概要
JPCERT/CCが2026年10月8日に公表した「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」では、2026年9月前後に相次いだ国内組織の不正アクセス事案について、その共通点と注意点が整理されています。
今回の注意喚起で特に注目されるのは、事案の背景に「従来のランサムウェアや一般的な侵入」だけではなく、API経由の不正操作、既知脆弱性の悪用、公開WebサーバーからのWebシェル設置、SQLインジェクションなど、複数の攻撃手法が混在している点です。個人情報が大量に漏えいする事案が増えている背景には、一般利用者向けアプリ以外にも、BIツールや従業員向け管理システムなど、管理側が十分に想定していないシステムや権限が悪用されていることが関係しています。
本記事では、JPCERT/CCが示した攻撃手法の特徴と、企業が今すぐ見直すべき対策を整理します。危険なケースでは、脆弱性対策だけではなく、API・認証・ログ監視・公開範囲の見直しが重要になります。
目次
1. 何が起きたか
JPCERT/CCは、直近の国内組織における不正アクセス被害について、技術的な情報が限定的である一方、被害の拡大と個人情報漏えいの懸念が大きいとして注意を呼びかけています。特に、情報漏えいが発生している事例では、攻撃手法が多様であり、単一の脆弱性や共通の感染経路であるとは限らないとしています。
今回の注意喚起が示しているのは、攻撃対象が「一般利用者向けのアプリ」だけでなく、BI（ビジネスインテリジェンス）ツールや従業員向け管理システム、公開Webサーバー配下のアプリケーションサーバー、内部APIにまで広がっている点です。こうしたシステムでは、アクセス制御やレート制限を見落としやすく、悪用された場合の影響範囲が大きくなります。
JPCERT/CCは、各事案で同一の攻撃手法が使われているわけではないと認識しつつ、以下の4つの攻撃類型を注意喚起の中心として挙げています。
- ケースA：既知の脆弱性を探索し、攻撃試行を行う
- ケースB：API経由で不正な操作を行う
- ケースC：MetabaseのSQLインジェクション脆弱性を悪用する
- ケースD：公開Webサーバーからアクセス可能なアプリケーションサーバー上にWebシェルを設置する
これらは一見異なるものですが、共通して「認証の見落とし」「権限制御の甘さ」「公開範囲の誤設定」「ログ監視の弱さ」が前提にあります。そのため、企業としては個別の脆弱性対策にとどまらず、アクセス制御の見直しが重要です。
2. 確認されている攻撃手法
ケースA：既知の脆弱性の探索と攻撃試行
JPCERT/CCは、攻撃者が特定の1つの脆弱性だけでなく、対象組織で利用されている複数のソフトウェアや設定の不備を洗い出し、攻撃を試みている可能性があるとしています。対象はアプリケーションや管理システムだけでなく、設定ファイル、バックアップファイル、管理画面の誤設定なども含まれます。
このタイプでは、脆弱性の有無を定期的にスキャンすることはもちろん、以下の確認が重要です。
- 環境設定ファイルやバックアップファイルが公開されていないか
- 管理画面や認証系がインターネットに露出していないか
- 既知脆弱性が残っていないか
- セキュリティ更新が適用されているか
ケースB：API経由での不正な操作
JPCERT/CCは、一般公開しているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定し、通常の画面操作では実行できない操作を試す事案を報告しています。具体的には次のような行為が確認されています。
- ユーザー権限の変更
- 不正なアカウント作成
- ヘッダー条件や認証トークンの不正な付与
- NoSQL インジェクションによるアカウント情報の探索
- 窃取したAPIキーの再利用
攻撃者は、APIの認証や権限設計が甘い環境を狙います。特にモバイルアプリや社内管理画面のAPIでは、以下のような観点を確認する必要があります。
- 事前に許可された利用者やHTTPメソッドだけを受け付けているか
