2026.10.20
弊社のコラムをご覧いただき、ありがとうございます。
初めて執筆させていただきます、新井と申します。
今回は、お客様からお預かりした大切な情報を弊社がどのように管理しているのか、セキュリティ上お伝えできる範囲で書かせていただきたいと思います。
少し専門的な言葉も出てまいりますが、できる限りかみ砕いてご説明いたします。どうぞ最後までお付き合いくださいませ。
※セキュリティ上の理由から、利用しているシステムやサーバーの名称、具体的な構成、認証方法などの詳細は公開いたしません。
【はじめに──他人事ではない情報流出】
昨今、大企業に限らず、さまざまな規模の企業でサーバーへの攻撃による顧客情報の流出が報道されております。ファクタリング業界も例外ではございません。
2026年9月には、同業他社様において、お客様の代表者氏名・メールアドレス・お電話番号などを含む数万件規模の個人情報が、外部からの不正アクセスにより流出するという事案が公表されました。
ファクタリングのお申し込みに際しては、会社の状況や資金繰りに関わる、たいへんデリケートな情報をお預かりすることになります。だからこそ、「どこに申し込むか」を考えるとき、手数料やスピードと同じくらい、その会社が情報をどう扱っているかにも目を向けていただきたい——そう強く感じております。
【公表された事案から見えた3つの要因】
公表された内容を拝見するかぎり、被害が大きくなった背景には、次のような構造上の要因があったようです。
1・お申し込みフォームから送信されたデータが、サーバー上に保存されていたこと。
2・サイト構築システム（WordPress）の脆弱性を突かれたこと。
3・お申し込みフォームと顧客管理のデータベースがつながっていたこと。
この3つが重なったことで、侵入が、そのまま大規模な流出へと直結してしまったものと推測されます。
裏を返せば、このいずれかが断ち切られていれば、結果は大きく異なっていたはずです。弊社が普段から気をつけておりますのも、まさにこの「つながらないようにしておく」という点でございます。
弊社の取り組み❶ ホームページの通信の保護
弊社では、この種の話題が世間で注目される以前から、ホームページのセキュリティに無料で利用できるものは使わないという方針を取っております。
現在は、第三者認証機関であるDigiCert社のSSLサーバ証明書を導入し、ドメインの所有権についても認証済みの状態で運用しております。弊社ホームページに掲載しているサイトシールをクリックしていただくと、暗号化サイトとして検証済みであること、また万が一の際に最大50万米ドルまでの保証が付帯していることを、どなたでもその場でご確認いただけます。
少し地味なお話ではございますが、「自分で安全だと言う」のではなく「第三者に検証された状態を、いつでも見られるようにしておく」ことには、小さくない意味があると考えております。
もっとも、これはお客様と弊社サイトとの間の通信経路を守るための備えであり、お預かりした情報そのものをどう守るかという話とは別のものです。その点につきましては、次項以降でご説明いたします。
弊社の取り組み❷ そもそも保存しない
弊社のお申し込みフォームから送信されたデータは、サーバーに保存されておりません。
お申し込みの内容は、サーバー上に蓄積されることなく担当者のもとへ届き、確認のうえで次項以降の手順へと進んでまいります。
情報セキュリティの世界には「持たない情報は漏れない」という考え方がございます。難しく言えばデータ最小化と呼ばれるものですが、要するに、保存していないものは盗みようがない、ということです。
どれほど堅牢な金庫を用意しても、破られる可能性はゼロにはなりません。けれども、中に何も入っていなければ、破られても失うものはございません。弊社がもっとも大切にしているのは、この一点でございます。
弊社の取り組み❸ WordPressを使用していない
弊社のホームページは、WordPressを使用しておりません。
広く普及しているシステムは、それだけ脆弱性が見つかった際に狙われやすく、公表された直後から世界中で自動的に攻撃が試みられます。攻撃者にとっては、一つの弱点を見つければ数多くのサイトを同じ手口で攻められる、効率のよい標的になってしまうのです。
