現在、サイバー攻撃による企業の被害が相次いでいます。9月下旬には、タイムズカーのWebシステムへの不正アクセスにより約660万件のアカウント情報が漏えいしました。また、10月上旬にはIDCFクラウドのランサムウェアによる大規模障害が発生し、495の企業や自治体が影響を受け、現在も復旧に向けた調査が行われています。さらに10月中旬には、セキュリティソフト販売などを手がけるソースネクストが、不正アクセスによりパスワードを含む約2252万件の顧客情報が流出した可能性を公表しました。このように、特定の業界や製品、攻撃手法に限られず、様々な様態の被害が相次いでいます。こうした事態を受けて、政府や各機関が注意喚起情報を公表しました。
政府のサイバーセキュリティ政策を担う国家サイバー統括室や総務省、経済産業省などが対策の徹底を呼び掛けています。情報セキュリティ対策を推進する独立行政法人「情報処理推進機構（IPA）」は、外部公開システムの点検や保有データの見直しを求めました。また、個人情報保護委員会や金融庁も情報管理や不正アクセス対策について注意を促しています。サイバー攻撃への対応を支援するJPCERT/CCや、情報通信技術の研究を行う情報通信研究機構（NICT）も注意喚起を公表し、NICTはアプリの解析情報を悪用したサーバー攻撃の危険性を指摘しています。
IPAの注意喚起では改めて「3原則」を強調し、経営者のリーダーシップを呼び掛けました。
◇ ◇
【サイバーセキュリティに関して経営者が認識すべき3原則】
1．サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要
2．サイバーセキュリティ確保に関する責務を全うするには、自社のみならず、国内外の拠点、ビジネスパートナーや委託先等、サプライチェーン全体にわたるサイバーセキュリティ対策への目配りが必要
3．平時及び緊急時のいずれにおいても、効果的なサイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要
▽IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
◇ ◇
技術的な対策、経営者の関与、いずれにしても昔から呼び掛けられている内容であり、基本の徹底が改めて強調されています。
しかし、基本的な対策の徹底は、言うは易く行うは難しという現実があります。
例えば、システムを構成するOS、ミドルウェア、ライブラリなどのアップデートも重要ですが、近年ではnpmなどのパッケージマネージャーで公開される著名なライブラリを標的としたサプライチェーン攻撃も深刻化しています。こうしたライブラリに紛れ込んだインフォスティーラー型のマルウェアによって、開発環境やクラウド運用基盤の認証情報が窃取され、別のシステムへの不正アクセスに悪用されるリスクもあります。したがって、闇雲に最新版にアップデートすればよいというものではありません。公開直後の依存パッケージを自動的に取り込まないよう、一定のクールダウン期間を設けることも緩和策の一つです。ただし、悪用が確認されている脆弱性への修正などは迅速な適用が必要となる場合があり、更新の安全性と緊急性を個別に評価することが求められます。
また、バックアップは被害からの復旧に不可欠ですが、取得するだけで十分とはいえません。保存期間を適切に管理し、バックアップ自体への不正アクセスや改ざんを防止するとともに、定期的な復元テストや、復元前のマルウェア検査も必要です。さらに、クラウド基盤そのものが被害を受ける可能性を考慮し、独立した環境、可能ならばオフラインでのバックアップ保管も検討すべきでしょう。
被害企業の技術構成や使用ソフトウェアをめぐって、SNS上でセキュリティ対策の妥当性を疑問視する声も見られます。ただし、公開情報だけで侵入原因や対策の不備を判断することは困難です。ISMSやプライバシーマーク等の認証を取得し、リスクマネジメントの仕組みを整備していたとしても、不正アクセスを完全に防止できるわけではありません。今回の事案は、システムを継続的に健全かつ安全な状態に保つことの重要性と難しさを改めて浮き彫りにしたといえるでしょう。
こうした状況をさらに複雑にしている要因の一つが、AIによる攻撃手法の高度化と効率化です。AIの活用により、標的となる企業の情報収集や公開アプリケーションの解析、脆弱性の探索などを効率的に実施できるようになりつつあります。今回の一連の事案におけるAIの関与は明らかになっていないものの、従来よりも少ない労力で個別のシステムの弱点を探る攻撃が広がっていくことでしょう。
攻撃手法が高度化し、すべての不正アクセスを未然に防ぐことが難しくなる中で、サービスを提供する側と利用する側は、それぞれどのような対策を講じるべきでしょうか。
まず、サービス運用者の立場では、企画・設計段階からセキュリティを考慮する「セキュリティ・バイ・デザイン」や、事故が発生する前提での対策がますます重要となってきています。
・最初から情報漏えいが発生することを想定して、不要な情報を収集・保持しない
・第三者が直接APIエンドポイントに不正アクセスを試みる前提でAPIの認証・認可・アクセス制御を設計し、テストで防御策の有効性を確認する
・不要なサービスをインターネットに公開せず、必要に応じてアクセス元IPアドレスを制限する。ただし、正当なアクセスを誤って遮断した場合に備え、迅速に解除できる体制も整える。
