相次ぐ不正アクセスの注意喚起（2026年10月）｜JPCERT/CC・IPAが求める、Webサイト・API・BIツールの点検

2026年9月前後から、国内の企業で、不正アクセスによる個人情報の漏えいが相次いで公表されています。これを受けて、10月6日から16日にかけて、デジタル大臣、個人情報保護委員会、JPCERT/CC、IPA、国家サイバー統括室などが、相次いで注意喚起を出しました。

JPCERT/CCは、一般の利用者向けのアプリだけでなく、BIツールや従業員向けの管理システムのように、不特定多数の利用を想定していないシステムも被害に遭っていると指摘しています（直近で相次いでいる国内組織における不正アクセスに関する注意喚起（別タブで開く））。

本記事では、各機関が公表した攻撃の手口と、企業が点検することを整理します。記載の内容は、2026年10月30日時点の公表資料に基づきます。調査中の事案が多く、内容は今後変わる可能性があります。

各機関の注意喚起

10月に出た主な注意喚起は次のとおりです。

各機関の注意喚起は、国家サイバー統括室のページにまとめられています（各機関による注意喚起等について（別タブで開く））。

確認されている攻撃の手口

JPCERT/CCの注意喚起では、確認されている攻撃を5つに分けています（2026年10月23日の更新時点）。すべての事案で同じ手口が使われたわけではない、とも書かれています。

攻撃元を隠すため、Torや、一般家庭の回線を使うプロキシ（レジデンシャルプロキシ）を経由した通信も使われています。JPCERT/CCは、公表したIPアドレスが正規の利用者のものである可能性もあるとしています。

APIが狙われている

個人情報保護委員会がまとめた9つの事例の1つも、APIの悪用です。管理の対象から漏れたAPIがあり、送る値を書き換えると、ほかの利用者の情報を取得できる状態だった、というものです。会員IDが連番で推測しやすく、応答に不要な情報が含まれ、回数の制限もありませんでした。

画面の上では自分の情報しか見えなくても、裏で呼んでいるAPIに確認の漏れがあれば、他人の情報を引き出せます。JPCERT/CCの調査では、スマートフォンのアプリを解析してAPIを特定し、正規のアプリを通さずにAPIを呼ぶ手口が報告されています。

BIツールや社内の管理画面も狙われている

区分Cは、BIツールが直接の入口になった例です。BIツールは、社内の人しか使わない前提で、インターネットに公開したまま、更新が後回しになりがちです。Metabaseの脆弱性と、BIツールで見直すことは「Metabaseの脆弱性と、BIツールからの情報漏えいを防ぐために見直すこと（別タブで開く）」で解説しています。

あわせて、PHPの本体にも認証なしで外からコードを実行できる脆弱性が見つかり、10月21日に修正版が出ています（「PHPの脆弱性「PHP2Shell」とは？（別タブで開く）」）。

企業が点検すること

各機関の資料をもとに、企業が点検することを4つにまとめます。IPAは、点検で異常が見つからなくても、対策は検討するよう求めています。

1. 外部に公開しているシステムのログを見る

IPAは、自社で作って運用している、外部に公開しているアプリとサービスについて、直近のログに異常がないかを確かめるよう求めています。直近1か月から始め、3か月程度まで広げます。

IPAは、異常の見分け方の例として、エラーの量や、普段との違いを挙げています。あわせて、JPCERT/CCと個人情報保護委員会が示した手口から、次のようなアクセスがないかも確かめます。

• 同じアクセス元から、APIや管理用の画面へのリクエストが繰り返されていないか
• 連番のIDを順に読んでいく、他人の会員情報を見る、といったアクセスがないか
• 作った覚えのないアカウントや、権限の変更の記録がないか

JPCERT/CCが公表した不審なアクセス元と一致するかも確かめます。ただし、正規の利用者のアクセスが含まれる可能性もあるため、通信の内容とあわせて判断します。

異常が見つかったら、すぐにセキュリティの事故として扱います。IPAは、情報が漏えいしている可能性があるため、専門のセキュリティ会社に詳しい調査を頼むことを強く勧めています。

