适用对象：在日本处理个人数据的公司或机构中负责运维系统的人员，以及他们所汇报的管理层。2026年10月，日本政府机构和国家安全机构发布了一系列关于未经授权访问的预警。本指南将这些预警转化为本周应在你自己的系统上执行的检查项目。内容依据内阁官房国家网络安全办公室、IPA（信息处理推进机构）、JPCERT/CC、个人信息保护委员会（PPC）、金融厅（FSA）和警察厅（NPA）的公开文件，这些文件均为日文。本文不涉及攻击技术。
为何此时发布这些预警
自2026年9月前后起，日本多家机构接连披露因未经授权访问导致的数据泄露事件。IPA表示，披露事件的企业范围广泛，包括金融机构和电信服务商，而且提供网上服务及账户服务、处理大量个人数据的系统已被入侵，包括个人信息在内的数据遭到窃取。
以下文件于10月7日至9日之间发布。
| 日期 | 发布机构 | 文件 | 主要内容 |
|---|---|---|---|
| 10月7日（9日增加解说视频） | 个人信息保护委员会 | 应对大规模数据泄露（警告），以及修订后的《警告：防止未经授权访问导致的个人数据泄露》 | 提前预览技术保障措施修订示例（计划于2027年4月定稿）；删除不再需要的个人数据；九类案例，包括被滥用的API |
| 10月8日（10月9日和23日更新） | JPCERT/CC | 关于日本机构近期一系列未经授权访问事件的警报（JPCERT-AT-2026-0030） | 观察到的五种攻击模式、应对措施、调查用入侵指标（IOC） |
| 10月9日 | 内阁官房国家网络安全办公室 | 应对未经授权访问导致的数据泄露 | 三大支柱：网络系统、供应链、数据管理 |
| 10月9日 | IPA | 针对未经授权访问导致的数据泄露应尽快采取的措施 | 现阶段应执行的检查及应采取的措施（视情况更新） |
| 10月9日 | 金融厅 | 当前形势下加强网络安全及审核账户申请 | 要求金融机构审查控制措施并加强身份核验 |
JPCERT/CC表示，虽然有多款产品和服务受到影响，但技术信息共享不足，已知情况也有限。上述文件均未点名具体事件。本站在9月和10月报道过的日本未经授权访问事件包括Times Car、Yamato Transport和Sagawa Express、Seicomart应用、Yakiniku King应用、大和证券的一家承包商以及Lawson ID。各公司披露的具体内容见链接文章。
本周的检查：IPA的三个方面
IPA将“应及时执行的检查”列为三个方面。以下将其拆分为具体任务。请仅在你管理的系统上执行这些检查。
列出面向互联网的应用，检查其日志：先看过去一个月，再看过去三个月
列出你开发或运营的、可从互联网访问的所有应用和服务：会员网站、移动应用调用的API、联系表单和管理后台界面。JPCERT/CC表示，BI工具和面向员工的管理系统等非面向公众的系统也曾遭受攻击，因此也应包括面向内部的系统。
针对每个应用，检查日志中的异常情况。IPA列举的例子包括大量错误以及与正常情况不同的访问模式。实际操作中，可在Web服务器访问日志中查看对管理后台或API请求的激增情况，在应用日志中查看重复出现的同一错误，并查看夜间或周末的大量数据获取行为。先检查过去一个月，再扩大到过去三个月。
IPA还要求你了解谁可以进行调查以及如何调查，因为你可能需要不止一次地进行调查。最后，检查每个应用和服务的组件（例如操作系统、中间件、库和CMS）是否有未应用的安全修复程序，并尽快予以应用。
对于API，个人信息保护委员会于10月7日修订的警告文件新增了案例9“被滥用的API”（2024年12月11日的首版包含案例1至8）。文件列出的原因包括：部分API未被纳入管理范围；修改会员ID等参数后，已登录用户可以获取其他用户的数据；响应中包含不必要的信息，且会员ID是顺序编号；以及未对请求量设置限制（速率限制）。文件给出的应对示例包括：