・仮にシステムの一部に侵入されたとしても、横展開（ラテラルムーブメント）が困難になるようにシステムやネットワークを設計する
・サービスを運用し続ける限り継続的にメンテナンスする事業体制を維持する
特に、NICTの注意喚起情報でも言及されているように、スマートフォンアプリに実装された通信先やAPIの仕様は、アプリを解析することで攻撃者に把握される可能性があります。アプリ側で操作を制限しているからといって安全とは限らず、サーバー側で利用者の認証・認可・入力検証を厳密に実施するとともに、想定外のAPI操作に対するテストやログ監視を行うことが重要です。その一方で、これまでのように「マーケティングに使うかもしれない」「法的に求められるかもしれない」などの「かもしれない」理由であらゆるデータを取得しようとするのは慎まなければなりません。
また、利用者の立場では、自分の情報が漏えいする前提での対策が必要です。
・気軽に色々なWebサイトにユーザー登録しない
・複数のWebサイトでパスワードを使い回さない（パスワードマネージャや、パスキーを用いることも検討する）
・多要素認証の設定を行う
・漏えいした情報を悪用した詐欺メールが届く可能性を想定して注意する
（特に「サービス停止」「未払い」などの文言で焦らせ、クリックに誘導するようなメール文面に注意する）
もし利用サービスから情報漏洩の連絡があった場合、どのような影響を受けるのか、冷静にリスクを見極める必要があります。特にパスワードが漏洩した場合は、二次被害から身を守るためにも、そのパスワードを使い回していた他サービスにおいてパスワードの再設定を行うことが重要です。
サービスを提供する側もサービスを利用する側も、最新の知見に注意を払い、自分のこととして対応を行っていく必要があるといえるでしょう。
【関連する注意喚起】
▽国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（10月9日）
https://www.cyber.go.jp/pdf/press/taiou.pdf
▽総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（注意喚起）」（10月9日）
https://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000678.html
▽総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（公開アプリの解析情報を悪用した攻撃への注意喚起）」（10月13日）
https://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000680.html
▽経済産業省「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」（10月9日）
https://www.meti.go.jp/policy/netsecurity/pdf/20261009_chuuikanki.pdf
▽IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（10月9日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
▽金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（10月9日）
https://www.fsa.go.jp/news/r8/sonota/20261009/20261009.html
▽金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」（10月9日更新）
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
▽個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（10月7日）
https://www.ppc.go.jp/news/press/2026/261007_houdou/
▽NICT「【注意喚起】相次ぐ情報漏えい、その原因の一つは『アプリ解析からのサーバ攻撃』」（10月13日）
https://www.nict.go.jp/press/2026/10/13-1.html
▽JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（10月9日更新）
https://www.jpcert.or.jp/at/2026/at260030.html
◇ ◇
◇井二かける（いぶた・かける）情報処理安全確保支援士、作家、ITエンジニア。
「IT・セキュリティをもっと面白く」をモットーに、アニメ・小説・漫画・記事等の形で情報発信している。2014年より自主制作アニメ「こうしす！」シリーズを公開、2020年に小説「こうしす！社内SE祝園アカネの情報セキュリティ事件簿」（翔泳社）にて作家デビュー。最近の関心分野は、2038年問題、AIの利活用やエッジAIにおける情報セキュリティ。自身が経営するひとり出版社にて、目下、技術×SFの出版レーベルを企画中。
