適用對象：在日本處理個人資料之企業或機構的系統負責人，以及其向上呈報的管理階層。2026年10月，日本政府機關與國家安全相關機構陸續發布多項未經授權存取警告。本指南將這些警告轉化為你本週可在自家系統上執行的檢查。內容依據內閣官房國家網路安全辦公室、IPA（資訊處理推進機構）、JPCERT/CC、個人資訊保護委員會（PPC）、金融廳（FSA）與警察廳（NPA）的公開文件，這些文件皆為日文。本文不涵蓋攻擊技術。
為何此時發布這些警告
自2026年9月前後起，日本各機構陸續揭露因未經授權存取而發生的資料外洩事件。IPA表示，揭露事件來自各行各業，包括金融機構與電信業者，而處理大量個人資料之線上及帳號服務的系統遭到入侵，個人資訊等資料已被竊取。
以下文件發布於10月7日至9日之間。
| 日期 | 發布單位 | 文件 | 主要內容 |
|---|---|---|---|
| 10月7日（9日新增說明影片） | 個人資訊保護委員會 | 因應大規模資料外洩（警告），以及修訂版〈警告：防止因未經授權存取所致之個人資料外洩〉 | 修訂後技術安全措施範例的初步內容（預定於2027年4月定案）；刪除不再需要的個人資料；九種案例類型，包括API遭濫用 |
| 10月8日（10月9日與23日更新） | JPCERT/CC | 日本機構近期一系列未經授權存取事件之通報（JPCERT-AT-2026-0030） | 所見的五種攻擊模式、對策、調查用指標（IOC） |
| 10月9日 | 內閣官房國家網路安全辦公室 | 因未經授權存取所致資料外洩之因應 | 三大支柱：網路系統、供應鏈、資料管理 |
| 10月9日 | IPA | 因未經授權存取所致資料外洩應迅速採取之措施 | 現在應執行的檢查與應採取的措施（視需要更新） |
| 10月9日 | 金融廳 | 因應當前情勢加強網路安全與處理帳戶申請 | 要求金融機構檢視控制措施並加強身分驗證 |
JPCERT/CC表示，雖然多項產品與服務受到影響，但技術資訊的分享仍不足，已知資訊有限。這些文件均未點名個別事件。本站於9月與10月報導過的日本未經授權存取事件包括Times Car、Yamato Transport與Sagawa Express、Seicomart應用程式、Yakiniku King應用程式、大和證券的承包商與Lawson ID。各公司揭露的內容請見連結文章。
本週檢查：IPA的三個領域
IPA在「應迅速執行的檢查」下列出三個領域。以下將其拆解為具體任務。請只在你管理的系統上執行所有檢查。
列出對外應用程式並檢視日誌，先看過去一個月，再看三個月
列出你所建置或營運、可從網際網路連線的所有應用程式與服務：會員網站、行動應用程式呼叫的API、聯絡表單與管理畫面。JPCERT/CC表示，不對一般大眾開放的系統，例如BI工具與供員工使用的管理系統，也曾遭到攻擊，因此也應納入對內的系統。
對每個應用程式，檢查日誌是否有異常。IPA的例子包括大量錯誤，以及與平常不同的行為模式。實務上，可注意網頁伺服器存取日誌中對管理畫面或API的請求暴增、應用程式日誌中同一錯誤反覆出現，以及夜間或週末出現大量資料擷取。先看過去一個月，再擴大到三個月。
IPA也要求你了解誰能調查、如何調查，因為你可能需要多次調查。最後，檢查每個應用程式與服務的組成元件（例如作業系統、中介軟體、函式庫與CMS）是否有未套用的安全修補程式，並盡快套用。
對於API，個人資訊保護委員會於10月7日修訂的警告文件新增了案例9〈API遭濫用〉（2024年12月11日的初版為案例1至8）。文件列出的成因包括：部分API未被納入管理；變更會員ID等參數，可讓已登入的使用者取得其他使用者的資料；回應中含有不必要的資訊，且會員ID為連續編號；以及未限制請求量（速率限制）。其列出的範例對策包括：
