セキュリティ対策
不正アクセスの注意喚起（2026年10月・国家サイバー統括室／IPA／JPCERT/CC）：今週やる点検と、異常が見つかったときの順番
2026年10月9日に国家サイバー統括室とIPAが出した不正アクセスの注意喚起と、JPCERT/CCの注意喚起（JPCERT-AT-2026-0030）を、自社で今週やる点検に整理。外部公開アプリのログ（直近1か月→3か月）、クラウド・VPNのアカウント、保有データの棚卸しと、異常時の順番、経営層への伝え方。
対象：個人情報を扱う企業・団体で、システムを担当している人と、その報告を受ける経営層。2026年10月に政府機関と専門機関が相次いで出した不正アクセスの注意喚起を、自社のシステムで今週やる点検に置き換えます。本記事は、内閣官房 国家サイバー統括室・IPA（情報処理推進機構）・JPCERT/CC・個人情報保護委員会・金融庁・警察庁の公開文書にもとづきます。攻撃の手順は扱いません。
なぜ今、注意喚起が出たのか
2026年9月前後から、国内で不正アクセスによる情報漏えいの公表が続いています。IPAは、国内の金融機関や通信事業者などの幅広い事業者から公表が相次いでいるとし、大量の個人情報を扱うオンラインサービスやアカウントサービスのシステムが侵入され、個人情報を含むデータが盗まれる事案が続いていると説明しています。
これを受けて、10月7日から9日にかけて次の文書が出ました。
| 日付 | 発出元 | 文書 | 主な内容 |
|---|---|---|---|
| 10月7日 | 個人情報保護委員会 | 大規模な漏えい等事案を踏まえた対応について（注意喚起） | 安全管理措置の見直し内容の先取り、不要になった個人データの消去 |
| 10月8日（9日追記） | JPCERT/CC | 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030） | 確認されている4つの攻撃の型、対策、調査の手がかり（IOC） |
| 10月9日 | 内閣官房 国家サイバー統括室 | 不正アクセスによる漏えい等の事案を踏まえた対応について | ウェブシステム・サプライチェーン・データ管理の3本柱 |
| 10月9日 | IPA | 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について | 速やかに行うべき点検と、取り組むべき対策（随時更新） |
| 10月9日 | 金融庁 | 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について | 金融機関への点検の要請、本人確認の厳格化 |
JPCERT/CCは、複数の製品やサービスで被害が出ている一方で、技術的な情報の共有が不足しており、把握できている情報は限られるとしています。どの文書も個別の事案名は挙げていません。当サイトが9〜10月に取り上げた国内の不正アクセス事案には、タイムズカー、ヤマト運輸・佐川急便、セイコーマートアプリ、焼肉きんぐ公式アプリ、大和証券の委託先、ローソンID があります。各社が公表した内容はそれぞれの記事にまとめています。
今週やる点検：IPAの3つの軸
IPAが「速やかに行うべき点検」として挙げる3つを、自社のシステムで実際に確認する作業に分けます。どれも自分が管理するシステムに対して行うものです。
外部に公開しているアプリを洗い出し、ログを1か月→3か月と広げて見る
自社で作った、または運用している、インターネットから使えるアプリとサービスを一覧にします。会員サイト、スマホアプリが使うAPI、問い合わせフォーム、管理画面が対象です。JPCERT/CCは、BIツールや従業員向けの管理システムのように、不特定多数の利用を想定しないシステムでも被害が出ているとしているので、社内向けのものも一覧に入れてください。
一覧の各アプリについて、ログに異常がないかを見ます。IPAが挙げる例は、エラーが大量に出ていないか、普段と違う傾向がないかです。具体的には、Webサーバーのアクセスログで管理画面やAPIへのアクセス件数の急増、アプリのエラーログでの同じエラーの連続、深夜や休日の大量の取得を確かめます。範囲は、まず直近1か月、その後3か月と段階的に広げます。
IPAは、調査を複数回行う可能性を踏まえ、誰がどのように調査できるかも把握しておくよう求めています。最後に、各アプリ・サービスの構成要素（例：OS・ミドルウェア・ライブラリ・CMS）に未適用の修正がないかを確認し、あればできるだけ早く適用します。
クラウド・VPNなど外部サービスで、ログイン失敗・接続元・知らないアカウントを確認する