- 定期盘点你的API
- 对每个请求检查授权（该用户是否有权访问此数据），而不仅仅是身份验证（用户是谁）
- 响应中去除不必要的信息，并对会员ID和记录编号使用UUID等随机值
- 实施速率限制，检测并阻止短时间内的大量请求
在云服务、VPN及其他外部服务中，检查登录失败、来源地址和未知账户
列出你使用的云服务、VPN和SaaS。IPA要求将各部门自行注册的服务也纳入其中。请询问财务和销售部门，是否存在IT团队不知道的合同。
在每项服务的日志中，查看是否存在大量登录失败、不熟悉的来源IP地址以及异常时段的登录。IPA指出，不同服务的保存期限有所不同，服务提供方与客户看到的日志也可能不同。如果管理控制台只显示较短的时间段，请向服务提供方咨询。
对于账户，请检查是否存在你不认识的新建账户，以及你曾停用或删除的账户是否被重新启用。IPA表示，审查账户操作的审计日志会有所帮助。这是检查账户是否被他人访问的组织版本。
同一警告文件中的案例8是企业所使用的云服务发生的泄露。某云服务提供商的业务系统被未经授权访问，属于众多客户公司的个人数据遭到加密。PPC列出的原因之一是，客户认为使用云服务并非外包，因此不属于委托处理个人数据，从而未对其处理方式进行监督。作为应对措施，PPC建议在选择云服务之前，通过服务条款和服务安全评估相关文件，检查该云服务是否具备适当的安全措施。
盘点你持有的个人数据，删除不需要的部分
IPA指出，被窃取的数据正被用于勒索和转卖，并要求组织只持有所需数据，并准确掌握自己持有的内容。对于每个数据库和文件存储，请记录其包含的数据、记录数量、保存原因及保存期限。无法说明理由的数据都是删除的候选对象。
PPC同一时期的警告提醒企业，日本个人信息保护法第22条要求其在个人数据不再需要时，努力及时删除；PPC也发现，正是因为没有这样做，部分案例的损害进一步扩大。如果法律规定了保存期限，也请一并记录其依据和期限。
IPA还表示，公共机构和安全厂商可能会发布对调查有用的信息，例如可疑IP地址，并要求组织目前加强信息收集。
即使检查结果正常，也应继续推进
IPA建议组织即使未发现异常，也应考虑进一步的措施。对于面向互联网的应用和外部服务：审查暴露的内容，加强身份验证（如多因素认证和密码），审查账户权限，审查API集成的管理方式，并审查日志记录内容及保存时长。对于数据：重新考虑是否保留，重新考虑存储位置，审查访问记录及其保存期限，并对数据进行加密。
国家网络安全办公室的三大支柱：具体检查项
国家网络安全办公室的通知将网络系统漏洞被利用、供应链入侵以及数据管理薄弱作为背景，并为每个方面列出了关键措施。右栏将通知中的各项改写为你可以在本组织内核对的问题。
| 支柱 | 通知中的主要内容 | 需要检查什么 |
|---|---|---|
| 1. 网络系统的适当管理 | 及时应用安全补丁（包括未暴露于互联网的内部服务器）、停止使用不再受支持的产品、关闭未使用的系统和功能、定期进行漏洞评估、禁用不需要的端口和服务 | 你能否列出每台面向公众和内部的服务器及其支持终止日期和最后更新时间？ |
| 1.（账户与身份验证） | 多因素认证、禁止使用容易猜到的密码、将管理员账户减至最少、及时停用离职、调岗及未使用账户 | 你能否说出每个管理员账户的负责人？是否仍有离职人员的账户处于活动状态？ |
| 1.（应对能力） | 收集并保存日志，监控可疑流量和大量访问，检测来自外部的异常身份验证尝试，做好事件响应准备 | 当出现大量获取数据或反复登录失败时，谁会收到通知？ |
