日本のセキュリティニュースを追っている方ならお気づきでしょう。2026年9月以降、ほぼ毎週のように新たな情報漏えいの公表が続いています。ポイントプログラム、飲食店アプリ、予約サイト、コミュニティプラットフォーム、求人サイトなどが相次いで告知を出しており、当ブログでもLawson ID、ブックオフ、コミューン、バイトルなどの事案を取り上げてきました。
10月8日から9日にかけて、国内の公的セキュリティ機関が一斉に動きました。JPCERT/CCは注意喚起 JPCERT-AT-2026-0030 を公開し、IPA（情報処理推進機構）は「速やかに実施すべき」点検項目を発表、経済産業省（METI）は業界団体に正式な協力依頼を出しました。本記事では、中小企業でシステムを運用する方に向けて、これらの文書の内容を実務的にまとめます。
最初に重要な注意点です。いずれの機関も、特定企業の漏えいを特定の攻撃手法に結び付けてはいません。冒頭の事例はあくまで一連の流れの背景であり、それぞれが以下の手口で起きたと述べるものではありません。
JPCERT/CCの発表内容
AT-2026-0030は2026年10月8日に公開され、10月9日に更新されました。JPCERT/CCによると、2026年9月前後に国内組織で不正アクセスによる個人情報等の漏えいが相次いでおり、共有されている技術情報は「限定的かつ断片的」です。それでも被害拡大の状況を踏まえ、注意喚起に踏み切ったとしています。
注目すべき点は二つです。
- 普段から散発的に発生しているランサムウェア攻撃とは別の攻撃類型を対象としており、大量の個人情報漏えいにつながる侵入に焦点を当てています。
- 一般利用者向けアプリだけではありません。BI（ビジネスインテリジェンス）ツールや従業員向け管理システムなど、運用側が「不特定多数からのアクセスを想定していない」システムも被害に遭っています。
JPCERT/CCは、すべての事案で同じ手法が使われているわけではないこと、新たな情報が判明すればページを更新することを強調しています。
確認されている4つの攻撃パターン
注意喚起では、寄せられた報告に基づき4つの「ケース」が示されています。ここでは運用上の詳細を省き、防御の観点で要約します。
- ケースA：既知の脆弱性の探索。 単一製品の単一の欠陥ではありません。標的ごとにさまざまな既知の脆弱性の有無をスキャンするほか、環境設定ファイルやバックアップファイルの窃取など、管理不備を悪用する攻撃も試みられています。
- ケースB：APIの悪用。 アプリの管理用APIへの不正なリクエストにより、情報が書き換えられた事案があります。報告されている手口には、公開スマートフォンアプリを解析してエンドポイントやキーを特定する、本来画面操作では実行できない内部APIを攻撃する（ユーザー権限の変更、不正アカウントの作成）、不正な形式の認証トークンで応答の違いを確認する、NoSQLインジェクションのブラインド探索でアカウント情報を特定する、他システムの侵害で窃取したAPIキーを使う、といったものがあります。
- ケースC：Metabase CVE-2026-72898。 BIツールMetabaseのSQLインジェクションの脆弱性で、これもAPI経由で悪用されます。JPCERT/CCは8月14日に注意喚起を出しています。当ブログの解説はMetabase CVE-2026-72898をご覧ください。
- ケースD：アプリケーションサーバー上のWebシェル。 公開Webサーバーからアクセス可能なアプリケーションサーバーにWARファイルが設置され、含まれるJSPが簡易Webシェルとして動作していました。
JPCERT/CCは侵害調査のため、不審な送信元IPアドレスやUser-Agentの例も公開していますが、一部のIPは現在正規に利用されている可能性があるとしています。ログを確認する際は、更新される可能性があるため公式ページ（参考資料にリンク）のリストを直接参照してください。
API向けの推奨対策
注意喚起で最も役立つのが対策リストです。API経由のアクセスについて、JPCERT/CCは次を推奨しています。
- 単位時間あたりのリクエスト件数を制限し、短時間の繰り返しアクセスや大量実行を防ぐ。
- ログイン、パスワードリセット、SMS送信、検索など悪用リスクの高い機能に個別のレート制限・回数制限を設ける。
- 非公開APIを含むすべてのエンドポイントでアクセス制御を行い、許可された利用者とHTTPメソッドのみ受け付ける。
- API利用者やAPIトークンには必要最小限の権限だけを与える。
- トークンに適切な有効期限を設け、長期間有効なトークンを避ける。
- 不要になった、または漏えいが疑われるトークンを速やかに無効化できるようにする。
汎用的な対策としては、利用地域が限られるサービスでのアクセス元地域の制限、脆弱なバージョンへの修正アップデート適用、Webサーバー侵害後の横展開対策の見直し、検知体制と初動対応の見直し、顧客への平時からの二次被害防止の呼びかけ（多要素認証など）、不要な管理機能のインターネット公開停止、保存期間を過ぎたデータや利用目的を終えたデータを残さないこと、が挙げられています。参考としてOWASP API Security Top 10が示されています。
IPAの「速やかに行うべき点検」