- APIトークンやキーに必要最小限の権限しか付与されていないか
- 一定時間内のリクエスト数に制限が設けられているか
- ログインやパスワードリセット、検索処理などの操作にレート制限があるか
ケースC：MetabaseのSQLインジェクション脆弱性
JPCERT/CCは、Metabaseを対象としたSQLインジェクションの脆弱性（CVE-2026-72898）も注意喚起の対象としています。BIツールは業務用の分析基盤として利用されるため、管理者が「利用者が入力する値」ではなく、システムの内部データにアクセスできるような設定を持っている場合、影響範囲が大きくなります。
BIツールや分析基盤はデータが集約されやすく、悪用されると顧客情報や業務データが一気に漏えいする可能性があります。特にインターネットに公開されているBIツールや管理系アプリケーションでは、アクセス制御とパッチ適用が徹底されているかを確認する必要があります。
ケースD：公開WebサーバーからのWebシェル設置
JPCERT/CCは、公開Webサーバーからアクセス可能なアプリケーションサーバー上にWARファイルが設置され、そこに含まれるJSPが簡易Webシェルとして機能する事案を確認しています。Webシェルは特定のクエリパラメータを受け取り、シェルコマンドを実行できる仕組みを持つため、侵入後の横移動や情報窃取に悪用されます。
このタイプは、公開Webサーバーとバックエンドサーバーの分離不足や、ファイルアップロードの脆弱性が前提になることが多く、Webサーバー環境の制限やファイル検査が重要になります。
3. 企業が今すぐ確認すべき対策
JPCERT/CCの注意喚起を踏まえると、企業が最優先で確認したいのは次の4点です。
1）APIと管理機能へのアクセス制御を厳格化する
- APIトークンやキーに必要最小限の権限を付与しているか
- 内部APIや管理用APIをインターネットに公開していないか
- 特定のIPや利用者だけがアクセス可能になっているか
- レート制限や利用回数制限を設けているか
2）脆弱性対策とパッチ適用を優先する
- 既知の脆弱性や設定の不備が残っていないか
- Webアプリ、BIツール、CMS、管理システムの更新状況を把握しているか
- 重要な公開サービスに対してセキュリティ更新を優先適用しているか
3）ログとアクセスの異常検知を強化する
- APIの不正リクエスト、異常なUser-Agent、アクセス数の急増を監視しているか
- 不審な送信元IPアドレスや地域の異常をアラート化しているか
- 管理機能の操作ログや認証ログを定期的に確認しているか
4）公開サーバーと内部サーバーの境界を明確にする
- 公開Webサーバーとアプリケーションサーバーを分離しているか
- Webシェルや不審なWARファイルが保存されていないか
- 設定ファイルやバックアップファイルが外部からアクセス可能になっていないか
最近の攻撃では、「アプリケーションそのものの脆弱性」だけでなく、「APIの設計」「権限の付与」「インターネット公開の範囲管理」が大きな鍵になります。特にIT資産が増え、管理者が利用しているツールが増えるほど、境界管理の甘さがそのまま情報漏えいに繋がります。
4. まとめ
JPCERT/CCの注意喚起は、今回の不正アクセスが一つの特定の攻撃手法に偏るのではなく、複数の経路で侵入や情報漏えいが進行している可能性を示しています。特に一般利用者向けアプリだけでなく、BIツールや従業員向け管理システムに対するアクセス制御の見直しが急務です。
企業は、単に「脆弱性を修正したか」だけでなく、APIの利用制限、権限管理、ログ監視、公開範囲などの見直しを一貫して行う必要があります。攻撃者は既知の脆弱性や設定ミスを組み合わせて侵入を試みるため、被害に繋がる前の早期検知が重要です。
今回の注意喚起は、脆弱性の修正だけでは防ぎ切れない「アクセス制御と運用の甘さ」が悪用される典型例です。APIや管理機能の権限設計、ログ監視、公開範囲の見直しを早めに行うことで、情報漏えいの拡大を大きく減らせます。YJKでは、アクセス制御の棚卸しやログ設計、インシデント対応支援を通じて、対策の優先順位整理をサポートします。