利用しているクラウドサービス、VPN、SaaSを洗い出します。IPAは、部門ごとに導入したものも含めるよう求めています。情報システム部門が把握していない契約がないか、経理や営業の担当者にも確認してください。
各サービスのログで、ログイン失敗の多さ、見慣れない接続元のIPアドレス、普段と違う時間帯のログインを確かめます。IPAは、ログの保存期間はサービスごとに違い、サービス事業者と利用者で見られるログが違う場合があるとしています。管理画面で見られる期間が短いなら、事業者に問い合わせます。
アカウントは、知らないアカウントが作られていないか、無効化や削除をしたはずのアカウントが再び有効になっていないかを見ます。IPAは、アカウント操作の監査ログを確認するのが有効だとしています。考え方は 不正アクセスされていないか確認する方法 の組織版です。
持っている個人データを棚卸しし、要らないものは消す
IPAは、盗まれたデータが脅迫や転売に使われているとして、必要なデータだけを持ち、何を持っているかを正確に把握するよう求めています。データベースとファイル置き場ごとに、何の情報を・何件・何のために・いつまで持つかを書き出します。書けないものは削除の候補です。
個人情報保護委員会も同じ時期の注意喚起で、個人情報保護法第22条にもとづき、利用する必要がなくなった個人データは遅滞なく消去するよう努めることを改めて求め、これが徹底されずに事案が深刻になった例があるとしています。法令で保存期間が決まっているものは、その根拠と期間を一緒に書いておきます。
IPAは、点検に加えて、今後公的機関やセキュリティ事業者から不審なIPアドレスなど調査に使える情報が公表される可能性があるとして、当面の情報収集を強めるよう求めています。
点検で異常がなくても、対策は進める
IPAは、点検で異常が見つからなかった場合も、次の対策を検討するよう求めています。外部公開アプリと外部サービスでは、公開範囲の見直し、多要素認証やパスワードなどの認証の強化、アカウント権限の見直し、API連携などの管理の見直し、ログの取得内容と保存期間の見直し。保有データでは、持ち続けるかどうかの再検討、保存場所の見直し、データへのアクセス記録の内容と保存期間の見直し、暗号化です。
国家サイバー統括室の3本柱と、具体的な確認項目
国家サイバー統括室の文書は、事案の背景としてウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理を挙げ、それぞれに対策のポイントを示しています。下の表の右の列は、文書の項目を自社で確かめる形に言い換えたものです。
| 柱 | 文書が挙げる主な項目 | 自社で確かめること |
|---|---|---|
| ① ウェブシステム等の適切な管理 | セキュリティパッチの速やかな適用（公開していない内部のサーバーも含む）、サポート切れ製品を使わない、使っていないシステムや機能の停止・削除、定期的な脆弱性診断、不要なポート等の無効化 | 公開サーバーと内部サーバーの一覧に、サポート期限と最終更新日を書けるか |
| ① 同上（アカウント・認証） | 多要素認証、推測されやすいパスワードの禁止、管理者アカウントを必要最小限に、退職者・異動者・使われていないアカウントの速やかな無効化 | 管理者アカウントの持ち主を全員言えるか。退職者のアカウントが残っていないか |
| ① 同上（レジリエンス） | ログの取得・保管、不審な通信や大量アクセスの監視、外部からの異常な認証試行の把握、インシデント対応態勢の整備 | 大量の取得や認証失敗が続いたとき、誰に通知が届くか |
| ② 委託先を含むサプライチェーン | 委託先の方針・体制・責任分界の確認、再委託先を含む管理状況の把握、契約にアクセス権管理・ログ管理・事故時の報告義務を書く、委託先に渡す情報を必要最小限に、業務終了後のデータ削除 | 委託先ごとに、渡している個人情報・付与しているアカウント・事故時の連絡先を1枚にまとめられるか |
| ③ データの適切な管理 | 情報資産の所在と管理者の把握、利用目的と保存期間の明確化、定期的な棚卸し、閲覧と更新の権限の分離、保存データと通信の暗号化、認証情報を平文で保存しない、クラウドの公開設定とアクセス権限の確認、アクセス記録の取得と大量取得の監視 | 個人データに誰がいつアクセスしたかを、後から調べられるか |
文書は、サプライチェーンについて「委託先企業と共に管理する」という認識で対策を講じるよう求めています。攻撃者が比較的守りの弱い委託先を足がかりに、標的の企業へアクセスを広げることがあるためです。委託先の点検の進め方は 組織のセキュリティ対策の最低限 の「保守・委託・退職者のアカウント」でも扱っています。