- 定期盤點你的API
- 對每個請求檢查授權（此使用者是否有權存取此資料），而不只是驗證（使用者是誰）
- 回應中不含不必要的資訊，會員ID與紀錄編號改用UUID等隨機值
- 實施速率限制，偵測並阻擋短時間內的大量請求
在雲端、VPN及其他外部服務中，檢查登入失敗、來源位址與不明帳號
列出你使用的雲端服務、VPN與SaaS。IPA要求也納入各部門自行註冊的服務。請向財務與業務部門詢問，是否有IT團隊不知道的合約。
在各服務的日誌中，尋找大量登入失敗、不熟悉的來源IP位址，以及異常時段的登入。IPA指出，不同服務的保存期限不同，服務提供者與客戶看到的日誌也可能不同。若管理主控台只顯示短期間的紀錄，請向服務提供者詢問。
對於帳號，請檢查是否有你不認識的新建帳號，以及你已停用或刪除的帳號是否被重新啟用。IPA表示，檢視帳號操作的稽核日誌很有幫助。這是檢查是否有人存取你的帳號的組織版本。
同一份警告中的案例8，是企業所使用之雲端服務的外洩事件：雲端業者的業務系統遭未經授權存取，屬於許多客戶公司的個人資料遭加密。個人資訊保護委員會列出的成因之一，是客戶認為使用雲端服務（非委外安排）不算是委託處理個人資料，因此未監督其處理方式。作為對策，個人資訊保護委員會建議在選擇雲端服務前，透過服務條款與其資安評估文件，確認該服務是否具備適當的安全措施。
盤點你持有的個人資料，刪除不需要的資料
IPA指出，遭竊取的資料正被用於勒索與轉售，並要求機構只持有所需資料，並確切掌握自己持有的內容。對每個資料庫與檔案儲存位置，記下其包含的資料、筆數、用途與保存期限。無法說明理由的資料，都是刪除的候選對象。
個人資訊保護委員會同一週發布的警告提醒企業，日本個人資訊保護法第22條要求企業在個人資料不再需要時，應努力不延遲地刪除，並指出已見到因未做到這點而使情況惡化的案例。若法令訂有保存期限，也請一併記下其依據與期間。
IPA也表示，公部門與資安廠商可能會公布有助於調查的資訊，例如可疑IP位址，並要求機構目前加強資訊蒐集。
即使檢查結果正常，仍應持續進行
IPA要求機構即使未發現異常，也應考慮進一步措施。對於對外應用程式與外部服務：檢視哪些內容暴露在外、加強驗證（例如多因素驗證與密碼）、檢視帳號權限、檢視API整合的管理方式，以及檢視記錄哪些內容與保存多久。對於資料：重新考慮是否保留、重新考慮儲存位置、檢視存取紀錄及其保存期間，並加以加密。
國家網路安全辦公室的三大支柱，轉化為具體檢查
國家網路安全辦公室的通知將網路系統漏洞遭利用、透過供應鏈的入侵，以及資料管理薄弱列為背景，並為每項提出關鍵措施。右欄將通知的項目改寫為你可在自身機構中檢查的問題。
| 支柱 | 通知中的主要項目 | 應檢查什麼 |
|---|---|---|
| 1. 妥善管理網路系統 | 迅速套用安全修補程式（包括未對網際網路開放的內部伺服器）、停止使用已不再支援的產品、關閉未使用的系統與功能、定期進行漏洞評估、停用不需要的連接埠與服務 | 你能否列出每台對外與對內伺服器，並註明其支援終止日與最後更新時間？ |
| 1.（帳號與驗證） | 多因素驗證、禁止容易猜測的密碼、將管理者帳號減至最少、迅速停用離職、調任及未使用帳號 | 你能否說出每個管理者帳號的負責人？是否仍有離職人員的帳號處於啟用狀態？ |
| 1.（復原能力） | 蒐集並保存日誌、監控可疑流量與大量存取、偵測來自外部的異常驗證嘗試、準備事件應變 | 出現大量擷取或反覆登入失敗時，誰會收到通知？ |
