ＰＡＴ株式会社 【2026年10月8日】
このところ、不正アクセスによる情報漏えいやランサムウェアの被害が連日のように報じられています。こうした状況を受け、JPCERTコーディネーションセンター（JPCERT/CC）は2026年10月8日、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030）を公表しました。
注意喚起によると、2026年9月前後から、国内組織のWebシステムへの不正アクセスにより個人情報等が漏えいする被害が相次いでいます。一般利用者向けのサービスだけでなく、BIツールや従業員向けの管理システムなど、不特定多数の利用を想定していない管理・運用側のシステムも被害に遭っている点が特徴です。
株式会社マクニカ セキュリティ研究センターの集計では、国内法人のWebシステムからの個人情報漏えいの公表件数は2026年に入り10月6日時点で119件にのぼり、うち81件が7月以降に集中しています。特定の企業を狙ったものではなく、個人情報を扱うWebシステムを手当たり次第に狙っている可能性が高いと分析されており、規模や業種を問わず注意が必要です。
確認されている主な手口は次のとおりです。
- 既知の脆弱性の探索と攻撃試行、設定ファイルやバックアップファイルの窃取
- API経由の不正操作（権限変更、不正アカウントの作成、認証トークンの改ざん、他システムから窃取したAPIキーの悪用など）
- BIツール「Metabase」のSQLインジェクション脆弱性（CVE-2026-72898）の悪用
JPCERT/CCが呼びかけている対策のうち、多くの組織に共通するものを抜粋します。
- 既知の脆弱性の影響を受けるバージョンで運用している場合は、修正済みのアップデートを適用する
- 業務上必要のない管理機能などがインターネットに公開されている場合は、公開を停止する
- サービスの利用地域が限定される場合は、アクセス元の地域を制限する
- APIにはアクセス制御とレート制限を設け、APIトークンは必要最小限の権限と有効期限にとどめる
- 不正アクセスの検知体制と、検知時の初動対応を見直す
- 保存期間を過ぎたデータや利用目的を終えたデータを残さない
公開サーバーや管理画面をお持ちの組織では、今回の注意喚起を機に、公開範囲・アップデートの適用状況・ログの監視体制をあらためてご確認ください。詳細は以下の参考情報をご覧ください。
■ JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日）
https://www.jpcert.or.jp/at/2026/at260030.html
■ 株式会社マクニカ セキュリティ研究センター「相次ぐWEBシステムからの情報漏洩事案について」（2026年10月7日）
https://security.macnica.co.jp/blog/2026/10/web-incidents2026.html
本件に関するご相談は、お問い合わせフォームよりご連絡ください。