自分のサイト9ホストに露出チェックを流した結果。117件すべて404だった

自分のサイトと個人アプリの9ホストに、よく狙われる13個のパスを1つずつ確かめました。
計117件で、結果は全て404でした。
.env も .git/config も phpMyAdmin も、外から見える状態にはなっていませんでした。

派手な話はありません。
でも、この「何も見つからない」を毎週確かめる仕組みを、僕は大事にしています。

確認を毎週回している理由

2026年に公表された調査（対象は2025年）では、侵入口の1位は脆弱性の悪用でした。
Mandiant（M-Trends 2026）で32%、Verizon（DBIR 2026）で31%です。
悪用が始まるまでの時間は、Mandiantの2025年の推定で「マイナス7日」でした。
修正版が出るより前に、悪用が始まっているということです。

AIを使った新しいマルウェアの報告も、同じ調査に載っています。
それでも主役は、昔からある手口を速く、大量に試すことの方だ、というのが僕の見立てです。
Mandiantも「2025年は侵害がAIの直接の結果だった年とは考えない。成功した侵入の大半は、今も基本的な人の失敗と仕組みの失敗から起きている」と書いています（原文は英語。僕の訳）。

だとすると、守る側に効くのは、設定ミスの有無を人の記憶ではなく機械で毎週見ることだと思いました。

何を、どうやって確認しているか

対象は、自分のサイトと個人アプリの9ホストです。
確かめるのは、よく狙われる13個のパスです。

• /.env
• /.git/config
• /phpMyAdmin/ と /phpmyadmin/
• /phpinfo.php
• /backup.sql、/dump.sql、/backup.zip
• ほか、設定ファイル・スキーマ・ログの置き場所になりそうなパス

方法は、HTTPのHEADリクエストです。
ページの中身は取らず、「そこに何かあるか」だけをステータスコードで見ます。
毎週月曜の定期タスクで流して、結果をレポートに残しています。

2026年10月12日の結果は、117件全て404でした。
この記事を書いた10月19日にもう一度流しても、117件全て404でした。

同じ週、何も載せていないサーバーには

比べる材料として、何も載せていない「おとり」のサーバーも立てて、届く攻撃を記録し始めました。
10月16日の午後に動かし始めて、18日までの約2日半で、SSHとTelnetへの接続は約1万1千回。
最初の1回は、動かし始めてから21秒後でした。

中身は、初期設定のままのパスワード（admin / admin など）を片っ端から試す動きや、2021年に見つかったWebサーバーの弱点を突く要求です。
手口は古いのに、速さは人の手ではありません。
僕のサイトの117件が404だったのは、こういう機械的な総当たりに対して、置いてはいけないものを置いていなかった、というだけの話です。

おとりのサーバーの記録は、まだ数日分です。
傾向は、もう少しためてから見ます。

この結果から言えること、言えないこと

言えるのは、確かめた時点で、この13パスは外から読めなかったことです。
言えないことも書いておきます。

• 404は「ファイルが無い」か「隠されている」のどちらかです。本当に無いのか、WAFやIP制限で隠れているのかは、このチェックだけでは区別できません（404そのものの意味は404という数字の意味に書きました）。
• 見ているのは13パスだけです。別名のバックアップ（backup_2026.sql.gz など）や、日付付きのダンプは見つけられません。
• ログイン後の画面や、APIの権限設定は見ていません。

だから僕は、これを「安全の証明」ではなく「うっかりを拾う網」として使っています。
これまでの2回、この網に引っかかったものはありません。
引っかかった時に1週間以内に気付ける、という保険です。

自分で試すなら

自分のサイトのURLの後ろに /.env や /.git/config を付けて開くだけでも、1つ目の確認になります。
404か403なら、少なくともそのパスは外から読めていません。
200が返ったり、ファイルのダウンロードが始まったりしたら、そのファイルを消して、中に書かれていたパスワードやキーを変えてください。

毎週やるなら、定期実行の仕組みに載せるのが楽です。
僕の場合は、AIの定期タスクに載せて、結果をレポートに追記させています。

※ この記事の下書き、一次資料の確認、10月19日のチェックの実行はAI（Claude）が行いました。確かめるパスの選定と、公開の判断は僕がしています。

出典

• Google Cloud「M-Trends 2026」
• Verizon「2026 Data Breach Investigations Report」