ISSコラム

国内で何が起きているのか

2026年9月前後から、国内組織で不正アクセスによる個人情報などの漏えいが相次いでいます。JPCERT/CCは2026年10月8日に注意喚起(JPCERT-AT-2026-0030)を公開し、10月23日に更新しました。

注目すべきは、そこに書かれた手口の多くが「特別なゼロデイ」ではなく、既知の脆弱性、設定不備、API の認可漏れといった基本的な穴を突くものだという点です。さらに、攻撃者がAI型のペネトレーションテスト基盤を使い、探索を自動化している様子も確認されています。

本コラムでは、この注意喚起を診断・ペンテストの実務者の視点で読み解き、自社や顧客のWebシステムで今日から確認できる点を整理します。

JPCERT/CC が挙げた5つの手口

注意喚起にはケースA～Eの5つの手口が記載されています。共通しているのは、公開されたWebアプリやAPIを起点にしている点です。

ケースEは「攻撃の自動化」を示す点で重要です。AI型ツールは診断ベンダーも使う正規の道具ですが、同じものが攻撃側でも使われていることになります。人手を前提にした「見つかるまでの時間」の見積もりは、見直す必要がありそうです。

なお JPCERT/CC 自身が、ページに掲載された不審な送信元IPアドレス、User-Agent、TLSフィンガープリントは正規利用の可能性もあるとしています。攻撃を受けたか確認するための参考情報として扱ってください。

診断・ペンテストの現場から見る点検ポイント

注意喚起の対策を、診断で実際に確認する観点に置き換えると、次の4点に集約できます。

1. APIの認可と制限。 非公開APIを含めて、許可された利用者とHTTPメソッドのみを受け付けているか。ログイン、パスワードリセット、SMS送信、検索などに個別のリクエスト上限があるか。
2. トークンと権限の設計。 権限が必要最小限か、トークンに有効期限があり、漏えい時にすぐ無効化できるか。
3. 「外部向けのつもりではない」システムの公開。 従業員向けシステムやBIツール(Metabaseなど)、不要な管理機能、WSUSサーバーがインターネットから到達できていないか。
4.  管理不備の痕跡。 環境設定ファイルやバックアップファイルが公開領域に残っていないか。公開Webサーバーから到達できるアプリケーションサーバーに、見覚えのないWAR/JSPが置かれていないか。

ここで大切なのは、単発の診断で「ある時点の穴」を見つけるだけでなく、資産棚卸しを継続的に行うことです。自動化された探索は「公開した瞬間」から始まるため、定期診断の間隔だけでは間に合いません。アプリや外部公開資産の変更を、変更管理と紐づけて把握できる状態が理想です(ISMSでいえば、資産管理・変更管理・脆弱性管理の運用に相当します)。

漏えいを想定した備えと、今日からのチェックリスト

防御をすべて突破されることを前提に、JPCERT/CC は侵害後の横展開対策、検知体制と初動対応の点検、顧客への二次被害防止の呼びかけ(多要素認証の案内など)を平時から準備するよう求めています。保存期間を過ぎたデータや利用目的を終えたデータを削除することも、漏えい時の被害を小さくします。

今日からできることをチェックリストにしました。

☐ インターネットに公開している資産(管理画面、BIツール、WSUS、社内向けシステムを含む)を棚卸しする
☐ 不要な管理機能の外部公開を停止する
☐ 既知の脆弱性がある版を使っている製品に修正を適用する(Metabase の CVE-2026-72898 を含む)
☐ APIにレート制限と認可を設け、トークンに有効期限を設ける
☐ 環境設定ファイルやバックアップファイルが公開領域に残っていないか確認する
☐ 利用地域が限られるサービスではアクセス元の地域を制限する
☐ 不正アクセスの検知体制と初動対応手順を点検し、顧客への案内(MFAの推奨など)を用意する

攻撃を「人間が手で探すもの」として見積もる時代は終わりつつあります。基本の穴をふさぐことが、いちばん実効性のある対策です。自社の公開資産の確認や診断の相談があれば、お気軽にご連絡ください。

参考情報

直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)