決済・銀行サービス920サイトのセキュリティ対策状況｜1,344万サジェストとPhase5調査の結合

• 48 地域・20 言語で、決済・銀行・小売・生活サービスのブランド 3,472 件について検索サジェストを 1,344 万件（ユニーク 928 万件）集め、サジェストに現れた 920 サイトの公開設定を、通常の Web 閲覧と同じ 1 回のアクセスで観測した。ブランドとサイトの対応を 1 件ずつ人手で確認し、確認できた 680 サイトを母数とした。
• 決済・銀行の 269 サイトのうち 26.4%（71 件） に、HSTS 未設定・サーバー製品の版露出・サポート終了版のいずれかがあった。最多は HSTS 未設定（20.1%）。TLS 1.3 に未対応のサイトは 16.4% で、接続できたサイトはすべて TLS 1.2 以上だった。
• 決済・銀行で PHP のサポート終了版を掲げているサイトは 0 件。1,705 サイト全体でも PHP の版が見えるのは 18 件（9 サイトの apex と www）で、サポート終了版は 5 件（3 サイト）。セキュリティ露出統計調査 2026 で見た一般サイトとは対照的に、決済・銀行は版を隠すか、更新している。
• サジェストに「障害」「決済できない」「ログインできない」などの語が付く割合（障害検索比率）は、ブランド名だけで検索したときのサジェスト 318 万件のうち 0.29%。最大でも 10.0% で、半数以上のブランドは 0 件だった。障害を訴える検索は、サジェストでは極めて少ない。
• 良好例（表 A）20 件と、問題が観測されたサービス（表 B）92 件を実名で示す。表 B は TLS 設定・HTTP ヘッダーという公開情報の観測結果であり、侵害できることを確認したものではない。

この記事は 筆者ブログ nkzw.jp 版 と エゴサる版 にも掲載しています。

調べ方

本稿は 2 つの調査を結合している（図 1）。

1. サジェスト収集（エゴサる）: 48 地域・20 言語で、決済・銀行・小売・生活サービスのブランド名を Google・Bing・Yahoo!・Yandex・Naver・Baidu・Daum・Shopee の検索窓に入れたときの候補（サジェスト）を集めた。ブランド名だけを入れた「単体シード」と、「ブランド名＋障害語」の「複合シード」の 2 種類を使い、取得ジョブ 83,275 件（完了 83,016・失敗 259）、サジェスト 13,438,498 件（ユニーク 9,280,238 件）を得た。収集は 2026 年 10 月 24 日〜26 日。
2. サイトの公開設定の観測（サイトスカウター Phase5）: サジェストに現れたブランドのサイトを同定し（候補 5,408 ホスト → DNS・HTTPS に応答した 2,842 ホスト）、そのうち既存の調査に無かった 1,705 ホストを新たに観測した。観測は DNS 照会、TLS ハンドシェイク 1 回、HTTP GET 1 回で、ブラウザでそのサイトを 1 回開くのと同じである。ポートスキャン、脆弱性の探索、認証の試行、攻撃コードの送信は行っていない。観測は 2026 年 10 月 22 日〜26 日。
3. 両者をブランド単位で結合し、ブランド×地域×検索エンジンの 9,181 行、ユニーク 920 ホストを得た。さらに、920 ホストのすべてについてホストがそのブランドの公式サイトかを人手で確認し、正しい 680 ホストを記事の母数とした（誤同定 212、判断不能 28 を除外）。記事の母数はホスト数で書く。

ブランドからサイトへの同定は、ホスト名の完全一致（2,630 件）と部分一致（2,778 件）による自動処理で、ブランド名に似た無関係のサイトを拾う。920 ホストを人手で確認したところ、212 ホスト（23.0%）はブランドと一致せず（例: 「Hello bank」に対して別業種の同名サイト、「SMBC日興証券」に対して三井住友銀行のサイト）、28 ホストは判断できなかった。誤りは「Easy」「Media」「Wi-Fi」のような汎用語のブランド名と、同名の別組織に集中している。本稿の集計（§4）はこれらを除いた 680 ホストで行い、表 A・表 B もこの確認を通ったものに限った。なお、誤同定ホストの設定の測定値自体は正しいが、どの業種・国のサービスかが違うため集計から外した。