| 2. 包括承包商在内的供应链 | 检查承包商的政策、组织结构和职责划分，同时了解分包商的情况；在合同中明确访问控制、日志记录和泄露报告义务；仅向承包商提供其所需的数据；确保工作结束后删除数据 | 对于每家承包商，你能否在一页纸上列明你共享的个人数据、授予的账户以及事件联系人？ |
| 3. 适当的数据管理 | 掌握信息所在位置及管理责任人，明确用途和保存期限，定期盘点，区分读写权限，对存储数据和传输过程加密，切勿以明文存储凭证，检查云端暴露情况和访问设置，记录对个人数据的访问并监控大量获取行为 | 事后你能否查明谁在何时访问过个人数据？ |
关于供应链，通知要求组织基于“与承包商共同管理”的认识采取行动，因为攻击者有时会利用防护较弱的承包商作为立足点，再扩大到目标公司。承包商及维护账户也在组织安全基线中有所涉及。
国家网络安全办公室：需要保护什么
网络系统 / 包括承包商在内的供应链 / 数据管理
IPA：本周需要检查什么
面向互联网的应用日志 / 外部服务账户 / 你持有的数据
JPCERT/CC：正在发生什么
五种攻击模式 / 应对措施 / 调查线索（IOC，已更新）
PPC对修订后技术保障措施的预先说明
在其10月7日警告的附件中，PPC列出了日本个人信息保护法通用指南附件中“10-6 技术保障措施”的修订内容。PPC表示，此次修订计划于明年4月（2027年4月）定稿，但鉴于近期的事件，提前公布计划内容可能对参考更有帮助。
其中列出的是“方法示例”。PPC表示，这些仅为示例，并非每一项都必须落实才能避免违法。PPC还表示，具体方法应与风险相匹配，包括数据泄露时对个人造成的损害，以及所处理个人数据的性质和数量。持有大量个人数据的企业应逐条对照自身的控制措施进行比较。附件还为中小企业另外给出了示例。
| 领域 | 附件中的示例（摘要） | 需要检查什么 |
|---|---|---|
| （1）访问控制 | 将处理个人数据的系统的访问限制到最低限度（例如，仅允许事先批准的特定IP地址访问）。将拥有特权账户的员工、所使用的设备及使用时段控制在最低限度。例如通过定期审计审查访问权限。根据来源位置、时间和设备安全状态等情境评估每一次访问请求，并基于风险作出决定 | 管理后台或数据库能否从任何地方访问？你能否列出特权账户及其使用的设备？ |
| （2）识别与身份验证 | 对来自组织网络外部的访问、管理员权限访问以及访问重要个人数据的行为，使用多因素认证（包括抗钓鱼方法）。对员工以外的用户同样进行适当的识别和身份验证，例如同样采用多因素认证 | 每一次远程连接和管理员登录是否都要求多因素认证，且没有例外？会员和其他用户是否也提供该功能？ |
| （3）防止外部未经授权访问 | 防火墙、安全软件、应用补丁、防止未经批准的软件运行。仅允许来自组织已批准且符合其安全标准的设备访问个人数据 | 接触个人数据的设备是否都是公司已批准的设备？ |
| （4）防止系统使用过程中的泄露 | 将用于功能测试的个人数据控制在最低限度（例如禁止使用，或用其他数据替换部分内容）。删除云端个人数据时，采用难以恢复的方法，例如服务提供方自身的方法或加密擦除 | 测试环境中是否存在生产环境个人数据的副本？云服务终止或迁移时，是否已确定如何删除数据？ |
| （5）检测未经授权访问 | 在规定期限内保存身份验证、访问、操作和网络日志，防止其泄露、篡改和未经授权删除，并定期分析。使用IDS/IPS、EDR等工具持续监控。通过停止或隔离已被或可能已被入侵的系统并禁用账户，限制损害扩散 | 你的日志是否保存在攻击者无法删除的地方？谁有权决定隔离系统并禁用账户？ |