国家サイバー統括室：何を守るか
ウェブシステム ／ 委託先を含むサプライチェーン ／ データ管理
IPA：今週何を点検するか
外部公開アプリのログ ／ 外部サービスのアカウント ／ 保有データ
JPCERT/CC：何が起きているか
4つの攻撃の型 ／ 対策 ／ 調査の手がかり（IOC・随時追記）
JPCERT/CCが確認している4つの型
JPCERT/CCの注意喚起は、ランサムウェア攻撃などとは別に、大量の情報漏えいにつながり、特に増加しているおそれがある攻撃の型を挙げています。ここでは、どこを点検すればよいかが分かる程度に要約します。
| 型 | 概要（JPCERT/CCの説明の要約） | 自社で点検する場所 |
|---|---|---|
| ケースA | 既知の脆弱性の有無を探し、悪用を試みる。機器の管理不備を突いて、設定ファイルやバックアップファイルを持ち出そうとする試みも含む | 公開サーバーの更新状況、公開フォルダに設定ファイルやバックアップが置かれていないか |
| ケースB | アプリの管理用APIへの不正なリクエストで、情報の書き換えなどが起きている。公開アプリの解析によるAPIの特定、内部向けAPIへの攻撃、他のシステムから盗まれたAPIキーの悪用が報告されている | 管理用・内部向けAPIに認証とアクセス制御があるか、APIキーの権限と有効期限 |
| ケースC | MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）を、APIへの不正なリクエストを通じて悪用する | Metabaseを使っているか、版が修正済みか、インターネットから届くか |
| ケースD（10月9日追加） | 公開Webサーバーからアクセスできるアプリケーションサーバーに、WARファイル（Javaのアプリをまとめたファイル）が置かれ、その中のファイルが簡易的なWebシェル（外から命令を実行できるようにする不正なプログラム）として動く | アプリケーションサーバーの管理機能が公開側から届かないか、配置されているアプリが自分で置いたものだけか |
ケースCの詳細は Metabaseの脆弱性を悪用した情報漏えい と CVE-2026-72898の解説 にあります。設定ファイルやバックアップの置き場所は 公開ディレクトリに秘密ファイルを置き忘れていないか で確認できます。
JPCERT/CCが挙げる対策は、API経由のアクセスについては、ログイン・パスワードリセット・SMS送信・検索などの機能ごとのレート制限、非公開APIも含めたアクセス制御、APIの利用者やトークンの権限を最小限にして有効期限を付けること、不要なトークンや漏れた疑いのあるトークンをすぐ無効にできるようにすることです。汎用的な対策として、利用地域が限られるサービスでのアクセス元の地域制限、既知の脆弱性の更新、Webサーバーが侵害された場合の横展開対策の見直し、検知体制と初動対応の点検、業務上不要な管理機能の公開停止、保存期間や利用目的を終えたデータの削除、漏えいを想定した顧客への二次被害防止の呼びかけの準備を挙げています。
調査の手がかり（IP アドレス・User-Agent）は、JPCERT/CCのページで最新のものを見る
JPCERT/CCの注意喚起には、不審な送信元IPアドレスの一覧と、攻撃で観測されたUser-Agentの例が載っています。一覧は10月9日に追記されており、今後も変わる可能性があるため、当サイトには転載しません。JPCERT/CCの注意喚起（JPCERT-AT-2026-0030）で最新の一覧を確認し、自社のログに同じ接続元がないかを調べてください。JPCERT/CCは、これらが調査の時点では正規の利用である可能性もあるとしています。一致したことだけで侵入と決めつけず、その接続元が何をしたかをログで追います。
異常が見つかったら：この順番で進める
IPAは、異常なログやアカウントが見つかったら、速やかにセキュリティインシデントと判定して対応を進めるよう求めています。「もう少し様子を見る」と判断を先延ばしにすると、ログの保存期間が過ぎて調べられなくなることがあります。
セキュリティインシデントと判定する
担当者が見つけた異常を、その日のうちに責任者に上げ、インシデントとして扱うことを決めます。判定は後から取り消せますが、対応の開始は後から早められません。
ログと証拠を残す
ログは保存期間が過ぎると消えます。サーバーのログ、外部サービスの管理画面から出せるログ、アカウント操作の監査ログを、消したり上書きしたりする前にコピーして別の場所に保管します。サーバーを作り直す前に、ディスクの状態を残せるかも専門家に相談します。手順の考え方は サイトやサーバーが不正アクセスされたか調べる方法 の「見つけたときの対応の順番」にあります。