用語の定義

• 障害検索比率: ブランド名だけで検索したときのサジェストのうち、「障害」「つながらない」「決済できない」「ログインできない」「アプリが開かない」「クーポンが使えない」など、あらかじめ言語ごとに定めた障害語を含む候補の割合。実際に障害が起きていることを意味しない。 利用者側の困りごとの検索量の近似である。
• サジェストに障害語が現れることは、脆弱性やクラッキングによるサービス停止を意味しない。 通信障害、混雑、利用者側の操作ミス、過去の出来事の残存など原因はさまざまで、サジェストの収集時点とセキュリティ観測の時点も一致しない。本稿で両者を並べて示すのは、相関や因果を示すためではなく、「利用者が多く名指しするサービスの、観測時点での設定状態」を示すためである。
• 対策不備（本稿で「問題あり」と言うときの範囲）: ① HSTS（HTTPS を強制する応答ヘッダー）が無い、② サーバー製品やバージョンが外から見える、③ 露出した版がサポート終了または公開 CVE の範囲内。侵襲的な検査はしておらず、「実際に侵害できる」とは言っていない。
• TLS 1.3 未対応: TLS 1.3 を提示したハンドシェイクで TLS 1.2 が選ばれたこと。推奨水準に達していないという意味で別列に示し、「問題あり」には含めない。TLS 1.0/1.1 しか使えないサイトは接続に失敗するため、本稿の方法では他の失敗と区別できない（表 B の「TLS 1.0/1.1 受入」は別途の追加ハンドシェイクで確認したもので、参考として示す）。
• CVE 件数: ヘッダーに書かれた版表記に対する公開情報の上限値。Debian や RHEL 系のように版番号を変えずに修正を適用（バックポート）している場合は反映できない。CVE-2024-3566 は Windows 限定の事例が多いため、RCE 露出率には除外値を併記する。

障害検索比率 ― 障害を訴える検索はごく少数

ブランド名だけで検索したときのサジェスト 3,178,854 件のうち、障害語を含むものは 9,104 件（0.29%） だった。ブランド×地域×検索エンジン 8,236 組（単体シードのサジェストが 100 件以上のもの）で見ると、中央値は 0.0%、上位 10% でも 0.9%、上位 1% で 3.0%、最大は 10.0%（ベトナムの BIDV SmartBanking、Google）だった。障害語の付いたサジェストが 1 件も無い組が 5,169（62.8%）ある。

地域別では、アイルランド 0.83%、オーストラリア 0.76%、オランダ 0.63%、ニュージーランド 0.55%、英国 0.54% が高く、香港 0.02%、UAE 0.04%、チリ 0.08%、ポルトガル 0.08% が低い。日本は 0.28%（単体シード 549,558 件中）で、41 か国中 21 位だった。言語によってサジェストの出方と障害語の表現が異なるため、国どうしの差は目安にとどまる。

日本（Google）で障害検索比率が高いのは、Wi-Fi（4.1%）、auひかり（3.7%）、ドコモ光（3.7%）、OCN（3.4%）、えきねっと（3.1%）、ソフトバンク光（3.0%）、楽天モバイル（2.7%）、ビッグローブ（2.7%）、NURO光（2.5%）で、通信回線が並ぶ。決済・銀行では楽天ペイ（2.3%）、バンドルカード（2.2%）、楽天カード（2.0%）、QUICPay（1.9%）、d払い（1.8%）が上位だが、いずれも 2% 前後にとどまる。

障害語の照合は、ブランド名を除いた候補に対し、単語境界を考慮して行った（2026 年 10 月 27 日に照合方法を改め、本稿の値はすべて改めた後のもの）。

障害検索が多くても脆弱性とは限らない ― NURO光と menu の例

日本のサジェストで障害語が見られる 2 つのサービスについて、サジェストの中身と、同じ時期の公開設定の観測結果を並べる。サジェストに障害語が現れることは、脆弱性やクラッキングによるサービス停止を意味しない。 回線障害、システム障害、メンテナンス、アプリの不具合など、脆弱性以外の原因で起きる困りごとも同じ語で検索されるし、サジェストの収集時点と設定の観測時点も一致しない。

NURO光は、通信回線のサービスらしく「つながらない」系の検索が付く一方で、公開設定には不備が見られなかった。利用者の困りごとは回線や宅内機器の側で起きることが多く、Web サイトの設定とは別の層の話である。menu は障害語の割合そのものが低く、代わりに「サービス終了」「撤退」といった候補が並び、サイトは 2 回の観測とも 502 を返した。どちらの例でも、サジェストの障害語と設定の不備のあいだに対応関係は無く、障害検索比率は「利用者が何に困って検索しているか」の目安であって、セキュリティ上の弱さの指標ではない。