第（5）行中的日志保存要求也是IPA“过去一个月，再看过去三个月”检查所依赖的基础。如果本周检查显示你的日志不足，第（5）行可以作为修复相关问题的依据。
JPCERT/CC所观察到的五种模式
JPCERT/CC的警报描述了与勒索软件不同、可能导致大规模数据泄露的攻击模式，并指出其中部分模式呈增长趋势。以下仅概括到足以说明应在何处检查的程度。
| 模式 | JPCERT/CC描述概要 | 检查位置 |
|---|---|---|
| 案例A | 探测已知漏洞并尝试利用，包括利用管理不善的设备获取配置文件或备份文件 | 公网服务器的补丁级别；配置文件或备份是否位于公开文件夹中 |
| 案例B | 对应用的管理API发起未经授权的请求，导致数据被篡改。报告显示攻击者通过分析公开应用来识别API，并攻击内部API，以及滥用从其他系统窃取的API密钥 | 管理API和内部API是否要求身份验证和访问控制；API密钥的权限和有效期 |
| 案例C | 通过未经授权的API请求，利用Metabase中的SQL注入漏洞（CVE-2026-72898） | 是否运行Metabase，是否已打补丁，是否可从互联网访问 |
| 案例D（9日新增） | 在可被公共Web服务器访问的应用服务器上放置WAR文件（打包后的Java应用），其中包含充当简单Web Shell的文件（允许外部人员执行命令的恶意程序） | 应用服务器的管理功能是否可从公网访问；每个已部署的应用是否都是你自己部署的 |
| 案例E（23日新增） | 滥用AI驱动渗透测试平台的攻击尝试；平台名称列于JPCERT/CC警报中。主要针对暴露于互联网的Web应用，探测并尝试利用各种漏洞，此外还观察到利用管理不善设备（如获取配置文件或备份文件）的攻击。包括针对暴露于互联网的WSUS服务器（在组织内部分发Windows更新的服务器）的尝试 | 公网Web应用的补丁级别及公开文件夹中的内容；WSUS服务器是否可从互联网访问 |
案例C的相关内容见Metabase漏洞导致的入侵事件和CVE-2026-72898解读。关于配置文件和备份放置不当的问题，请参阅你是否在公开目录中留下了机密文件？
10月15日，JPCERT/CC发布了对可能被用于攻击的服务器的检查结果。报告称，攻击者使用AI扫描已知漏洞，并通过API实施攻击；还发现有迹象表明，攻击者分析了Android应用的分发文件以识别API，并探测这些API中的缺陷（如SSRF）。这与案例B中“通过分析公开应用来识别API”相吻合。JPCERT/CC指出，即使是编译后的代码（例如Flutter应用），应用中嵌入的机密信息和API身份验证逻辑也可能被提取，并建议采取以下措施。
- 不要在应用中嵌入用于API身份验证的私钥或长期有效的凭证
- 不要仅依赖应用内签名或代码混淆；应在服务器端对用户进行身份验证，并根据操作的目标和内容进行授权
- 实施速率限制并监控异常请求，同时假定存在来自官方应用以外客户端的访问
- 对于会获取外部URL的API，限制可访问的目标，并检查重定向的去向
对于通过API的访问，JPCERT/CC建议：对登录、密码重置、短信发送和搜索等功能分别设置速率限制；对包括非公开API在内的所有API实施访问控制；为API用户和令牌设置最小权限及合理的有效期；并能够快速撤销不需要的或可能已泄露的令牌。其一般性措施还包括：限制仅在特定地区使用的服务的来源地区；更新受已知漏洞影响的版本；在Web服务器被入侵时审查如何限制横向移动；检查检测能力和初始响应；将不需要的管理功能从互联网上移除；删除超过保存期限或用途的数据；以及提前做好准备，以便在发生泄露时警告客户防范后续损害。
日本安全公司的发现（10月7日至19日）
