2026年の国内大型情報漏えい4件（KDDI・アフラック・デジタル庁・さくら）：侵入口は違っても、共通する再発防止策は検知の強化

アフラックが挙げた原因のひとつは「短時間に大量のデータ照会があった場合に監視・制御する機能が不足していた」ことでした。顧客情報を返すAPIや画面に、1回あたり・1時間あたりに返せる件数の上限と、上限に近づいたら人に知らせる通知を付けます。正しいログインで入られた場合でも、数万件を短時間で持ち出す動きは、人の使い方と形が違います。何を・誰単位で・いくつまで数えるかの設計は レート制限と濫用対策 で詳しく扱っています。

測る場所は3層あります。

アプリ側：検索・一覧・エクスポートの処理で、アカウント単位に件数を数える（誰が何件見たかが分かるのはここだけです）。
前段：nginx の limit_req や CDN のレート制限ルールで、エンドポイント単位に秒・分あたりの上限を置く。
プラットフォーム：Google Workspace のアラートセンター、Microsoft 365 の監査ログとアラートポリシーに、大量ダウンロードやエクスポートを通知する条件がある（使える範囲は契約プランによります）。

最初の一歩は、いちばん多くの件数を返すエンドポイント1本に「1アカウントあたり1時間の上限」と「8割に達したら届く通知」を付けることです。全体設計を待つより、1本でも通知が届く状態のほうが先に効きます。

アフラックの再発防止策の1つ目は「アクセス時における認証およびデータ照会時の認可」の強化です。ログインできたかどうか（認証）と、そのデータを見てよいかどうか（認可）は別の問題で、後者を1件ごとに確かめていないと、正しくログインした人が他人のデータまで照会できてしまいます。この違いは 認証と認可の違い、典型的な欠陥は IDOR で解説しています。

さくらインターネットの事案では、販売管理システムへの不正アクセスが約3年前から始まっていました。気づいたときに、その期間のログが残っていなければ、何が起きたかも、何が起きなかったかも言えません。同社も再発防止策にログの取得範囲と保管期間の見直しを挙げています。容量の都合で数週間分しか残していないなら、少なくとも認証とデータ照会のログだけは長く残す、という切り分けが現実的です。

期間の目安：決済カード業界の基準（PCI DSS）は12か月の保管と、直近3か月を即座に参照できる状態を求めています。決済を扱わない組織でも、この数字は出発点として使えます。

残す種類は最低3つです。認証（成功と失敗の両方）・データの照会とエクスポート・管理操作。Webサーバーのアクセスログだけでは、誰が何件持ち出したかを後から言えません。

KDDIの件で悪用されたのは、確認時点でベンダー自身も認識していなかった脆弱性でした。当時は適用できる修正が存在しません。更新を完璧に回していても防げない侵入口がある以上、サーバー上の不審な動き・外部への通信に気づく仕組み（KDDIが全サーバーに導入した EDR はその一例）が残る防御策になります。

検知が大事だという話は、侵入を防ぐ対策を軽くしてよいという意味ではありません。デジタル庁の事案はVPN機器の脆弱性が侵入口でした。既知の脆弱性を放置しない運用は、今もいちばん費用対効果が高い守りです。VPN機器については VPN機器はランサムウェアの主な侵入口、優先順位の付け方は CVSS・EPSS・KEVで優先順位を決める を参照してください。