弊社が利用していないのは、こうした「流行の入口」をあらかじめ持たないためでございます。専門的には攻撃対象領域（アタックサーフェス）を狭めると言うそうですが、要は、叩かれる扉そのものを減らしておく、という発想です。
弊社の取り組み❹ フォームと顧客管理システムをつなげない
お申し込みフォームから頂戴したデータは、弊社の担当者が手動で顧客情報管理システムに入力しております。
自動連携を使えばもっと早いのでは、とお思いになるかもしれません。しかし、フォームと顧客管理システムが技術的につながっていないということは、仮にホームページ側に侵入されたとしても、そこから顧客情報の本体へは一歩も進めないということでもあります。
人の手を介するという、一見すると非効率なこの工程が、弊社にとっては何よりの「断絶」になっております。便利さと引き換えに手放してはいけないものがあると、私どもは考えております。
弊社の取り組み❺ 保管場所を分けておく
「インボイスPay」のマイページからご提出いただいた請求書や口座情報は、外部の顧客管理システムへと自動で流れる仕組みになっております。さらに、画像データやPDFデータについては、それとは別の外部サーバーに自動で保存しております。
なお、こちらはどなたでも送信できるお申し込みフォームとは異なり、ご本人確認を経たうえでご利用いただく領域でございます。前項でご説明した「つなげない」という考え方は、不特定多数に開かれた入口にこそ必要なものだとご理解いただければ幸いです。
保管場所を分けておりますのは、情報を一か所にまとめないための設計でございます。万が一どちらかに不正なアクセスがあったとしても、「どなたの情報か」と「どのような内容か」が一つの場所で結びつかなければ、悪用はきわめて困難になります。
お客様の情報を、意図的に分散させてお預かりしている——そうご理解いただければと思います。
弊社の取り組み❻ 保存期限を決めておく
情報は、持ち続けるほどリスクが高まってまいります。そこで弊社では、保存期限についても明確なルールを設けております。
審査の結果お取引に至らなかったお客様の情報は、登記情報など一般に公開されている情報を除き、即時に抹消しております。ご縁のなかった方の情報を、弊社が持ち続ける理由はございません。
ご契約いただいたお客様につきましても、顧客情報管理システム上で日常的に取り扱うデータは、3か月より前のものを削除しております。必要な保存データは外部サーバーに移し、アクセス権限を持つ者を限定したうえで管理しております。
なお、法令上保存が義務づけられている契約書類や取引記録につきましては、所定の期間、アクセスできる者を限定した環境で別途保管しております。「何でも消しております」ということではなく、「残すべきものだけを、限られた場所に、限られた人だけが扱える状態で残す」という整理です。
この「アクセスできる人を絞る」という考え方は、最小権限の原則と呼ばれるものです。社内の誰もが自由に閲覧できる状態は、どれほど外部対策を固めても、内側から崩れてしまう余地を残します。見られる人が少ないということは、それ自体がひとつの守りだと考えております。
弊社の取り組み❼ やりとりの履歴も残しすぎない
LINEやメールでいただいたご連絡につきましても、重要なものは外部サーバーへ移したうえで、それ以外は1か月ごとにすべて削除しております。
日々のやりとりには、何気ないかたちでお客様の内情が含まれているものです。受信箱に何年分も溜め込んだままにしておくことは、そこだけで情報の山ができあがっているのと変わりません。
溜めない、残さない。地味ではございますが、意外と見落とされがちな部分ではないかと思っております。
弊社の取り組み❽ 紙の情報も残さない
弊社では、そもそも紙面をほとんど使用いたしません。
やむを得ず使用した場合も、きわめて微細に裁断できる高機種のシュレッダーで即時に処分しております。復元が事実上不可能な状態まで細かくしてから廃棄する、という運用でございます。
デジタルの対策ばかりが注目されがちですが、情報流出の原因には、紙の紛失や置き忘れといった物理的なものも少なくありません。画面の中だけを守っていても、机の上から漏れてしまっては意味がないのです。