専門の事業者に調査を頼む
IPAは、情報漏えいの可能性を踏まえ、詳細な調査はセキュリティの専門事業者に依頼することを強く推奨しています。JPCERT/CCは、インシデント対応の依頼を受け付けています。どこまで入られたか、何が持ち出されたかを社内だけで判断しないでください。
個人情報保護委員会などへ報告し、情報を共有する
個人データの漏えい（そのおそれを含む）があれば、個人情報保護委員会への報告と本人への通知が必要になる場合があります。期限と報告先は サイトやサーバーが不正アクセスされたか調べる方法 の「個人情報が漏れたおそれがあるとき」にまとめています。国家サイバー統括室は、被害を受けた組織に、さらなる被害の拡大を防ぐため、技術的な情報を同室や所管省庁、専門機関に速やかに共有するよう協力を求めています。IPAの届出窓口や、警察のサイバー犯罪相談窓口にも相談できます。
経営層に伝えること
国家サイバー統括室の文書は、サイバー攻撃による被害は「もはや情報システム部門だけの問題ではありません」と書いています。情報が流出すれば、事業の停止や顧客対応など、さまざまな経営のリスクにつながるためです。そのうえで経営層に、サイバーセキュリティ対策を経営課題と位置づけ、必要な投資や人の体制づくりを含めて強化するよう求めています。IPAも、経営責任として対策の点検と見直しを至急行うよう求めています。
担当者が経営層に報告するときは、次の4点に絞ると判断を得やすくなります。
- 今週の点検の結果：3つの軸それぞれで、異常があったか、なかったか、確認できなかったか
- 確認できなかった範囲：ログが残っていなかった期間、把握できなかった外部サービスや委託先
- 決めてほしいこと：ログの保存期間を延ばす費用、専門事業者との事前の契約、委託先への確認の依頼
- 顧客への備え：漏えいが起きたときの通知の文面と窓口（JPCERT/CCは、二次被害防止の呼びかけを平時から準備するよう勧めている）
業種によっては、所管官庁からも要請が出ています。金融庁は金融機関に、委託先などの第三者のリスク管理やインシデント対応態勢を含めて点検し、不足があれば速やかに対策するよう求めました。あわせて、オンラインでの本人確認で、本人確認書類や顔の画像に不自然な点がないかの確認を徹底すること、本人確認書類の画像を送る方法が2027年4月1日から使えなくなるのに先立ち、ICチップの読み取りへの移行を早めることを求めています。
当サイトの視点：「ログが残っていなかった」は、点検の失敗ではなく結果の1つ
IPAの点検は「直近1か月、その後3か月」とログをさかのぼる前提で書かれています。けれども実際に点検すると、ログが30日で消える設定だった、外部サービスの管理画面では2週間分しか見られなかった、ということがよくあります。
このとき「異常なし」と報告してはいけません。正しい報告は「1か月分は異常なし、それより前は確認できない」です。確認できなかった期間と範囲を書き出すと、次にやるべき対策（保存期間の延長、ログの外部への転送、事業者への問い合わせ）がそのまま決まります。今週の点検の価値は、異常を見つけることと同じくらい、「自社がどこまでさかのぼれないか」を知ることにあります。
社員と顧客への呼びかけ
警察庁は、情報流出が続いているとして、企業・団体にはネットに接続する機器のソフトウェア更新やパスワードの強度の確保を、個人には、メール内のリンクを安易にクリックしないこと（流出元の企業をかたる偽メールの可能性がある）、パスワードを使い回さず多要素認証を使うことを呼びかけています。事故の後は、自社の名前をかたる偽の連絡が増えることがあります。社員と顧客に、連絡は公式サイトから確かめるよう伝えてください。偽の連絡の見分け方は フィッシングとは で解説しています。
出典（公式情報）
- 内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日） — cyber.go.jp
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日、随時更新） — ipa.go.jp
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030、2026年10月8日公開、10月9日更新） — jpcert.or.jp
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日） — ppc.go.jp
