管理画面のセキュリティ対策｜入口と「入った後」の守り方と、発注前の確認点

AIエージェントの開発をご検討中ですか？ AIエージェント開発サービスを見る →

2026年に公表された不正アクセスの中には、業務用の管理画面が入口になった事例がいくつもありました。

加盟店向けの管理画面に正規のID・パスワードでログインされ、利用者延べ2,969件が閲覧・取得されたおそれがある事例。ホテルの予約サイト用の管理アカウントが乗っ取られ、売上金の受取口座が書き換えられて、1つのホテルで約900万円が不正に送金された事例。どちらも三井物産セキュアディレクション（MBSD）が2026年10月の記事で紹介しています。

管理画面は、お客様の情報が一覧で見え、販売内容や振込先などお金に関わる設定も変えられる場所です。ここに入られると、情報が漏れるだけでなく、本人になりすました「手続き」まで行われます。

この記事では、管理画面を「誰が入れるか」「何が見えるか」の2つの視点で整理します。そのうえで、グランドリームが管理画面のある案件で実装した例として、7つの守り方と、発注前に開発会社へ確かめたい点を紹介します。

事例の全体像は「情報漏えいの事例と対策｜漏れた情報が「次の攻撃」に使われる3つの型」にまとめています。

管理画面が狙われる3つの理由

正しいログインに見える

上の加盟店向け管理画面の事例では、脆弱性（ぜいじゃくせい：システムの弱点）を突かれた形跡はないとされています。IDとパスワードの入手経路は調査中とされていますが、正規のID・パスワードが使われると、システムから見れば正しい利用者のログインと区別できません。

入口がID・パスワードだけだと、どこかで漏れたパスワードがそのまま鍵になります。

一度入られると、できることが多い

管理画面では、お客様の一覧を見る、まとめて出力する、設定を変える、といった操作ができます。普段の業務に便利な機能ほど、入られたときの被害も大きくなります。

受取口座の書き換えのように、外から気づきにくい変更が、お金の被害に直結します。

見落とされた入口が残りやすい

本番の画面はきちんと守っていても、確認用・試作用の画面、画面の裏でデータを返す窓口（API）、自動で用意される別のアドレスなど、別の入口が残っていることがあります。守りが一番薄い入口が、全体の強さを決めます。

管理画面のある案件での実装例：2つの視点と7つの守り方

グランドリームが管理画面のある案件で実装している守り方を、7つ紹介します。

視点1：誰が入れるか

① 入口で、本人を確かめる

管理画面の入口には、Cloudflare Access を置いています。ゼロトラスト（社内か社外かに関係なく、アクセスのたびに「入ってよい人か」を確かめる考え方）に沿った仕組みです。

登録したメールアドレスの人だけが、メールに届く使い捨てのコードを入力して入れます。一度入ると、決められた時間が過ぎるまでは入り直さずに使えます。

管理画面のためのパスワードを作らないので、使い回しや漏れたパスワードで入られる心配を減らせます。

その代わり、守りの要は登録したメールアドレスに移ります。メールアカウントには多要素認証を設定し、共有ではなく一人ひとりのアドレスを登録しましょう。偽のログイン画面にコードを入力させる手口もあるため、管理画面は届いたメールのリンクからではなく、自分で保存したアドレスから開くようにします。

② 使う人を、メールアドレス単位で足し引きする

管理画面を使う人は、メールアドレス単位で追加・削除できます。辞めた人や契約が終わった人をリストから外すと、新しく入ることはできなくなります。

ただし、すでに開いている画面は、ログイン状態の期限が切れるか取り消すまで使えることがあります。

③ 画面の裏側にも、同じ確認を重ねる

管理画面の裏側でデータを返す窓口（API）にも、入口と同じ確認を重ねています。画面を通さずに、データだけを取り出される経路を減らすためです。

④ 管理画面の確認用・試作用の環境にも、同じ入口を付ける

本番だけでなく、管理画面の確認用・試作用の環境にも同じ入口を付けています。試作のアドレスが残って誰でも開ける、という穴を作らないためです。

お客様が使う画面の審査用の環境には、付けていません。審査担当者が入れなくなるためです。

⑤ LINEミニアプリでは、お客様にパスワードを作らせない

LINEミニアプリの案件では、お客様側はLINEのログインで本人を確かめます。お客様が新しいパスワードを作り、使い回す余地をなくせます。

視点2：何が見えるか

⑥ 他の人に見せる一覧には、見せてよい項目だけを出す

一覧など他の人に見せる画面には、見せてよい項目だけを組み立てて返します。名前・連絡先は出しません。

⑦ 自動の通知に、名前や連絡先を入れない

LINEミニアプリのサービスメッセージ（LINEで届く通知）の本文は、受付番号・種別・日時・定型文だけにしています。名前や連絡先は入れません。中身は、ログインした先で見てもらいます。

通知が誤って別の人に届いても、そこから個人の情報が分からないようにするためです。

7項目の外側で、確かめておきたいこと

7つの守り方は、主に「入られにくくする」「入られても見える範囲を狭くする」ためのものです。最近の事例を踏まえると、次の点も発注前に開発会社と話しておきましょう。

お金や権限に関わる操作に、もう一段の確認があるか。 受取口座の書き換えのような被害は、ログインを許した後の操作で起きています。振込先の変更、管理者の追加、データのまとめての出力などに、再度の本人確認や関係者への通知を入れるかを決めておきます。

ログインした人が、他人のデータまで見られないか。 入口の確認は「入ってよい人か」を確かめるものです。入った人が、URLの番号を書き換えるだけで別のお客様の情報を見られる、という不備は別に起きます。Webアプリの危険の順位表として知られる「OWASP Top 10」の2025年版でも、この種のアクセス制御の不備が1位です。

操作の記録を残し、どのくらい保存するか。 いつ、誰が、どこから入り、何をしたかの記録がないと、漏えいがあっても範囲を確定できません。IPAも、ログイン失敗の件数・接続元・時刻をログで確認するよう求めています。

バックアップから実際に戻せるか。 ランサムウェアはデータを使えなくします。バックアップを取っているだけでなく、戻す手順を試しているかを確かめます。

発注前チェックリスト：開発会社に確かめたい10の点

開発会社を選ぶときは、次の点を聞いておきましょう。

確かめる点	聞き方の例
入口の守り方	管理画面の入口は、ID・パスワードだけで守っていませんか
辞めた人の止め方	辞めた人を外す手順と、ログイン中の画面まで止められるかを教えてください
別の入口	画面の裏のAPIや、自動で用意される別のアドレスにも同じ確認がありますか
確認用・試作用の環境	確認用・試作用の画面にも、本番と同じ入口がありますか
見える範囲	一覧や自動の通知に、名前・連絡先が出ていませんか
他人のデータ	ログインした人が、他のお客様のデータを開けないことをどう確かめていますか
重要な操作	振込先の変更や管理者の追加に、再確認や通知はありますか
データの置き場所	データは誰の名義で、どこに置かれますか
開発会社の権限	開発・保守の担当者はどんな権限で入り、契約終了時はどう外しますか
復旧と更新	バックアップから戻せることを試していますか。部品やソフトの更新は誰がいつ行いますか