報道関係者各位　プレスリリース

2026年10月15日
株式会社イーアンドディー

ホームページに来た人が「小人」になって町を歩く
攻撃の「下見」から「侵入」まで見張る、ホームページ監視カメラ「小人さん」を発表

数字と表のアクセス解析を、誰でも読めるドット絵の「町」に。検索ロボット・AI・フォーム営業ロボット・攻撃者を見分け、「侵入の疑い」「Web シェルの疑い」「サイトにないページ」「下見」の 4 つのサインを検知して通知。Web サーバーのログを送るだけで導入できます

株式会社イーアンドディー（本社：東京都千代田区、代表取締役：木村 修、以下 当社）は、ホームページのアクセス状況をドット絵の「町」として表示し、不正アクセスの兆候を見張るソフトウェア、ホームページ監視カメラ「小人さん」を発表し、2026年10月15日より提供を開始します。

小人さんは、ホームページを「町」、各ページを「家」、訪問者を「小人」として描きます。いま誰がどのページを見ているか、どのページからどのページへ移動したかが、専門知識のない人にもひと目でわかります。検索エンジンのクローラー、AI、フォーム営業のロボット、不正アクセスを試みる攻撃者はそれぞれ別の姿で表示され、攻撃の疑いがある相手はワンクリックで締め出せます。さらに、WAF（Web アプリケーションファイアウォール）をすり抜ける「静かな攻撃」の兆候として、「侵入の疑い」「Web シェルの疑い」「サイトにないページ」「下見」の 4 つを検知し、メール・Slack・LINE に通知します。

■ 開発の背景：ホームページは今日も静かに叩かれている

中小企業のホームページは、今日も静かに叩かれています。当社自身のホームページ（WordPress）のアクセスログを 20 日間（2026 年 9 月 23 日〜10 月 12 日）小人さんで集計したところ、攻撃の疑いのある相手は 234、その要求は 3,332 回ありました。毎日 4〜5 の相手が、設定ファイルやバックアップの残骸を探し（867 回）、プラグインや利用者名の一覧を集め（981 回）、ログインを試しに来ています。要求の 6 割は 5 つの相手による機械的なスキャンで、残りの大半は数回ずつの短い「下見」です。ほかに、問い合わせフォームへ営業文を送り込むロボットが 64、AI 関連のロボットのアクセスが 1,970 回ありました（人の訪問は 2,406 人、閲覧 4,275 ページ）。これらは Google アナリティクスなど通常のアクセス解析には現れず、担当者も経営者も「何が起きているか」を知らないまま運用しているのが実情です。

2026 年には、WordPress で作られた医療系サイトの大量改ざんや、ランサムウェア被害の半数以上が中小企業に集中するなど、規模の小さい組織が狙われる傾向が続いています。JPCERT/CC が 2026 年 10 月に注意喚起した Web サーバーへの侵入事例でも、攻撃者はまず公開情報の「下見」をし、管理用 API やログイン画面を少しずつ試し、侵入後はアップロード先にプログラム（Web シェル）を置いて、改ざんしたページから利用者を誘導していました。こうした手口は、既知の攻撃パターンを止める WAF だけでは気づきにくく、「ログを継続的に見ている人」がいるかどうかで発見の早さが決まります。

小人さんは、当社が 2006 年に試作した「アクセスログを小人の動きで見せる」というアイデアを、現在の Web サーバーとブラウザの環境に合わせて作り直し、上記の侵入の手口に対応する 4 つの検知を加えたものです。経営者や受付の担当者など、ログを読まない人が「見ればわかる」ことを第一に設計しました。

■ 主な特長

1. 訪問者が小人になって町を歩く

訪問者は見ているページの「家」の前に立ち、次のページへ歩いて移動します。問い合わせフォームの送信は手紙を届ける演出で表示され、検索サイトや SNS、AI チャットからの来訪は入り口の門で区別されます。どのページを何分読んでいるかも表示します。

2. ロボットと攻撃者を別の姿で表示

検索エンジンや AI のクローラーはロボット、フォーム営業ロボットは桃色のロボット、攻撃の疑いがある相手は赤いフードの小人として描かれます。管理画面へのログイン連打、脆弱性スキャン、存在しないページの大量アクセスなどを自動で判定し、「要注意の相手」として一覧にします。

3. 侵入の手口に対応する 4 つの検知（新機能）

侵入は「下見 → 試行 → 侵入 → 居座り」の順に進みます。小人さんは、この各段階に対応する 4 つのサインを検知し、至急のものは件名を変えて通知します。

• 下見の検知：プラグインやテーマの一覧、利用者名、設定ファイルやバックアップの残骸を探す「列挙」を検知します。攻撃の準備段階で気づけます。
• 侵入の疑い：ログイン画面や管理用 API など「守られた場所」で失敗が続いたあとに要求が通った相手を、至急として通知します。パスワード総当たりの「成功」を見逃しません。
• Web シェルの疑い：画像やファイルの置き場（アップロード先）にあるはずのないプログラムが動いているときに、至急として通知します。侵入後に置かれた遠隔操作の道具を見つけます。
• サイトにないページ：小人さんがリンクをたどって集めたページ一覧にないのに、ページとして返っているものを一覧にします。改ざんで埋め込まれた偽ページや、公開するつもりのなかった画面に気づけます。

4. ワンクリックで締め出し、通知も届く

攻撃の疑いがある相手は「締め出す」ボタンで遮断できます。遮断リストは Web サーバーまたはゲートウェイ（nginx / Apache）が定期的に取りに来る方式のため、監視サーバーからお客様のサーバーへログインする必要がなく、安全に運用できます。新しい攻撃者やフォーム営業ロボットの出現、上記 4 つのサインはメール・Slack・LINE に通知され、毎朝のまとめも届きます。

5. 足あとで「人の流れ」が見える

小人の歩いた道には足あとが残り、よく通る道が浮かび上がります。雪景色に切り替えると、足あとだけが残る静かな画面で人の流れを確認できます。ページを家でなく、それぞれのページの縮小画像を表示する掲示板モードもあります。

6. 再生と期間指定、AI の参照も集計

過去のログを早送りで再生したり、期間を指定して集計したりできます。ChatGPT などの AI が利用者の質問に答えるために参照したページ、AI 検索の索引づくり、AI 学習用の収集も区別して集計し、「AI にどのページが読まれているか」がわかります。

7. 導入はログを送るだけ

Apache / nginx のアクセスログを syslog で送るだけで、ホームページ側の改修もプラグインの追加も不要です。WordPress などの CMS にも対応し、社内のパソコンや受付のモニターで表示できます。監視サーバーは当社のクラウドでお預かりするほか、お客様の Linux / Windows サーバーにも設置できます。

■ 提供形態と価格

2 週間の無料トライアルを受け付けています。アクセスログをお送りいただければ、トライアル前にお客様のサイトの「町」を作ってお見せします。なお、締め出し機能は、お客様が Web サーバーまたはゲートウェイを管理されている場合と、当社ホスティングのサイトでご利用いただけます（レンタルサーバーでは見える化と通知のみ）。

■ 今後の展開

AI による月次報告の自動作成、複数サイトの一括監視、CDN・WAF サービスとの連携など、中小企業のホームページ運用と防犯をまとめて支える機能を順次追加する予定です。

■ 製品概要

【会社概要】

【本件に関するお問い合わせ先】

株式会社イーアンドディー　担当：木村
TEL：070-4367-6631
E-mail：sales_info@e-d.co.jp
お問い合わせフォーム：https://www.e-d.co.jp/contact/