障害検索比率と設定の問題有無のあいだに、本稿のデータでは関係は見いだせなかった（図 2）。これは §2 で述べたとおり、両者が別の時点・別の原因で決まるためで、サジェスト調査は「決済・銀行・小売の文脈で検索上よく名指しされるサービスの標本抽出」として使い、以下の §4〜§6 ではその標本の設定状態を示す。

セキュリティ対策状況

カテゴリ別（680 ホスト）

カテゴリは、そのホストに結び付いたブランド×地域×検索エンジンの行で最も多い区分を採った（上記 4 区分に入らない「その他」40 ホストは表から除外）。

決済と銀行を合わせた 269 ホストでは、問題ありが 71（26.4%）。内訳は HSTS 欠落 54（20.1%）、版露出 25（9.3%）で、TLS 1.3 未対応は 44（16.4%）だった。小売（39.3%）と生活サービス（36.3%）より低く、決済・銀行は相対的に基礎設定が整っている。それでも 4 分の 1 に何らかの不備があり、5 件に 1 件は HSTS が無い。

地域別

地域はホスト自身の国（国別ドメインなどから判定したもの）で、ブランドの検索地域ではない。680 ホストのうち 292（42.9%）は .com など国が判定できないドメインで、別行に示した。EU 主要 17 か国はドイツ・フランス・イタリア・スペイン・オランダ・ベルギー・オーストリア・ポルトガル・アイルランド・スウェーデン・デンマーク・フィンランド・ポーランド・チェコ・ギリシャ・ハンガリー・ルーマニア。

国別に 20 ホスト以上あるのは米国（83）だけで、次いでベトナム（18、問題あり 11）、日本（18、問題あり 8）、イタリア（16、問題あり 8）が続く。母数が小さいので国どうしの順位付けはしない。

日本の 18 ホストは .jp ドメインが中心で、8 件に問題があり、すべて HSTS 欠落（povo、LINEMO、IIJmio、TVer、NHK、Qoo10、PayID、Alipay）。版露出は 0 件、サポート終了版の PHP や RCE の CVE 範囲に一致する版の露出も 0 件だった。

銀行・決済は堅い ― 良好例（表 A）

抽出条件: 検索露出（単体シードのサジェスト数）が多い順に見て、TLS 1.3 で接続でき、HSTS があり、サーバー製品の版が見えないサービス。筆者とデータ提供側の 2 人がそれぞれホストとブランドの対応を確認し、両方が一致した 19 件を、検索露出の多い順にすべて載せる。日本は PASMO・JCB カード・BitCash の 3 件。

PayPal・Stripe・Wise・Klarna・Venmo・Paytm・PhonePe など、国境をまたいで使われる決済サービスはいずれも 3 条件を満たしていた。これらは「対策が十分」という意味ではなく、外から見える 3 つの基礎設定に不備が無かったという意味である。

問題が観測されたサービス（表 B）

抽出条件: 国ごとに検索露出の多い順に見て、HSTS 欠落・版露出・サポート終了版のいずれかが観測されたサービス。筆者とデータ提供側の 2 人がホストとブランドの対応を確認した 99 件を、国別・検索露出の多い順にすべて載せる。自動同定が誤っていた 74 件（例: 「Hello bank」に対して別業種の同名サイト、「SMBC日興証券」に対して三井住友銀行のサイトが同定されていた）は除外した。検索地域と本拠が異なるブランド（Commerzbank、Morrisons、Jean Coutu、Qantas）は本拠の国に並べた。URL は文字列で示し、リンクにしていない。各行は確認日時の時点での観測事実で、その後に修正されている場合がある。

日本の 7 件はすべて HSTS 欠落で、版露出は無い。うち Alipay と Qoo10 は TLS 1.0/1.1 の接続も受け入れていた。サポート終了版の PHP が見えたのは、イタリアの ACI（自動車クラブ、7.4.33）とオーストラリアの TPG（通信、7.4.33）の 2 件。いずれも決済・銀行ではない。

PHP 脆弱性への対応 ― 決済・銀行はサポート終了版 0 件

PHP の重大脆弱性と日本のサイト と セキュリティ露出統計調査 2026 で扱った 2026 年の PHP 重大脆弱性（CVSS 9.8）への対応状況を、今回観測した 1,705 ホストで見た。

