📡 Signal｜JPCERT/CC と IPA、相次ぐ漏えいの手口と点検項目を公開

JPCERT コーディネーションセンター (JPCERT/CC) は10月8日、国内で相次ぐ不正アクセスと情報漏えいについて注意喚起を出し、9日には確認された攻撃の手口4類型と、不審な通信元の IP アドレスを追記した。同じ9日、情報処理推進機構 (IPA) も、大量の個人情報を扱う事業者の経営者に向けて、速やかに行うべき点検と対策をまとめた。

9日に伝えた国家サイバー統括室と金融庁の文書は、事業者に求める対策の方向を示すものだった。今回の2つは、その中身を一段具体にする。攻撃者がどこから入ったのか、経営者がまず何を確かめればよいのかが、技術の言葉で並んだ。統括室と金融庁の要請は 9日の記事 にまとめている。

手口は4類型、狙われたのは「管理・運用側」のシステムも

JPCERT/CC によると、被害は9月前後から複数の製品やサービスで出ているが、技術情報の共有が足りず、把握できている情報は限られる。そのうえで、すべての事案で同じ手口が使われたわけではないと断りつつ、次の4つを挙げた。

• 既知の脆弱性の探索: 標的ごとに複数の既知の脆弱性をスキャンし、悪用を試みる。設定ファイルやバックアップファイルの窃取など、管理の不備を突く攻撃の可能性もある
• API を通じた不正な操作: 公開されているスマートフォンアプリを解析して API の接続先や鍵を特定し、画面からは実行できない内部の API でユーザー権限の変更や不正なアカウントの作成を行う
• 分析ツール Metabase の脆弱性 (CVE-2026-72898) の悪用: API への不正なリクエストで SQL インジェクションを起こす
• Web シェルの設置 (9日に追記): 公開 Web サーバーから届くアプリケーションサーバーに WAR ファイルを置き、中の JSP ファイルを簡易な遠隔操作の入口にする

注目したいのは、被害が一般の利用者向けのアプリだけでなく、BI ツールや従業員向けの管理システムにも及んでいる点だ。JPCERT/CC は、不特定多数の利用を想定しない「管理・運用側」のシステムから内部の情報が漏えいしていると書いた。外から見えにくいシステムほど、守りは手薄になりやすい。

アプリの中に置いた鍵が入口になる

2つ目の類型は、スマートフォンアプリを持つ会員サービスすべてに関係する。アプリには、サーバーと通信するための接続先や鍵が組み込まれている。攻撃者はそれを取り出し、画面のボタンを経由せずに直接 API を呼ぶ。報告では、認証トークンの形式を崩したときの応答の差を手がかりにしたり、NoSQL インジェクションでアカウント情報を少しずつ割り出したりする手口も確認された。別のシステムから盗んだ API の鍵を使う例もある。

対策として JPCERT/CC は、単位時間あたりのリクエスト数の制限、ログイン・パスワード再設定・SMS 送信・検索など悪用されやすい機能への個別の制限、公開していない API を含むすべての接続先での認証、トークンへの最小限の権限と有効期限の設定を挙げた。保存期間を過ぎたデータや、使う目的を終えたデータを残さないことも、汎用の対策に入っている。

IPA は経営者に「ログを1か月、次に3か月」

IPA の文書は、技術者ではなく経営者に宛てて書かれている。特定の製品の脆弱性を狙った攻撃とは断定されていないとしたうえで、公表された事例から、外部に公開しているアプリやサービス、アカウントの侵害が起点になっているとみる。点検は3つに分かれる。

1つ目は、自社で作って外部に公開しているアプリとサービスの精査だ。サービスごとに直近のログに異常がないかを、まず1か月分、次に3か月分と範囲を広げて確かめ、未適用の修正プログラムがあれば速やかに当てる。2つ目は、クラウドや VPN を含め、部署単位で使っている外部サービスの洗い出しで、作った覚えのないアカウントや、無効にしたはずのアカウントが生きていないかも見る。3つ目は保有データの再点検で、「不要な情報は持たない」を基本原則に置いた。

異常が見つかれば、速やかにセキュリティ事故と判断し、専門のセキュリティ会社に詳しい調査を頼むよう強く勧めている。経営者が押さえる原則には、委託先や海外の拠点を含むサプライチェーン全体への目配りを挙げた。IPA は、取引先の対策の水準を評価する制度を、2027年3月の開始に向けて準備している。

個人情報保護委員会も10月7日、大量の個人情報を扱う事業者に安全管理措置を求める注意喚起を出した。警察庁は利用者に向けて、漏えい元の企業を名乗る偽メールのリンクを開かないよう呼びかけている。

次に見るもの

確認先は JPCERT/CC の注意喚起 (JPCERT-AT-2026-0030) のページだ。8日の公開から1日で手口が1類型増え、不審な IP アドレスも追記された。被害を受けた組織から技術情報の共有が進めば、同じページの更新に表れる。IPA も、公的機関やセキュリティ会社から不審な IP アドレスやログの痕跡が今後公表される可能性があるとして、当面の情報収集を求めている。

ことば

• IoC — 侵害の痕跡を示す技術的な目印。不審な通信元の IP アドレスや、攻撃に使われたツールの識別情報などを指す。共有されると、他の組織が自社のログに同じ痕跡がないかを照らし合わせられる。
• NoSQL インジェクション — データベースへの問い合わせに細工した値を紛れ込ませ、本来は見えない情報を引き出す攻撃。リレーショナル型ではないデータベースを狙う点で、SQL インジェクションの仲間にあたる。
• Web シェル — 侵入したサーバーに置かれ、ブラウザ経由で外から命令を実行できるようにする小さなプログラム。今回は Java のアプリケーションサーバーに WAR ファイルとして置かれていた。

🔗 一次ソース

• JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030・10月8日公開・9日更新)JPCERT/CC
• IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026年10月9日)IPA 独立行政法人 情報処理推進機構
• IPA 公式 X の告知
• 個人情報保護委員会：大規模な漏えい等事案を踏まえた対応について (注意喚起・2026年10月7日・PDF)ppc.go.jp
• 警察庁：サイバー警察局便り 2026 Vol.19 (PDF)npa.go.jp