| 2. 包括承包商在內的供應鏈 | 檢查承包商的政策、組織架構與責任劃分，也要了解其分包商的狀況；將存取控制、日誌紀錄與洩漏通報義務納入契約；只提供承包商所需的資料；確保工作結束後刪除資料 | 對每個承包商，你能否將所分享的個人資料、授予的帳號與事件聯絡人，整理在一頁之內？ |
| 3. 妥善的資料管理 | 掌握資訊所在位置與管理者、定義用途與保存期間、定期盤點、區分讀取與寫入權限、加密儲存的資料與傳輸中的資料、絕不以明文儲存憑證、檢查雲端暴露與存取設定、記錄對個人資料的存取並監控大量擷取 | 事後你能否查出誰在何時存取了個人資料？ |
關於供應鏈，通知要求機構基於「與承包商共同管理」的認知採取行動，因為攻擊者有時會以防護較弱的承包商作為立足點，再擴大至目標企業。承包商與維運帳號也涵蓋於機構資安基準中。
國家網路安全辦公室：要保護什麼
網路系統／包括承包商在內的供應鏈／資料管理
IPA：本週要檢查什麼
對外應用程式日誌／外部服務帳號／你持有的資料
JPCERT/CC：正在發生什麼
五種攻擊模式／對策／調查線索（IOC，持續更新）
個人資訊保護委員會對修訂技術安全措施的初步說明
在其10月7日警告的附件中，個人資訊保護委員會列出了日本個人資訊保護法一般指引附件「10-6 技術安全措施」的修訂內容。該委員會表示，修訂預定於明年4月（2027年4月）定案，但鑑於近期情勢，提前公布規劃內容可能更有參考價值。
其所列內容為「方法範例」。個人資訊保護委員會表示，這些確實只是範例，並非每一項都必須實施才能避免違法。也表示具體方法應與風險相符，包括資料外洩時對個人造成的損害，以及所處理個人資料的性質與數量。持有大量個人資料的企業，應逐條比對自身的控制措施。附件也為中小企業另列範例。
| 領域 | 附件中的範例（摘要） | 應檢查什麼 |
|---|---|---|
| (1) 存取控制 | 將可處理個人資料之系統的存取減至最少（例如只允許預先核准的特定IP位址）。將擁有特權帳號的人員、所使用的裝置與時間減至最少。定期稽核等方式檢視存取權限。依來源位置、時間與裝置安全狀態等情境評估每一次存取要求，並依風險作出決定 | 管理畫面或資料庫是否可從任何地方連線？你能否列出特權帳號及其使用的裝置？ |
| (2) 識別與驗證 | 對來自組織網路外部的存取、具管理者權限的存取，以及存取重要個人資料的情況，使用多因素驗證（包括抗網路釣魚的方法）。對員工以外的使用者，同樣應妥善識別與驗證，例如同樣採用多因素驗證 | 每個遠端連線與管理者登入是否都需要多因素驗證，且無例外？是否也提供給會員與其他使用者？ |
| (3) 防止外部未經授權存取 | 防火牆、資安軟體、套用修補程式、防止未經核准的軟體。只允許來自組織已核准且符合其安全標準之裝置的個人資料存取 | 接觸個人資料的裝置是否都是公司已核准的？ |
| (4) 防止系統使用中的外洩 | 將用於功能檢查的測試資料中的個人資料減至最少（例如禁止使用，或以其他資料替換部分內容）。刪除雲端中的個人資料時，採用難以復原的方法，例如服務提供者自有的方法或加密清除（crypto-erase） | 測試環境中是否存有正式環境個人資料的副本？雲端服務取消或遷移時，是否已決定如何刪除資料？ |
| (5) 偵測未經授權存取 | 將驗證、存取、操作與網路日誌保存一定期間，保護其免於外洩、竄改與未經授權刪除，並定期分析。以IDS/IPS、EDR等持續監控。對已遭入侵或可能遭入侵的系統，透過停止或隔離系統並停用帳號，限制損害擴散 | 你是否將日誌保存在攻擊者無法刪除的地方？誰有權決定隔離系統與停用帳號？ |
