製造業をはじめとするBtoB企業において、Webサイト上の問い合わせ・見積フォームは受注を獲得するための生命線である。しかし、適切な保守やセキュリティ対策が行われていない古いCGIフォームを放置していると、ある日突然スパム攻撃の標的となり、業務に深刻な支障をきたすリスクがある。
本記事では、実際に発生した不正添付ファイル攻撃の経緯と、既存システムの見直しから代替サービスの選定・導入に至るプロセスを解説する。
目次
１．発覚の経緯：大量の不正ファイルアップロード攻撃
ある製造業のコーポレートサイトにおいて、問い合わせ・見積フォームを悪用した不正アタックが2回にわたって発生した。攻撃者はフォームのファイル添付機能を悪用し、大量の不審なファイルを連続送信。サーバー内の一時的に添付ファイルを保存するフォルダに大量のファイルが蓄積される事態となった。
業務メールの混雑やサーバー容量の圧迫はもちろんのこと、万が一マルウェアや悪意あるスクリプトが含まれていた場合、サイト表示の不具合や社内ネットワークへの二次感染などにつながりかねない非常に危険な状態であった。
２．サイト環境と既存CGIの状況確認
事態の収束と根本解決に向け、まず現状のWebサイト構成およびフォームの動作環境について精査を行った。
- サイト構成： HTMLファイル主体の静的コーポレートサイト（WordPress等のCMS構築ではない）。
- 事業上の位置付け： 製造業として、問い合わせ・見積フォーム経由での受注獲得が主力チャネル。
- 設置フォーム： 無料配布のメール送信CGIを利用。
- 保守状況： CGIプログラムのバージョンがかなり古く、長年アップデートが行われていなかった。
現行利用しているCGIプログラムの開発元サイトを確認したところ、最新バージョンであっても2023年以降は更新が停止していることが判明した。今後新たなセキュリティ脆弱性が発見されたとしても、開発元による修正パッチの提供は期待できない状態である。
３．対策案の検討と必須要件
新たな問い合わせ・見積体制を構築するにあたり、現場の業務運用を考慮した必須条件を設定した。製造業の見積業務では図面や仕様書などのやり取りが不可欠であるため、「3MB以上の大容量ファイルを添付できること」が絶対条件となった。
この条件を踏まえ、以下の3つの方向性で対策案を比較検討した。
- 既存CGIのアップデート： スパム対策を強化して継続利用する。
- 新規CGIへの変更： 添付ファイルに対応した別のCGIプログラムへ入れ替える。
- 外部フォームサービスの利用： SaaS型のフォーム作成サービス（Googleフォーム、フォームメーラー、フォームランなど）へ移行する。
各選択肢の評価
- 既存CGIのアップデート：推奨しない
前述の通り、プログラム自体が古く最新バージョンでも2023年以降更新が止まっている。スパム対策を追加したとしても、根本的なセキュリティリスクを解消できないため見送った。 - 新規CGI（メールフォームCGI Proなど）：見送り
自社サーバー内で完結し自由度は高いものの、CGIの新規設置・設定工数がかかる上、将来的なサーバー保守やセキュリティ対策の負担が自社に残り続けるため採用を見送った。 - 外部フォームサービス：採用方針で検討
セキュリティ管理を専門サービス会社に委託でき、メンテナンスの手間を大幅に削減できる。なお、無料で利用できる「Googleフォーム」は、ファイル添付機能を利用する際に送信者がGoogleアカウントにログインしている必要があるため、BtoBの顧客に負担を強いることになり不採用とした。
４．問い合わせフォームサービスの比較検討
ファイル添付が可能な主要クラウド型フォームサービス3種（フォームメーラー、フォームラン、セキュアフォーム）について比較を行った。
| サービス名 | 無料プランでの添付機能 | 特徴・評価 |
|---|---|---|
| フォームラン1 (formrun) | 可能 | 無料プランでファイル添付が利用できる唯一のサービス |
| フォームメーラー 2(FormMailer) | 不可（有料のみ） | 老舗サービス。操作がシンプルでメール通知機能が充実。 |
| セキュアフォーム 3(SecureForm) | 不可（有料のみ） | シンプルなUIだが、添付機能は有料プランが必要。 |
有料プランも合わせて3社の検討を行ったが、単純に比較することは難しく、試用を行い段階的な導入を行う方向性で進めることとなった。
５．テスト試用と運用の壁
唯一無料プランでファイル添付に対応していた「フォームラン（formrun）」のテスト試用（切り替え検討）を実施した。フォームの作成は簡単であり短時間で作成することが出来た。
しかし、実際の業務に適用する中で2つの課題が浮き彫りとなった。
受注機会を逃さないためには、できる限り「従来のメール受信ベースの運用フローに近い仕組み」を維持することが極めて重要であると判断した。出来るだけ早期導入・移行ができるようあらためて、３つのクラウドサービスについて再検討を行った。
６．結論：導入サービスの決定と評価
最終的な検証結果に基づき、以下のサービスおよびプランの導入を決定した。
- 導入サービス： フォームメーラー Lite（1,485円／月）
- ファイルアップロード上限： 1ファイルあたり3MBまで
導入した理由
- 運用・保守コストの抑制： 新規CGIの設置は自由度が高いものの、サーバーへの設置作業や今後のメンテナンス管理、セキュリティ対策の負担が大きい。SaaS型の導入により管理工数を劇的に削減できた。
- 移行の容易さ： 既存のWebサイトページの改修として、見積フォームへ誘導する「ボタン」リンク先を変更するだけでスムーズに移行が完了した。
- 現場体制の維持： 受信メールの仕様が従来の受注体制に近く、現場の混乱を回避できた。
今後の懸念事項と課題
- アクセス解析の制限： 外部ドメインのフォームへ遷移するため、同一ドメイン内のようなアクセス解析（Googleアナリティクス等による詳細なコンバージョン計測）が手軽には行えなくなる（※独自ドメイン設定が可能な上位プランへ変更することで解決可能）。
- ファイル容量の拡張性： 現在は1ファイル3MBまでの制限があるが、今後の受注の推移や顧客からの要望に応じて、5MBの上位プランへの変更も検討していく。
古いCGIフォームの継続運用はセキュリティ上大きなリスクとなる。問い合わせフォームのセキュリティ強化や運用見直しを図る際は、単にコストや機能だけでなく、「自社の受注フローに合致しているか」「今後の保守体制をどう維持するか」という観点から最適な手法を選択することが重要である。
メンテナンス体制やセキュリティ対策は常に変化していくので、今後も定期的な運用確認と見直しを細目に行っていくことになる。