PHP の版が見えるホストは 18 件と少ないので、率ではなく件数で書く。見えている 18 件のうち 13 件は 2026 年の修正版で、版を隠していないが更新はしている。サポート終了版の 3 サイトは、イタリアの自動車クラブ、オーストラリアの通信事業者、ペルーの社会保険機関で、決済・銀行ではない。セキュリティ露出統計調査 2026 で見た日本の一般サイト（PHP の版を出しているサイトの 52.3% がサポート終了版）とは対照的である。

限界と注意

• 非侵襲の観測であり、各サイトへのアクセスは DNS 照会、TLS ハンドシェイク 1 回、HTTP GET 1 回（表 B の TLS 1.0/1.1 受入は追加のハンドシェイク）。攻撃は試みていない。
• 露出は上限値。版表記が古くてもバックポート修正済みの場合がある。
• ブランドからサイトへの同定は自動処理で、920 ホストの人手確認では 212（23.0%）が誤同定、28 が判断不能だった。集計と表 A・B はいずれも確認を通った 680 ホストに限ったが、人手確認にも見落としはあり得る。
• サジェストは需要の近似にすぎない。検索エンジンのサジェストは地域・言語・時期で変わり、同じブランドでも Google と Bing で候補が異なる。障害語の表現も言語ごとに定めたもので、網羅的ではない。
• 母数が小さい国がある。日本は 18 ホストで、率は参考値にとどめ件数を併記した。国別の順位付けはしていない。
• 時点のずれ。サジェストは 10 月 24〜26 日、観測は 10 月 22〜26 日で、両者の時点は一致しない。
• CSP・Cookie 属性・証明書などの指標は本稿では扱っていない（セキュリティ露出統計調査 2026 を参照）。

運営者が確認すべきこと

1. HSTS を有効化する。決済・銀行の 20.1% に無かった。Strict-Transport-Security: max-age=31536000; includeSubDomains を返すだけで、HTTP で接続しようとした利用者を HTTPS に固定できる。
2. TLS 1.3 を有効化し、TLS 1.0/1.1 を無効化する。決済・銀行の 16.4% が TLS 1.2 止まりだった。
3. サーバー製品の版を隠す（expose_php = Off、ServerTokens Prod、server_tokens off）。更新を済ませてから行う。
4. サポート終了版を更新する。PHP は 8.3 以上、2026 年の修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）以降にする。切替の手順は PHP バージョンアップの実務手順 にまとめた。
5. 自分のサイトを確認する。サイトスカウターの サーバー情報調査（/server/） に URL を入れると、本稿と同じ方法で、外から見える設定（TLS、HSTS、サーバーヘッダー、証明書、Cookie 属性）を 10 秒ほどで確認できる。登録不要。

関連記事: PHP の重大脆弱性と日本のサイト（筆者ブログ）／ セキュリティ露出統計調査 2026（サイトスカウター）

よくある質問

これは攻撃ではないのか。

いいえ。各サイトに対して行ったのは、ブラウザでそのサイトを 1 回開くのと同じアクセスで、公開されている HTTP 応答と DNS 情報のみを扱っている。

表 B のサービスは危険なのか。

表 B は「確認日時の時点で、公開情報から観測できた設定の不備」であり、侵害できることを確認したものではない。HSTS の欠落や版露出は、それ自体で情報が漏れるものではなく、他の条件と重なったときに影響が大きくなる種類の不備である。

なぜ実名を出すのか。

確認した事実は TLS 設定・HTTP ヘッダーという公開情報で、誰でも同じ手順で確認できる。攻撃者側には既知で、公表による追加のリスクは小さい。一方で、利用者と運営者が自分のサービスの状態を知ることには意味がある。掲載前の個別通知は行っていない。

掲載内容への問い合わせや訂正の依頼はどこへ。

本ページ末尾の筆者連絡先までご連絡ください。観測後に修正された場合は、再観測のうえ追記する。

データは改ざんされていないか。

サジェストは取得ごとに追記し、観測結果は追記専用のテーブルに保存した。集計の過程で障害検索比率の照合方法を改め（§3）、再計算した値を本稿では使っている。修正前の値は公表していない。

出典・参考資料

最終確認日：2026-10-28。制度・仕様は変更されることがあるため、実施前に各一次情報をご確認ください。

• MDN: Strict-Transport-Security
• RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3
• PHP: Supported Versions（php.net）
• NVD - National Vulnerability Database（NIST）
• エゴサる（検索サジェスト取得）