このWordPressにも、パスワードを狙ったブルートフォース攻撃が大量にやって来る。多要素認証を導入しているので、仮にパスワードを破られても侵入まではされない。それはさておき、とにかく数が多い。

そこで、過去1か月分のセキュリティログを調べてみた。ログイン試行が規定回数を超えると約6時間アクセス禁止になり、そのときにこのログへ記録が残る。記録をユニークなIPアドレス単位で数え、国別に多い順に並べたところ、上位20か国は下の表のとおりになった。まあ、こんなものだろうという顔ぶれだ。

ちなみに、リスト全体では135の国・地域にのぼった。IPv4アドレスが割り当てられている国・地域は、国コードで数えて249〜250ほどあるらしい。つまり、その半分以上から攻撃が来ていることになる。

 　　1	   1572 United States
     2	    588 Japan
     3	    501 South Korea
     4	    419 Canada
     5	    405 Brazil
     6	    298 India
     7	    256 United Kingdom
     8	    238 Germany
     9	    236 Russia
    10	    207 France
    11	    199 Vietnam
    12	    140 Singapore
    13	    121 Argentina
    14	    105 Ukraine
    15	    105 The Netherlands
    16	    102 Pakistan
    17	     93 Hong Kong
    18	     87 Spain
    19	     87 Israel
    20	     81 Mexico

エグゼクティブサマリー：国内組織への不正アクセス多発（JPCERT-AT-2026-0030）

結論

国内で不正アクセスによる大量の個人情報漏えいが続いており、自組織の公開システムとAPIを今週中に点検する必要があります。

• 2026年9月前後から国内組織での漏えいが相次ぎ、JPCERT/CCが10月8日に注意喚起を公開しました（10月9日更新）。
• 攻撃者は特定の1製品ではなく、既知の脆弱性・設定不備・APIの不備を標的ごとに探して突いています。顧客向けアプリだけでなく、BIツールや従業員向けシステムも被害に遭っています。
• 優先すべきは、公開システムの棚卸し、注意喚起の痕跡情報によるログ調査、不要な公開機能とデータの削減の3点です。

何が起きているか

JPCERT/CCは、被害の拡大を受けて、情報が不完全な段階でも注意喚起（JPCERT-AT-2026-0030）を出しました。

複数の製品やサービスで被害が出ていますが、技術情報の共有は進んでおらず、把握されている内容は断片的です。日常的に起きているランサムウェア被害とは別に、大量の個人情報漏えいにつながる攻撃類型が増えている恐れがある、という位置づけです。

10月9日の更新で攻撃事例（ケースD）と不審な送信元IPが追加されました。10月13日時点でそれ以降の更新はありません。JPCERT/CCは新情報が判明しだい更新するとしており、継続的な確認が必要です。

自組織にとってのリスク

「社外の不特定多数が使う想定ではない」システムも狙われている点が、今回の最大のリスクです。こうしたシステムは防御が手薄になりやすく、点検の対象から漏れがちです。

対象システム	狙われる理由	想定される被害
顧客向けスマホアプリ・Webサービス	公開アプリを解析されると、APIの接続先やキーが判明する	顧客情報の漏えい、データ改ざん、不正アカウント作成
BIツール（Metabase等）	社内データが集約されており、既知の脆弱性も悪用されている	集約データの一括漏えい
従業員向け管理システム	外部からの攻撃を想定しておらず、対策が手薄	従業員・取引先情報の漏えい
公開Webサーバーの背後にあるアプリサーバー	不正なプログラム（Webシェル）を置かれると遠隔操作される	社内ネットワークへの侵入拡大

漏えいが起きた場合、個人情報保護委員会への報告や本人通知、顧客対応、信用の低下が想定されます。盗まれた認証情報が他サービスで悪用される二次被害にも備える必要があります。

主な攻撃手口

JPCERT/CCは4つの手口を報告しています。共通するのは、インターネットから届く入口の弱さを突く点です。

ケース	手口（平易な説明）	悪用が確認された時期
A：既知の脆弱性の探索	標的ごとに古いソフトの弱点や設定ミスを探し、設定ファイルやバックアップを盗む	10月7日ごろ
B：APIの不正操作	公開アプリを解析して内部の窓口（API）を突き止め、画面からはできない権限変更やアカウント作成を行う。他社から盗んだ鍵の流用もある	8月末〜9月ごろ
C：Metabaseの脆弱性（CVE-2026-72898）	BIツールの既知の弱点を突き、データベースの中身を引き出す。JPCERT/CCは8月14日に別途注意喚起を公開済み	8月上旬〜9月上旬
D：Webシェルの設置	アプリサーバーに遠隔操作用のプログラムを置き、外部から命令を実行する	9月ごろ

不審な送信元IPアドレスやUser-Agentなどの痕跡情報は原文に記載があります。セキュリティ担当者が自組織のログと照合してください。

推奨アクション

まず今週中に「何が外から見えているか」と「すでに侵入されていないか」を確認し、その後1か月でAPIの防御を固めます。対策はJPCERT/CCの推奨に基づきます。

時期	アクション	主管（案）
今週中	インターネットに公開しているシステム・API・スマホアプリを棚卸しする（BIツール、管理画面を含む）	情報システム部門
今週中	注意喚起の痕跡情報（IP、User-Agent）とアクセスログを照合し、侵害の有無を調べる	CSIRT
今週中	Metabaseの利用有無を確認し、使っていれば修正版を適用する	情報システム部門
今週中	業務に不要な管理機能などの外部公開を止める	情報システム部門
1か月以内	APIに回数制限・アクセス制御・最小権限を設定する（ログイン、パスワード再設定、検索などは個別に制限）	開発部門
1か月以内	APIキーに有効期限を設け、漏えいが疑われるキーをすぐ無効化できる体制にする	開発部門
1か月以内	既知の脆弱性の修正適用状況を総点検し、利用地域が限られるサービスはアクセス元の地域を制限する	情報システム部門
1か月以内	不正アクセスの検知体制と初動対応手順を見直す	CSIRT
中期	保存期間を過ぎたデータや利用目的を終えたデータを削除する	各事業部門・法務
中期	侵入された場合に被害が社内に広がらない構成へ見直す	情報システム部門
中期	漏えい時の二次被害を防ぐため、顧客への多要素認証の推奨などを平時から行う	顧客対応・広報

経営として判断いただきたい事項

今週中の点検を確実に進めるため、次の4点について承認をお願いします。

1. 公開システムの点検とログ調査に必要な人員の確保、および外部調査ベンダーの起用予算
2. 不要な公開機能の停止を担当部門の判断で即時実施する権限の委任（一時的なサービス影響を伴う場合があります）
3. 侵害が見つかった場合の経営への報告基準と、当局報告・公表の方針の事前合意
4. 不要データを削除する方針の承認

出典

JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030、2026年10月8日公開・10月9日更新）