日本安全公司也公布了其处理案例及检查攻击者服务器的发现。一家公司分析了日本机构自2026年7月以来（截至10月6日）披露的81起Web系统泄露事件，发现其中65起（80.2%）因通知说明不足而无法归类到具体原因。该公司在其处理的案例中观察到的手法包括：API返回超出所需的数据、服务器端缺少授权检查、匿名用户可访问仅限会员使用的功能，以及从智能手机应用中提取API密钥。
另一家公司描述了攻击者在即将达到WAF拦截阈值之前切换到另一IP地址的情况，共使用了数百个IP地址。该公司还表示，未列入CVE的版本以及已超过支持期限的版本，也可能受到同一漏洞影响。10月19日，该公司表示已确认攻击者服务器上正在使用AI驱动的自主渗透测试系统。10月23日，JPCERT/CC在其警报中新增了滥用AI驱动渗透测试平台的攻击尝试，作为案例E。
请在上述检查之外，再增加以下三项检查。
- 确认管理后台及其他管理功能确实被纳入了漏洞评估范围（未对公众开放的功能常被遗漏）
- 不要仅依赖按IP的请求限制或WAF，也不要因为部署了WAF而推迟打补丁
- 减少不再需要的个人数据，包括存储在自由文本备注字段中的意外信息，并撤销已终止服务的API密钥
关于入侵指标（IP地址、User-Agent），请以JPCERT/CC的最新页面为准
JPCERT/CC的警报列出了可疑的来源IP地址以及攻击中观察到的User-Agent示例。该列表于10月9日和23日进行了扩充，并可能再次变化，因此本站不复制其内容。请在JPCERT/CC警报（JPCERT-AT-2026-0030，日文）中查看最新列表。
JPCERT/CC建议组织检查这些列出的IP地址是否访问过自己的系统，以确定是否已遭受攻击。应将该列表用作搜索历史日志的线索，而非直接用作屏蔽名单。10月23日新增至案例B的内容包括：
- 一个新的来源IP地址，附有观察到攻击或估计攻击基础设施处于活跃状态的日期（JST）。JPCERT/CC指出，攻击也可能在这些日期之外尝试过。案例E另有单独列出的IP地址
- 作为User-Agent示例，与官方应用相同的User-Agent。这意味着仅凭User-Agent无法区分攻击流量与正版应用流量
- TLS指纹示例。JPCERT/CC写明，所列JA4值与常见的Python HTTP客户端相同，因此不能单独识别攻击者，应与其他线索结合使用
- 除所列地址外，还观察到通过Tor出口节点和住宅代理（即通过家庭网络路由流量的中继服务）进行的访问
JPCERT/CC表示，这些地址在调查时可能属于正常使用，因此仅凭匹配并不能证明已遭入侵。请在你的日志中核实该来源的实际行为。
如果你发现异常：请按以下顺序操作
IPA建议组织在发现异常日志或账户时尽快宣布安全事件。如果坐等观望，日志可能在有人查看之前就已过期。
宣布安全事件
当天将异常情况上报给负责人，并决定将其作为事件处理。宣布事件之后可以撤回；但启动得晚了，就无法提前。
保存日志和证据
日志会在保存期限结束后消失。在删除或覆盖任何内容之前，请将服务器日志、可从外部服务控制台导出的日志以及账户审计日志复制到单独的位置。在重建服务器之前，请咨询专业人员是否需要保存磁盘镜像。具体步骤请参见如何检查你的网站或服务器是否被入侵中的“发现问题后首先应做什么”。
聘请专业安全公司
鉴于可能存在数据泄露，IPA强烈建议聘请专业安全公司进行详细调查。JPCERT/CC接受事件响应请求。不要自行判断攻击者的入侵程度或窃取了哪些内容。
2026年10月16日，IPA为已经或可能受到影响的企业和机构开设了未经授权访问特别咨询窗口。该窗口可就你是否可能遭受损害以及应急措施提供建议，介绍处理事件响应的公司名单，并指引你前往其他咨询或报告的渠道（电话03-6759-5760，工作日9:30–17:30，12:00–13:00休息，日语服务；也接受电子邮件咨询）。如果你不知道该联系哪家公司，可以从这里开始。