- 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（2026年10月9日） — fsa.go.jp
- 警察庁「サイバー警察局便り 2026 Vol.19」（2026年10月） — npa.go.jp
- JPCERT/CC「インシデント対応依頼」 — jpcert.or.jp
- IPA「コンピュータウイルス・不正アクセスに関する届出について」 — ipa.go.jp
更新履歴
2026-10-12：初版。国家サイバー統括室・IPA・JPCERT/CC・個人情報保護委員会・金融庁・警察庁の文書を2026年10月12日に確認。IPAのページは随時更新、JPCERT/CCの注意喚起は追記されることがあるため、内容が変わった場合は本記事も更新します。
次に読む
- 組織の対策の全体像：組織のセキュリティ対策の最低限（2026年の国内事故から逆算した6つ）
- 自社サイトの点検：サイトやサーバーが不正アクセスされたか調べる方法
- 入口の更新：VPN機器が最大の侵入口になっている ／ CVSS・EPSS・KEVで優先順位を決める
- 棚卸し：セキュリティの棚卸しチェックリスト ／ クラウドストレージの公開設定
- 用語：IOC（侵害指標）とは
- 2026年の事案の一覧：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
Q国家サイバー統括室の注意喚起は、何を求めていますか？
2026年10月9日の「不正アクセスによる漏えい等の事案を踏まえた対応について」は、特に大量の個人情報や機微な情報を扱う事業者に、対策の徹底を速やかに検討するよう求めています。柱は、ウェブシステム等の適切な管理（脆弱性・アカウント・ログと監視）、委託先を含むサプライチェーンを通じた侵害への対策、データの適切な管理（棚卸し・最小化・権限・暗号化・アクセス記録）の3つです。経営層には、サイバーセキュリティ対策を経営課題と位置づけ、投資や人の体制を含めて強化するよう求めています。
QIPAの「速やかに実施すべき対策」は、何から始めればいいですか？
IPAは、まず点検として、外部に公開しているアプリケーションの洗い出しとログの確認、利用している外部サービス（クラウドやVPNなど）の洗い出しとログ・アカウントの確認、保有データの再点検を挙げています。点検で異常が見つからなくても、認証の強化、アカウント権限の見直し、ログの取得内容と保存期間の見直し、データの暗号化などの対策を検討するよう求めています。
Qログはどれくらい前までさかのぼって確認すればいいですか？
IPAは、外部公開アプリケーションのログについて、直近1か月、その後3か月というように、段階的に範囲を広げて確認するよう求めています。外部サービスのログは、サービスによって保存期間が違い、事業者と利用者で見られるログが違う場合があるとしています。ログが1か月分しか残っていないなら、3か月さかのぼれないこと自体を記録し、保存期間を延ばす対策に回してください。
Q中小企業や、個人情報をあまり扱っていない会社も対象ですか？
国家サイバー統括室の文書は、特に大量の個人情報や機微な情報を扱う事業者に向けたものです。ただしIPAは、中小企業向けに「中小企業の情報セキュリティ対策ガイドライン」や「5分でできる！情報セキュリティ自社診断」を案内しています。JPCERT/CCは、一般の利用者向けのアプリだけでなく、BIツールや従業員向けの管理システムでも被害が出ているとしており、社内向けのシステムも点検の対象です。
QJPCERT/CCが公開しているIPアドレスをブロックすれば十分ですか？
十分ではありません。JPCERT/CCは、掲載した送信元IPアドレスなどについて、調査の時点では正規の利用である可能性もあるとしています。また、注意喚起は追記されて一覧が増えています。一覧は自社のログに同じ接続元がないかを調べる手がかりとして使い、最新の一覧はJPCERT/CCのページで確認してください。ブロックだけで済ませず、ログの確認と、脆弱性の更新・認証の強化を並行して進めます。
Q不正アクセスの跡が見つかったら、どこに連絡しますか？
IPAは、異常なログやアカウントが見つかったら速やかにセキュリティインシデントと判定し、対応を進めるよう求め、詳しい調査はセキュリティの専門事業者に依頼することを強く推奨しています。個人データの漏えい（そのおそれを含む）なら個人情報保護委員会への報告が必要になる場合があります。国家サイバー統括室は、被害を受けた組織に、技術的な情報を同室や所管省庁、専門機関に速やかに共有するよう協力を求めています。JPCERT/CCのインシデント対応依頼、IPAの届出窓口、警察のサイバー犯罪相談窓口も使えます。