずに残し、事実を確認します。民間事業者では、病歴など、特に慎重な取り扱いが必要な情報（要配慮個人情報）を含む場合、財産的被害のおそれがある場合、不正な目的の行為による場合、対象者が1,000人を超える場合など、法令上の報告対象に該当すると、個人情報保護委員会等への報告と本人への通知が原則として必要です。少人数だから不要とは判断せず、漏えいのおそれを含め、適用される要件・例外・期限を責任者と専門家が確認します。