弊社の取り組み❾ 業務用パソコンの日々の手入れ
意外に思われるかもしれませんが、情報が漏れる経路は、サーバーばかりではございません。社員が日々使っているパソコンそのものが入口になってしまうことも、決して珍しくないのです。
そこで弊社では、業務用パソコンについて、毎朝のルーティンを定めております。
ひとつは、ソフトウェアの更新でございます。更新の通知を「後で」と先送りにしがちな方は多いかと存じますが、更新の多くは、すでに見つかってしまった弱点をふさぐためのものです。公表された弱点をそのままにしておくことは、鍵の壊れた扉を知りながら放置しているのと変わりません。弊社では、その日の業務を始める前に確認することを習慣にしております。
もうひとつは、セキュリティソフトによるウイルススキャンの実行でございます。こちらも毎朝、全社の端末で行っております。何も見つからないですが、「何も見つからないことを毎日確かめている」こと自体に意味があると考えております。
そして、ダウンロードフォルダの一括削除でございます。
これは少し補足が必要かもしれません。業務のなかで資料やデータを開きますと、その控えがダウンロードフォルダに静かに溜まってまいります。本人には「開いただけ」という感覚でも、端末のなかにはお客様の情報を含むファイルが残り続けているのです。万が一その端末が狙われた場合、攻撃者が最初に覗くのは、こうした誰も気にしていない場所です。
弊社が毎朝、フォルダごと空にしておりますのは、まさに取り組み❷・❼と同じ考え方——「持たない情報は漏れない」の、端末における実践です。本当に必要なものは、所定の保管場所へ。それ以外は手元に残さない。この積み重ねが、端末を「情報の置き場」にしないための備えとなっております。
弊社の取り組み❿ 仕組みだけでなく、人と体制も
ここまでは仕組みのお話が中心でしたが、情報を扱うのは最終的に人でございます。
弊社では、担当の変更や退職があった際には、速やかにアクセス権限を失効させる運用としております。「辞めた担当者のIDがそのまま生きていた」という状態は、外部からの攻撃と同じくらい危ういものだと考えているためです。
また、業務にあたる者には秘密保持に関する誓約を取り交わしたうえで、社内でも取り扱いルールの確認を重ねております。
そして、どれだけ備えましても、万が一ということはございます。異常を認めた場合には、速やかに通信を遮断し、関係各所へのご報告とお客様へのご連絡を行う——その段取りを、平時のうちから定めております。
【おわりに】
こうして書き出してみますと、弊社がしていることは、特別に高度な何かというよりも、
・必要以上に持たない
・システム同士を安易につなげない
・情報の種類に応じて分けておく
・保存する必要がなくなったら残さない
・見られる人を必要最小限に絞る
・情報を扱うパソコンも日々確認する
このような、ごく基本的な対策の積み重ねでございます。
けれども、公表された情報流出の事案を拝見するたび、大きな被害を防ぐために重要なのは、このような基本を一つひとつ継続することではないかと感じております。
お客様にとって、資金調達のご相談は、できることなら外部には知られたくないお話かと存じます。
そのような前提で大切な情報をお預かりしている以上、情報を守ることは弊社の業務に付随するものではなく、業務そのものだと考えております。
もちろん、情報セキュリティに「絶対」はございません。
サイバー攻撃の手法は変化し続けており、これまで問題がなかったからといって、これからも安全であるとは限りません。
だからこそ弊社は、現在の対策だけで十分だと考えることなく、守りを見直し続けると同時に、そもそもお預かりする情報と保存する期間を必要最小限にとどめる方針を続けてまいります。
ファクタリング会社をご検討いただく際には、どうか手数料や入金までの早さだけでなく、「この会社は自分の情報をどのように取り扱うのだろうか」という視点も、判断材料の一つに加えていただけましたら幸いでございます。
引き続き、スマートヘッジ株式会社「インボイスPay」を何卒よろしくお願い申し上げます。
0120-555-997