第(5)列中的日誌保存，也是IPA「先看過去一個月，再看三個月」之檢查所依賴的基礎。若本週檢查顯示你的日誌不足，第(5)列即可作為修正的依據。
JPCERT/CC所見的五種模式
JPCERT/CC的通報描述了與勒索軟體分開、可導致大規模資料外洩的攻擊模式，且特別有增加的跡象。此處的摘要只為說明應在何處檢查。
| 模式 | JPCERT/CC描述摘要 | 檢查位置 |
|---|---|---|
| 案例A | 探測已知漏洞並嘗試利用，包括利用管理不當的設備取得設定檔或備份檔 | 對外伺服器的修補程度；設定檔或備份是否存放在公開資料夾中 |
| 案例B | 對應用程式管理API發出未經授權的請求，導致資料遭竄改。通報包括透過分析公開應用程式來識別API、攻擊內部API，以及濫用從其他系統竊取的API金鑰 | 管理與內部API是否需要驗證與存取控制；API金鑰的權限與到期設定 |
| 案例C | 透過未經授權的API請求，利用Metabase的SQL注入漏洞（CVE-2026-72898） | 是否執行Metabase、是否已修補、是否可從網際網路連線 |
| 案例D（10月9日新增） | 在可從公開網頁伺服器存取的應用程式伺服器上放置WAR檔（打包的Java應用程式），其中一個檔案充當簡易網頁後門（讓外部人員執行指令的惡意程式） | 應用程式伺服器的管理功能是否可從公開端存取；每個已部署的應用程式是否都是你自己部署的 |
| 案例E（10月23日新增） | 濫用AI驅動滲透測試平台的攻擊嘗試；平台名稱列於JPCERT/CC通報中。主要針對暴露於網際網路的網頁應用程式，探測並嘗試利用各種漏洞，也見到利用管理不當設備（例如取得設定檔或備份檔）的攻擊。包括針對暴露於網際網路之WSUS伺服器（在組織內散布Windows更新的伺服器）的嘗試 | 公開網頁應用程式的修補程度與公開資料夾中的內容；WSUS伺服器是否可從網際網路連線 |
案例C見於Metabase漏洞遭入侵事件與CVE-2026-72898說明。關於設定檔與備份放在錯誤位置的問題，請見你是否把機密檔案留在公開目錄中？
10月15日，JPCERT/CC公布了對可能被用於攻擊之伺服器的檢查結果。其表示，攻擊者使用AI掃描已知漏洞，並透過API進行攻擊；並且見到攻擊者分析Android應用程式發布檔以識別API，並探測這些API是否存在SSRF等缺陷的痕跡。這與案例B「透過分析公開應用程式來識別API」相符。JPCERT/CC指出，即使是編譯後的程式碼（例如Flutter應用程式），應用程式內嵌的機密與API驗證邏輯仍可能被擷取，並建議如下。
- 不要在應用程式中內嵌用於API驗證的私鑰或長效憑證
- 不要僅依賴應用程式內的簽章或混淆；應在伺服器上驗證使用者，並依操作的目標與內容授權每項操作
- 套用速率限制並監控異常請求，並假設存取可能來自官方應用程式以外的用戶端
- 對會抓取外部URL的API，限制可前往的目的地，並檢查重新導向的去向
對於透過API的存取，JPCERT/CC建議針對登入、密碼重設、簡訊發送與搜尋等功能分別設置速率限制；包括非公開API在內的存取控制；對API使用者與權杖設定最小權限與適當的到期時間；以及能迅速撤銷不需要或可能已外洩之權杖的能力。其一般性措施還包括：對僅限特定地區使用的服務限制來源地區、更新受已知漏洞影響的版本、檢視在網頁伺服器遭入侵時如何限制橫向移動、檢查偵測與初步應變、將不必要的管理功能從網際網路移除、刪除超過保存期限或用途的資料，以及事先準備在外洩發生時提醒客戶防範後續損害。
日本資安公司的發現（10月7日至19日）