向PPC报告并共享信息
如果个人数据已经或可能已经泄露，可能需要向PPC报告并通知受影响的个人。报告期限和报告渠道已在如何检查你的网站或服务器是否被入侵中作了概述。国家网络安全办公室要求受影响的组织尽快与其、相关主管部门及专业机构共享技术信息，以防止进一步的损害。IPA的报告窗口和警方的网络犯罪服务窗口也可以联系。
向管理层汇报的要点
国家网络安全办公室的通知指出，网络攻击造成的损害已不再只是IT部门的问题，因为泄露可能导致业务中断、客户处理及其他管理风险。通知要求管理层将网络安全视为经营问题并予以加强，包括必要的投入和人员配备。IPA同样要求将紧急审查措施作为管理责任的一部分来对待。
向上级汇报时，建议围绕以下四点，以便管理层作出决定。
- 本周的结果：针对三个方面，分别说明是发现了异常、未发现异常，还是无法检查
- 无法检查的部分：没有日志的时段，以及无法确认的外部服务或承包商
- 需要决策的事项：延长日志保存期限的成本、与专业公司的长期合作安排、对承包商的要求
- 客户应对准备：泄露时使用的通知文本和联系窗口（JPCERT/CC建议提前准备防范后续损害的警告）
部分行业也收到了监管机构的要求。金融厅要求金融机构审查其控制措施，包括第三方风险管理和事件响应，并对发现的任何不足及时采取行动。金融厅还要求其在线身份验证中检查身份证件图像和人脸图像是否存在不自然之处，并在2027年4月1日之前提前转向读取IC芯片，届时提交身份证件图像将不再被接受。
本站的观点：“日志不存在”本身就是一个结果，而不是检查失败
IPA的检查假定你可以回溯一个月，再回溯三个月。实际上，团队常常发现日志被设置为30天后过期，或者某外部服务的控制台只显示两周的记录。
在这种情况下，不要报告“未发现异常”。准确的报告应为“过去一个月未发现异常；更早的时段无法检查”。记录下哪些时段和系统无法检查，可以直接指明下一步的改进方向：延长保存期限、将日志转存到其他位置、向服务提供方咨询。本周的检查既是在寻找异常，也是在了解你能够回溯多远。
面向员工和客户的提示
日本警察厅（NPA）针对持续发生的泄露事件，要求企业保持联网设备更新并使用强密码；同时要求个人不要随意点击电子邮件中的链接（这些邮件可能是冒充泄露数据公司的假邮件），不要重复使用密码，并使用多因素认证。事件发生后，冒用贵组织名义的虚假信息可能会增加。请告知员工和客户，任何联系都应通过贵组织的官方网站进行核实。有关如何识别这类信息，请参阅什么是网络钓鱼？
参考资料（官方，日文）
- 内阁官房国家网络安全办公室：应对未经授权访问导致的数据泄露（2026年10月9日）— cyber.go.jp
- IPA：针对未经授权访问导致的数据泄露应尽快采取的措施（2026年10月9日，视情况更新）— ipa.go.jp
- IPA：未经授权访问特别咨询窗口开设通知（2026年10月16日，日文）— ipa.go.jp
- IPA：应对未经授权访问专题页面（2026年10月16日，日文）— ipa.go.jp
- JPCERT/CC：关于日本机构近期一系列未经授权访问事件的警报（JPCERT-AT-2026-0030，2026年10月8日发布，10月23日更新）— jpcert.or.jp
- JPCERT/CC：对一系列未经授权访问案例所用攻击技术的调查（JPCERT/CC Eyes，2026年10月15日，日文）— blogs.jpcert.or.jp
- 个人信息保护委员会：应对大规模数据泄露（警告）（2026年10月7日；10月9日增加解说视频）— 通知页面 / 警告及附件（PDF） / 新闻稿（PDF）