2. 使っている外部サービスを洗い出す

自社で作ったシステムだけでなく、クラウドやSaaSも点検の対象です。IPAは、全社や部署で使っている外部サービスを洗い出し、次のことを確かめるよう求めています。

• サービスごとに、ログが何日分残るか、自社で見られるログはどこまでか
• ログインの失敗の数、ログイン元のIPアドレス、ログインの時間に、おかしな点がないか
• 作った覚えのないアカウントや、消した・止めたはずのアカウントが有効になっていないか

マーケティングの部署では、MA、メール配信、フォーム、CRM、BIツール、広告の管理画面など、部署ごとに契約したSaaSが増えがちです。どのSaaSに何のデータを預けているかの一覧がなければ、この機会に作ります。SaaSから情報が漏えいしたときに利用企業がやることは「使っているSaaSから個人情報が漏えいしたら（別タブで開く）」で解説しています。

3. APIと公開範囲を見直す

JPCERT/CCは、API経由のアクセスへの対策として、次のことを挙げています。

• 一定の時間あたりのリクエストの数を制限する。ログイン、パスワードの再設定、SMSの送信、検索などは、個別に回数を制限する
• 公開していないAPIも含め、すべての接続先で、許可した利用者と操作だけを受け付ける
• 利用者やAPIのトークンには、必要な最小限の権限だけを付ける
• トークンに有効期限を付け、不要なものや漏えいが疑われるものは、すぐに無効にできるようにする

10月15日の調査では、APIの秘密鍵や長く使える認証情報を、アプリに埋め込まないことも求めています（連続不正アクセス事案の攻撃手法に関する調査（別タブで開く））。

あわせて、業務で使わない管理機能やサービスがインターネットに公開されていれば、公開をやめます。利用する地域が限られるサービスなら、アクセス元の地域を絞ります。

社内向けのBIツールや管理画面は、社内のネットワークやVPNからしか開けないようにするか、Googleアカウントなどの多要素認証を通した人だけが開けるようにします。

4. 持っているデータを減らす

個人情報保護委員会と国家サイバー統括室は、必要のない個人データを消すよう求めています。JPCERT/CCも、法令や契約で決まった保存期間を過ぎたデータや、使い終わったデータを残さないよう求めています。

データ分析の環境では、分析のために取り込んだ顧客の名前やメールアドレスが、使われないまま残っていることがあります。集計に要らない項目は取り込まない、取り込むならハッシュ化する、テーブルごとに見られる人を絞る、といった設計にしておくと、漏えいしたときの被害を小さくできます。

データの扱いを見直すときの観点

今回の注意喚起は、Webサイトやアプリを持つ企業だけの話ではありません。BIツールやSaaSの管理画面のように、マーケティングや営業の部署が自分たちで契約して使っている道具も、入口になり得ます。

部署で使っている道具について、次の3つを確かめておくと、点検の範囲がはっきりします。

まとめ

• 何が起きているか：2026年9月前後から、国内で不正アクセスによる情報漏えいが相次ぎ、10月にJPCERT/CC・IPA・個人情報保護委員会などが注意喚起を出した
• 手口：既知の脆弱性、APIの不正な操作、Metabaseの脆弱性、Webシェル、AIの侵入テストの道具の悪用。BIツールや社内の管理システムも狙われている
• 点検すること：外部に公開しているシステムの直近1〜3か月のログ、使っている外部サービスのアカウントとログ、APIの権限と回数の制限、公開範囲、持っているデータ
• 異常があったら：すぐにセキュリティの事故として扱い、専門の会社に調査を頼む。IPAの不正アクセス特別相談窓口も使える

株式会社INVOXは、データ基盤の構築、データ分析の支援、AIエージェントの開発を行っています。広告やGA4、CRMのデータをBigQueryに統合する際に、権限や個人情報の扱いの設計から支援しています。

「分析の環境に残っている個人情報を整理したい」「BIツールやデータ基盤の権限を見直したい」といった課題をお持ちでしたら、お問い合わせください。