相次ぐ不正アクセス被害を受けて ― 公的機関の注意喚起の要点と、社内で確認していただきたい6つの観点

AIを活用して攻撃を自動化・効率化する動きが指摘されており、国家サイバー統括室もAIの悪用を含むサイバー攻撃手法の高度化に言及しています。一方、公表された事例で主に狙われているのは未知の脆弱性ではなく、対応されずに残っている既知の脆弱性や、設定・管理の不備など、従来から知られている弱点です。

つまり、AIによって攻撃そのものが高度になったというより、攻撃が効率化されて回数や対象が増えた結果、こうした弱点が突かれて不正アクセスが成立する事案が増えていると考えられます。そのため、公開しているIT資産の把握と、脆弱性の把握・解消という、これまでの基本的な対策が依然として有効です。

2026年9月前後から、国内の企業・団体において、不正アクセスによる個人情報等の漏えい被害の公表が相次いでいます。これを受け、10月7日から9日にかけて、個人情報保護委員会、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）、内閣官房国家サイバー統括室、独立行政法人情報処理推進機構（IPA）、金融庁などの公的機関が、相次いで注意喚起を公表しました。

株式会社ユービーセキュアは、Webアプリケーションセキュリティや脆弱性マネジメントの専門企業として、これらの注意喚起の要点と、システムの専門部署以外の方にも社内で確認していただける観点をまとめました。経営層の方へのご報告や、関係部署・システムの委託先とのご確認にご活用ください。

なお、本お知らせの内容は2026年10月14日時点の公開情報にもとづいています。最新の情報や詳しい内容は、下記の各機関の発表をご確認ください。

各機関の注意喚起の要点

IPAは10月9日の注意喚起で、特定の製品やサービスの脆弱性を狙った攻撃とは断定されていないとしました。そのうえで、公表された事例の傾向から、外部に公開しているアプリケーションやサービスへの侵害、アカウントの侵害が起点になっているとの見方を示しました。

JPCERT/CCは、10月8日に公開（9日に更新）した注意喚起で、被害が一般の利用者向けのアプリにとどまらないと指摘しました。BI（ビジネスインテリジェンス）ツールや従業員向けの管理システムなど、外部からの不特定多数のアクセスを想定していないシステムにも被害が及んでいるとしています。

また、国家サイバー統括室は10月9日、AIの悪用を含めサイバー攻撃の手法が高度化・巧妙化しているとして、経営層に対し、サイバーセキュリティ対策を経営課題として位置づけるよう求めました。

公的機関の主な注意喚起

立場に応じて、以下をご参照ください。

経営者の方向け

IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html

経営層・事業者の方向け

内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」
https://www.cyber.go.jp/pdf/press/taiou.pdf

システムの管理・運用を担当する方向け

JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」
https://www.jpcert.or.jp/at/2026/at260030.html

個人情報を取り扱う事業者の方向け

個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」
https://www.ppc.go.jp/news/careful_information/261007_alert/

金融機関の方向け

金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について（注意喚起）」
https://www.fsa.go.jp/news/r8/sonota/20261009/20261009.html

社内で確認していただきたい6つの観点

公的機関の注意喚起をもとに、システムの専門部署以外の方にも確認していただけるよう、当社が問いの形に整理しました。関係部署やシステムの委託先に確認する際にも、そのままご活用いただけます。

記録の確認方法やAPIへのアクセス制限など、技術的な点検の方法は、JPCERT/CCの注意喚起に詳しくまとめられています。システムを担当する方は、あわせてご確認ください。

1. インターネットに公開しているWebサイト・アプリ・API・管理画面を、一覧で把握できていますか

キャンペーンサイトや部署単位で立ち上げたサービス、従業員向けのシステムも対象です。前述のとおり、外部からの不特定多数のアクセスを想定していないシステムも被害に遭っています。まずは「何を公開しているか」を洗い出すことが、点検の出発点になります。

※APIは、スマートフォンアプリなどがデータをやり取りするために、サーバー側に用意された窓口です。

2. それぞれ脆弱性診断を受けていますか。受けている場合、管理画面・API・スマートフォンアプリまで診断の範囲に含まれていましたか

脆弱性診断とは、システムにセキュリティ上の弱点がないかを、専門家やツールで調べることです。診断を受けていても、運営者だけが使う管理画面や、スマートフォンアプリがやり取りするAPIが、診断の範囲から外れていることがあります。「診断済みかどうか」だけでなく、「どこまで診断したか」をご確認ください。

3. 過去の診断で指摘された項目や、ソフトウェアの更新への対応は済んでいますか

既知の脆弱性や、設定・管理の不備を突く攻撃も確認されています。過去の診断報告書で指摘された項目が対応済みか、利用しているソフトウェアが最新の状態か、サポートが終了した製品を使い続けていないかをご確認ください。

4. 委託先や外部サービスに預けているシステム・データも把握できていますか

自社で直接運用していないシステムや、クラウドサービスなどの外部サービスも点検の対象です。サービスの提供者と利用者とでは、確認できる記録（ログ）が異なる場合があります。誰が・いつ・どのように確認できるかを整理しておくと、万一の際の調査が円滑になります。

5. 使い終わった個人情報を持ち続けていませんか

保有する情報が少なければ、万一漏えいが起きた場合でも被害の拡大を抑えられます。利用目的を終えたデータや、保存期間を過ぎたデータが残っていないかをご確認ください。

6. 異常に気づいたとき、誰が判断し、どこに相談するか決まっていますか

記録の異常や身に覚えのないアカウントが見つかった場合に備えて、社内の判断者と連絡経路、外部の相談先をあらかじめ決めておくことが重要です。

被害が疑われる場合

記録の異常や身に覚えのないアカウントなど、被害が疑われる兆候が見つかった場合は、速やかにインシデントとして対応を進めてください。IPAは、情報漏えいの可能性を考慮し、専門のセキュリティベンダーに詳細な調査を依頼することを強く推奨しています。また、政府も、被害を受けた場合は所管省庁や警察へ通報・相談するよう呼びかけています。

JPCERT/CC インシデント対応依頼

https://www.jpcert.or.jp/form/

IPA 企業組織向けサイバーセキュリティ相談窓口

https://www.ipa.go.jp/security/support/soudan.html

当社からのご案内

当社では、外部に公開しているシステムの点検を、次のようなサービスでお手伝いしています。管理画面やAPIを含めた診断範囲の見直しや、過去の診断結果の振り返りについても、お気軽にご相談ください。

「何から手をつければよいか整理したい」という方は、当社のセキュリティコンサルタントによる無料相談会（オンライン・1時間）もご利用いただけます。
https://www.ubsecure.jp/free-consultation

ユービーセキュアは、今後もWebアプリケーションセキュリティや脆弱性マネジメントの専門企業として、安全なシステム運用に役立つ情報の発信に努めてまいります。

【お知らせに関するお問い合わせ先】

株式会社ユービーセキュア
お問い合わせフォーム：https://www.ubsecure.jp/inquiry