IPAは10月9日、大量の情報資産を保有する事業者の経営者に向けた文書を公開しました。金融機関や通信事業者を含む幅広い事業者から漏えいの公表が相次いでおり、現段階では特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていないとしています。公表事例の傾向からは、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点になっていることがうかがえるとのことです。
IPAが今すぐ求める点検は次のとおりです。
- 外部公開アプリケーション： 自組織が構築・運用する外部公開アプリやサービスを洗い出し、直近のログに異常（エラーの出力量、平時との差異など）がないかを、まず直近1カ月、その後3カ月と範囲を広げて確認する。未適用のパッチがあれば速やかに適用する。
- 利用している外部サービス： クラウド、VPNなどを部署単位の利用も含めてすべて洗い出し、サービスごとのログ（ログイン失敗、普段と異なるログイン元IPや時間帯）を確認する。作った覚えのないアカウントや、無効化したはずのアカウントが有効になっていないかも確認する。
- 保有データ： 窃取された情報は脅迫や不正売買に使われるため、本当に保有が必要なデータかを再点検する。
異常なログやアカウントが見つかった場合は速やかにセキュリティインシデントと判定し、専門のセキュリティベンダーへの詳細調査の依頼を強く推奨しています。
その後の対策として、外部公開範囲の見直し、認証（多要素認証・パスワード）の強化、権限やAPI連携の見直し、ログの取得内容・保持期間の見直し、データの保管場所や暗号化の再検討などが挙げられています。
経済産業省の依頼
経済産業省は、国家サイバー統括室（NCO）、JPCERT/CC、個人情報保護委員会（PPC）の注意喚起を、日本通信販売協会（JADMA）や日本商工会議所などの業界団体に周知しました。同省は、サプライチェーン全体を視野に、①組織のトップによる主導、②脆弱性情報の早期把握と対応、③「ゼロトラスト」への移行を求めています。被害が発生した場合、所管業界の事業者は時系列、被害状況、攻撃種別などを担当課室に速やかに連絡し、警察への通報・相談も検討するよう要請しています。
中小企業が今週やるべきこと
各文書を現実的なタスクに落とし込むと、次のようになります。
- 棚卸しをする。 Webサイト、ECサイト、アプリ、管理画面、BIツール、VPN、各部署が契約したクラウドサービスなど、自社名義でインターネットに出ているものをすべて書き出す。
- 直近30日のログを見る。 エラーの急増、事業を行っていない国からのログイン、異常な量のAPI呼び出し、誰も知らない新規アカウントを探す。
- 開いている必要のないものを閉じる。 管理画面や社内ツールが、インターネット上のどのIPからも応答する状態は避ける。
- APIキーを見直す。 古いキーを無効化し、権限を絞り、公開アプリにキーが埋め込まれていないか確認する。
- アップデートする。 公開されているコンポーネントを優先し、Metabaseを使っている場合は修正版であることを確認する。
- 不要なデータを消す。 データが少なければ被害も小さくなります。
小規模事業者向けに、IPAは「5分でできる！情報セキュリティ自社診断」やSECURITY ACTION自己宣言、見守り・駆けつけ・保険をまとめた「サイバーセキュリティお助け隊サービス」などの無料・低コストの施策も紹介しています。
まだ分かっていないこと
各機関は一連の事案を単一のグループや単一の欠陥に結び付けておらず、JPCERT/CC自身も把握している情報は部分的だとしています。AT-2026-0030の更新や被害企業の発表を引き続き追い、重要な変化があれば本記事を更新します。
参考資料
- JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)
- IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026-10-09)
- JADMA: 経済産業省の注意喚起及び情報提供に係る協力依頼 (2026-10-09)
- 日本商工会議所: 不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について（経済産業省）
- JPCERT/CC: MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
- Impress Watch: 国内で情報漏えい被害が相次ぐ JPCERT/CCが攻撃手法と対策を公表
- マイナビ TECH+: 国内で不正アクセス相次ぐ、JPCERT/CCが注意喚起
- Macnica セキュリティ研究センター: 相次ぐWEBシステムからの情報漏洩事案について
- OWASP API Security Top 10 (2023)
あなたのビジネスにも導入しませんか？
KGA ITは、中小企業向けにAIアシスタント、業務自動化、Webサイトの導入を支援しています。ご相談は無料で、24時間以内にご返信します。プランは月額5,000円から。
- 電話: 080-9732-1062
- メール: kga-it@outlook.com
- お問い合わせページ: kga-it.com/ja/contact