とりあえずノートがわりに書いてます – すずきひろのぶの備忘録

エグゼクティブサマリー：国内組織への不正アクセス多発（JPCERT-AT-2026-0030）

国内で不正アクセスによる大量の個人情報漏えいが続いており、自組織の公開システムとAPIを今週中に点検する必要があります。

2026年9月前後から国内組織での漏えいが相次ぎ、JPCERT/CCが10月8日に注意喚起を公開しました（10月9日更新）。
攻撃者は特定の1製品ではなく、既知の脆弱性・設定不備・APIの不備を標的ごとに探して突いています。顧客向けアプリだけでなく、BIツールや従業員向けシステムも被害に遭っています。
優先すべきは、公開システムの棚卸し、注意喚起の痕跡情報によるログ調査、不要な公開機能とデータの削減の3点です。

JPCERT/CCは、被害の拡大を受けて、情報が不完全な段階でも注意喚起（JPCERT-AT-2026-0030）を出しました。

複数の製品やサービスで被害が出ていますが、技術情報の共有は進んでおらず、把握されている内容は断片的です。日常的に起きているランサムウェア被害とは別に、大量の個人情報漏えいにつながる攻撃類型が増えている恐れがある、という位置づけです。

10月9日の更新で攻撃事例（ケースD）と不審な送信元IPが追加されました。10月13日時点でそれ以降の更新はありません。JPCERT/CCは新情報が判明しだい更新するとしており、継続的な確認が必要です。

「社外の不特定多数が使う想定ではない」システムも狙われている点が、今回の最大のリスクです。こうしたシステムは防御が手薄になりやすく、点検の対象から漏れがちです。

対象システム	狙われる理由	想定される被害
顧客向けスマホアプリ・Webサービス	公開アプリを解析されると、APIの接続先やキーが判明する	顧客情報の漏えい、データ改ざん、不正アカウント作成
BIツール（Metabase等）	社内データが集約されており、既知の脆弱性も悪用されている	集約データの一括漏えい
従業員向け管理システム	外部からの攻撃を想定しておらず、対策が手薄	従業員・取引先情報の漏えい
公開Webサーバーの背後にあるアプリサーバー	不正なプログラム（Webシェル）を置かれると遠隔操作される	社内ネットワークへの侵入拡大

漏えいが起きた場合、個人情報保護委員会への報告や本人通知、顧客対応、信用の低下が想定されます。盗まれた認証情報が他サービスで悪用される二次被害にも備える必要があります。

JPCERT/CCは4つの手口を報告しています。共通するのは、インターネットから届く入口の弱さを突く点です。

ケース	手口（平易な説明）	悪用が確認された時期
A：既知の脆弱性の探索	標的ごとに古いソフトの弱点や設定ミスを探し、設定ファイルやバックアップを盗む	10月7日ごろ
B：APIの不正操作	公開アプリを解析して内部の窓口（API）を突き止め、画面からはできない権限変更やアカウント作成を行う。他社から盗んだ鍵の流用もある	8月末〜9月ごろ
C：Metabaseの脆弱性（CVE-2026-72898）	BIツールの既知の弱点を突き、データベースの中身を引き出す。JPCERT/CCは8月14日に別途注意喚起を公開済み	8月上旬〜9月上旬
D：Webシェルの設置	アプリサーバーに遠隔操作用のプログラムを置き、外部から命令を実行する	9月ごろ

不審な送信元IPアドレスやUser-Agentなどの痕跡情報は原文に記載があります。セキュリティ担当者が自組織のログと照合してください。

まず今週中に「何が外から見えているか」と「すでに侵入されていないか」を確認し、その後1か月でAPIの防御を固めます。対策はJPCERT/CCの推奨に基づきます。

時期	アクション	主管（案）
今週中	インターネットに公開しているシステム・API・スマホアプリを棚卸しする（BIツール、管理画面を含む）	情報システム部門
今週中	注意喚起の痕跡情報（IP、User-Agent）とアクセスログを照合し、侵害の有無を調べる	CSIRT
今週中	Metabaseの利用有無を確認し、使っていれば修正版を適用する	情報システム部門
今週中	業務に不要な管理機能などの外部公開を止める	情報システム部門
1か月以内	APIに回数制限・アクセス制御・最小権限を設定する（ログイン、パスワード再設定、検索などは個別に制限）	開発部門
1か月以内	APIキーに有効期限を設け、漏えいが疑われるキーをすぐ無効化できる体制にする	開発部門
1か月以内	既知の脆弱性の修正適用状況を総点検し、利用地域が限られるサービスはアクセス元の地域を制限する	情報システム部門
1か月以内	不正アクセスの検知体制と初動対応手順を見直す	CSIRT
中期	保存期間を過ぎたデータや利用目的を終えたデータを削除する	各事業部門・法務
中期	侵入された場合に被害が社内に広がらない構成へ見直す	情報システム部門
中期	漏えい時の二次被害を防ぐため、顧客への多要素認証の推奨などを平時から行う	顧客対応・広報

今週中の点検を確実に進めるため、次の4点について承認をお願いします。