日本資安公司也根據其處理的案例與對攻擊者伺服器的檢查，發布了研究結果。一家公司檢視了日本機構自2026年7月起（截至10月6日）揭露的81起網路系統外洩事件，發現其中65件（80.2%）因通報說明不足而無法依成因分類。其在所處理案例中見到的手法包括：API回傳超過所需的資料、伺服器端缺少授權檢查、匿名使用者可觸及的會員限定功能，以及從智慧型手機應用程式中擷取的API金鑰。
另一家公司描述攻擊者會在接近WAF封鎖門檻前切換至另一個IP位址，總計使用數百個IP位址。其也表示，未列於CVE中的版本，以及已超過支援終止日的版本，都可能受到同一漏洞影響。10月19日，該公司表示已確認攻擊者伺服器上使用了AI驅動的自主滲透測試系統。10月23日，JPCERT/CC也將濫用AI驅動滲透測試平台的攻擊嘗試新增為其通報中的案例E。
請將以下三項檢查加入上述檢查中。
- 確認管理畫面與其他管理功能確實被納入你的漏洞評估範圍（未對外開放的功能常被遺漏）
- 不要只依賴每個IP的請求限制或WAF，也不要因為已部署WAF而延後修補
- 減少你不再需要的個人資料，包括自由文字備註欄位中意外保存的資訊，並撤銷已終止服務的API金鑰
關於指標（IP位址、User-Agent），請以JPCERT/CC的最新頁面為準
JPCERT/CC的通報列出了可疑來源IP位址與攻擊中所見的User-Agent範例。該清單已於10月9日與23日擴充，且未來可能再次變動，因此本站不複製該清單。請在JPCERT/CC通報（JPCERT-AT-2026-0030，日文）中查看最新清單。
JPCERT/CC要求機構檢查所列IP位址是否曾存取過自己的系統，以確認是否已遭攻擊。請將清單作為搜尋過去日誌的線索，而非封鎖清單。10月23日新增至案例B的內容如下：
- 一個新的來源IP位址，附上攻擊被觀察到的日期，或攻擊基礎設施被估計為活躍的日期（JST）。JPCERT/CC指出，攻擊也可能在這些日期之外發生。案例E另有獨立的IP位址清單
- 作為User-Agent範例，與公開應用程式相同的User-Agent。這表示僅憑User-Agent無法區分攻擊流量與正版應用程式
- TLS指紋範例。JPCERT/CC表示，所列的JA4值與常見的Python HTTP用戶端相同，因此不能單獨識別攻擊者，應與其他線索合併判斷
- 除所列位址外，也見到透過Tor出口節點與住宅代理（即透過家用網路路由流量的中繼服務）的存取
JPCERT/CC表示，這些在調查時可能是合法使用，因此單純相符並不能證明已遭入侵。請在你的日誌中查看該來源實際做了什麼。
若發現異常：依此順序處理
IPA要求機構在發現異常日誌或帳號時迅速宣告資安事件。若等待觀察，日誌可能在有人檢視前就已過期。
宣告資安事件
當天即將異常情況呈報負責人，並決定以事件處理。宣告日後可以撤回；延遲的開始則無法提前。
保存日誌與證據
日誌會在保存期限結束時消失。在刪除或覆寫任何內容之前，請將伺服器日誌、可從外部服務管理主控台匯出的日誌，以及帳號稽核日誌複製到另一個位置。在重建伺服器前，請向專業人員確認是否要保存磁碟映像。步驟順序請見如何檢查你的網站或伺服器是否遭駭中的「發現問題時應先做什麼」。
委託專業公司
鑑於可能有資料外洩，IPA強烈建議委託專業資安公司進行詳細調查。JPCERT/CC接受事件應變請求。不要自行判斷攻擊者取得了多少、或拿走了什麼。
2026年10月16日，IPA為已遭或可能已遭受影響的企業與機構，設立了未經授權存取特別諮詢窗口。該窗口可協助評估是否可能已受到損害並提供初步處置建議，並轉介至處理事件應變的業者名單，且指引其他諮詢或通報管道（電話03-6759-5760，週一至週五9:30–17:30，12:00–13:00除外，僅日文服務；亦接受電子郵件）。若你不知道該打給哪家公司，可以從這裡開始。