- 个人信息保护委员会：警告：防止未经授权访问导致的个人数据泄露（2024年12月11日，2026年10月7日修订）— ppc.go.jp
- 金融厅：当前形势下加强网络安全及审核账户申请（2026年10月9日）— fsa.go.jp
- 警察厅：Cyber Police Agency Letter 2026 Vol.19（2026年10月）— npa.go.jp
- JPCERT/CC：事件响应请求— jpcert.or.jp
- IPA：计算机病毒及未经授权访问的举报— ipa.go.jp
日本安全公司的分析（非官方文件，日文）：
- Macnica Security Research Center：关于一系列Web系统数据泄露事件（2026年10月7日，10月8日补充）— security.macnica.co.jp
- GMO Cybersecurity by IERAE：应对一系列未经授权访问事件需准备的三点（2026年10月15日）— gmo-cybersecurity.com
- GMO Cybersecurity by IERAE：已确认近期多起未经授权访问的来源与AI有关（2026年10月19日，10月21日更新）— gmo-cybersecurity.com
更新记录
2026-10-24：反映了JPCERT/CC于10月23日更新的警报。攻击模式由四种增至五种（案例E：滥用AI驱动渗透测试平台的攻击尝试，包括针对暴露于互联网的WSUS服务器的尝试）。补充了案例B的新线索（与官方应用相同的User-Agent、仅凭JA4无法识别攻击者、通过Tor和住宅代理的访问，以及利用IP地址搜索历史访问记录）。新增了AI驱动攻击概述及防御顺序的链接。
2026-10-23：补充了两家日本安全公司的分析（10月7日、15日和19日）：自7月以来披露的泄露事件中有80%无法根据通知归类到具体原因；低于WAF阈值的攻击；使用AI驱动的自主渗透测试系统；以及三项检查（评估范围、不依赖WAF、减少不需要的数据和API密钥）。
2026-10-22：补充了JPCERT/CC对攻击者服务器的检查（10月15日发布）：通过分析应用识别API，以及四项应对措施。按照JPCERT/CC的做法，将Flutter列为编译型应用的示例。
2026-10-19：新增IPA未经授权访问特别咨询窗口（10月16日开设）及其专题页面。确认截至10月19日，IPA于10月9日发布的警报尚未更新。
2026-10-14：核对了PPC警告的正文，并以表格形式概括了其关于“10-6 技术保障措施”修订示例的附件（计划于2027年4月定稿）。将修订版WARNING中案例9（被滥用的API）的应对措施加入面向互联网应用的检查项，将案例8（你所使用的云服务发生的泄露）加入外部服务的检查项。更新了文件清单和参考资料。
2026-10-12：首次发布。已于2026年10月12日核对国家网络安全办公室、IPA、JPCERT/CC、PPC、金融厅和警察厅的文件。IPA页面视情况更新，JPCERT/CC警报可能会有补充；如有变化，本文将随之更新。
延伸阅读
- AI驱动攻击的全貌及防御顺序：防御AI驱动的网络攻击（自主入侵、提示注入、AI供应链）
- 面向组织的整体视角：组织安全基线（来自日本2026年事件的六个优先事项）
- 检查你自己的网站：如何检查你的网站或服务器是否被入侵
- 入口点：VPN设备是最大的入侵途径 / 使用CVSS、EPSS和KEV确定优先级
- 盘点：安全盘点清单 / 云存储公开暴露
- 术语：什么是IOC？
- 2026年全部事件：2026年的数据泄露与网络攻击