向個人資訊保護委員會通報並分享資訊
若個人資料已外洩或可能已外洩，可能需要向個人資訊保護委員會通報，並通知當事人。期限與通報管道已整理於如何檢查你的網站或伺服器是否遭駭中。國家網路安全辦公室要求受影響機構迅速與其、相關省廳及專業機構分享技術資訊，以防止損害擴大。IPA的通報窗口與警方網路犯罪窗口同樣可以使用。
向管理階層報告的重點
國家網路安全辦公室的通知指出，網路攻擊造成的損害已不再只是資訊部門的問題，因為資料外洩可能導致營運中斷、客戶處理及其他經營風險。通知要求管理階層將網路安全視為經營議題並加以強化，包括必要的投資與人力配置。IPA同樣要求以管理責任的角度緊急檢視措施。
向上呈報時，請將內容控制在四點，以便管理階層做決定。
- 本週結果：針對三個領域，分別註明是發現異常、未發現異常，或無法檢查
- 無法檢查的部分：沒有日誌的期間、你無法掌握的外部服務或承包商
- 需要的決定：延長日誌保存的成本、與專業公司的常態合作安排、對承包商的要求
- 客戶應對準備：外洩事件的通知文字與聯絡窗口（JPCERT/CC建議事先準備防範後續損害的警示）
部分產業也收到了主管機關的要求。金融廳要求金融機構檢視其控制措施，包括第三方風險管理與事件應變，並對任何缺口迅速處理。該廳也要求其在線上身分驗證中檢查身分證件影像與人臉影像是否有不自然之處，並提前於2027年4月1日（屆時提交身分證件影像將不再被接受為方法）之前，轉向讀取IC晶片。
本站看法：「日誌不在」是一項結果，而非檢查失敗
IPA的檢查假設你能回溯一個月、再到三個月。實務上，團隊常發現日誌被設定為30天後過期，或某個外部服務的主控台只顯示兩週的紀錄。
在這種情況下，不要報告「沒有異常」。準確的報告是「過去一個月沒有異常；更早的期間無法檢查」。記錄你無法檢查的期間與系統，能直接告訴你接下來的修正方向：延長保存、將日誌送至其他地方、向服務提供者詢問。本週的檢查，與其說是找出異常，不如說是了解你能回溯多遠。
給員工與客戶的訊息
日本警察廳以持續發生的外洩事件為由，要求企業保持連網設備更新並使用強密碼；並要求個人不要隨意點擊電子郵件中的連結（可能是假冒已外洩資料之企業的假郵件）、不要重複使用密碼，並使用多因素驗證。事件發生後，冒用貴機構名稱的假訊息可能會增加。請告知員工與客戶，任何聯絡都應透過貴機構的官方網站加以核實。辨識方法請見什麼是網路釣魚？
資料來源（官方，日文）
- 內閣官房國家網路安全辦公室：因未經授權存取所致資料外洩之因應（2026年10月9日）— cyber.go.jp
- IPA：因未經授權存取所致資料外洩應迅速採取之措施（2026年10月9日，視需要更新）— ipa.go.jp
- IPA：未經授權存取特別諮詢窗口開設（2026年10月16日，日文）— ipa.go.jp
- IPA：因應未經授權存取特別網站（2026年10月16日，日文）— ipa.go.jp
- JPCERT/CC：日本機構近期一系列未經授權存取事件之通報（JPCERT-AT-2026-0030，2026年10月8日發布，10月23日更新）— jpcert.or.jp
- JPCERT/CC：一系列未經授權存取案例所用攻擊手法之調查（JPCERT/CC Eyes，2026年10月15日，日文）— blogs.jpcert.or.jp
- 個人資訊保護委員會：因應大規模資料外洩（警告）（2026年10月7日；10月9日新增說明影片）— 公告頁面 / 警告與附件（PDF） / 新聞稿（PDF）
- 個人資訊保護委員會：警告：防止因未經授權存取所致之個人資料外洩（2024年12月11日，2026年10月7日修訂）— ppc.go.jp
- 金融廳：因應當前情勢加強網路安全與處理帳戶申請（2026年10月9日）— fsa.go.jp
- 警察廳：Cyber Police Agency Letter 2026 Vol.19（2026年10月）— npa.go.jp
- JPCERT/CC：事件應變請求 — jpcert.or.jp
- IPA：電腦病毒與未經授權存取之通報 — ipa.go.jp
日本資安公司的分析（非官方文件，日文）：
- Macnica Security Research Center：關於網路系統資料外洩系列事件（2026年10月7日，10月8日補充）— security.macnica.co.jp
- GMO Cybersecurity by IERAE：因應未經授權存取系列事件的三個要點（2026年10月15日）— gmo-cybersecurity.com
- GMO Cybersecurity by IERAE：確認近期多起未經授權存取的來源與AI有關（2026年10月19日，10月21日更新）— gmo-cybersecurity.com
更新紀錄
2026-10-24：反映JPCERT/CC於10月23日更新的通報。攻擊模式由四種增為五種（案例E：濫用AI驅動滲透測試平台的攻擊嘗試，包括針對暴露於網際網路之WSUS伺服器的嘗試）。新增案例B的線索（與公開應用程式相同的User-Agent、僅憑JA4無法識別攻擊者、透過Tor與住宅代理的存取，以及利用IP位址搜尋過去的存取）。新增AI驅動攻擊概述與防禦順序的連結。
2026-10-23：新增兩家日本資安公司的分析（10月7日、15日與19日）：自7月以來揭露的外洩事件中有80%無法從通知中依成因分類；低於WAF門檻的攻擊；使用AI驅動自主滲透測試系統；以及三項檢查（評估範圍、不依賴WAF、減少不需要的資料與API金鑰）。
2026-10-22：新增JPCERT/CC對攻擊者伺服器的檢查（10月15日發布）：透過分析應用程式識別的API，以及四項對策。依JPCERT/CC之作法，將Flutter列為編譯後應用程式的例子。
2026-10-19：新增IPA的未經授權存取特別諮詢窗口（10月16日開設）及其特別網站。確認截至10月19日，IPA的10月9日通報尚未更新。
2026-10-14：檢閱個人資訊保護委員會警告的內文，並以表格摘要其附件中關於「10-6 技術安全措施」修訂範例的內容（預定2027年4月定案）。將修訂版警告案例9（API遭濫用）的對策加入對外應用程式檢查，並將案例8（你所使用之雲端服務的外洩）加入外部服務檢查。更新文件清單與資料來源。
2026-10-12：首次發布。已於2026年10月12日檢查國家網路安全辦公室、IPA、JPCERT/CC、個人資訊保護委員會、金融廳與警察廳的文件。IPA的頁面會視需要更新，JPCERT/CC的通報也可能新增內容；若有變動，本文將隨之更新。
延伸閱讀
- AI驅動攻擊全貌與防禦順序：防禦AI驅動的網路攻擊（自主入侵、提示注入、AI供應鏈）
- 機構層面的全局：機構資安基準（2026年日本事件的六大優先事項）
- 檢查自家網站：如何檢查你的網站或伺服器是否遭駭
- 進入點：VPN設備是最大的入侵途徑 / 以CVSS、EPSS與KEV排定優先順序
- 盤點：資安盤點清單 / 雲端儲存的公開暴露
- 術語：什麼是IOC？
- 2026年所有事件：2026年的資料外洩與網路攻擊