概要
IPAは2026年10月9日、不正アクセス（Unauthorized Access）による情報漏えい（Data Breach）等の事案を踏まえ、企業が速やかに実施すべき対策を公表しました。IPAは、現段階で特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定していない一方、公表事例の傾向から外部公開アプリケーションや外部サービス、アカウント侵害（Account Compromise）に注意を促しています。情シス担当者は、外部公開アプリケーション、クラウドサービスやVPNなどの外部サービス、アカウント、保有データをできるだけ早く点検してください。
点検対象の全体像
IPAが示す速やかな点検範囲を、実務上の確認観点に整理すると次のとおりです。以下はIPAの注意喚起に沿ったYJKの整理であり、各社の環境に合わせて確認範囲を調整してください。
- 外部公開アプリケーション: ログ異常、未適用パッチ、公開範囲を確認します。
- 外部サービス: クラウドサービス、VPNサービス、業務SaaSなどの利用状況とログ保持期間を確認します。
- アカウント: 不審なアカウント、有効化状態、管理者権限、多要素認証の適用状況を確認します。
- 保有データ: 不要データの残存、アクセス権限、アクセスログ、暗号化の適用状況を確認します。
IPAが注意喚起した背景
IPAの注意喚起は、個別企業のインシデントだけではなく、多くの組織に共通するリスクを前提にしています。特に、大量の個人情報を取り扱うオンラインサービスやアカウントサービス等のシステムに不正侵入され、個人情報を含むデータが窃取される事案が相次いでいるとされています。
IPAは、大量の情報資産を保有する事業者や機微情報を扱う事業者等の経営者に対し、サイバーセキュリティリスクを自社のリスクマネジメントにおける重要課題として認識し、経営者のリーダーシップのもとで対策を進めるよう求めています。
情シス担当者にとって重要なのは、今回の注意喚起を「製品アップデート情報」としてではなく、「自社の公開面・認証・ログ・データ保有を点検するための緊急チェックリスト」として扱うことです。
まず確認すべき前提
今回の注意喚起では、特定のプロダクト名、攻撃者名、脆弱性名、漏えい件数は示されていません。未公表の内容を推測して対策を狭めるのではなく、IPAが示した点検対象に沿って確認範囲を広く取ることが重要です。
優先して見るべき観点は、次の4つです。
- インターネットから到達できる外部公開アプリケーション
- クラウドサービス、VPNサービスなどの外部サービス
- 管理者、外部委託先、API連携を含むアカウント
- 個人情報や機微情報を含む保有データ
攻撃の入口が1つとは限りません。公開アプリケーションの脆弱性、弱い認証、不要なアカウント、過剰な権限、ログ不足が組み合わさると、侵害に気づくまで時間がかかります。
速やかに確認すること1：外部公開アプリケーション
まず、自社が独自に構築・運用している外部公開アプリケーションやサービスがあるかを確認します。情シス部門が把握しているものだけでなく、事業部門が個別に導入したサービス、過去の検証環境、委託先が運用しているサイトも確認対象です。
速やかに確認する項目は次のとおりです。以下のチェック項目には、IPAの記載に沿ったYJKの実務補足を含みます。
- 外部公開アプリケーションやサービスの一覧があるか
- 公開URL、ドメイン、管理画面の公開状態を把握しているか
- 各アプリケーションの直近ログに異常がないか
- エラー出力量やアクセス量が平時と比べて増えていないか
- 管理画面へのログイン失敗や不自然なアクセスがないか
- 構成要素に未適用の脆弱性対応パッチがないか
IPAは、ログ確認では直近1か月、その後3か月といったように、段階的に対象範囲を広げることを示しています。また、今後複数回の調査を行う可能性も踏まえ、誰がどのように調査できるかを把握しておくことも重要です。
パッチ確認では、OSだけでなく、Webサーバー、アプリケーションサーバー、データベース、ライブラリ、プラグイン、API連携部分など、構成要素単位で確認します。未適用の脆弱性対応パッチがある場合は、できるだけ速やかに適用してください。
速やかに確認すること2：外部サービスとアカウント
次に、自組織が利用している外部サービスを洗い出します。IPAは、クラウドサービス、VPNサービスなどさまざまな分類があり、組織全体だけでなく部署単位での利用もあり得ることを踏まえ、できる限り網羅的に把握するよう求めています。
確認対象の例は次のとおりです。
- クラウドサービス
- VPNサービス
- 業務SaaS
- ファイル共有サービス
- メール配信サービス
- 認証基盤
- 開発・運用管理サービス
- 外部委託先が利用する管理サービス
サービスごとに、ログの保有期間、サービス提供者側で確認できるログ、利用者側で確認できるログ、確認担当者、確認方法を整理します。ログイン失敗の量、ログイン元IPアドレス、ログイン時間、通常とは異なる操作など、平時との差異を確認してください。
アカウントについては、次の異常がないかを確認します。
- 作ったはずのないアカウントが存在していないか
- 削除済みまたは無効化済みのはずのアカウントが有効になっていないか
- 退職者や異動者のアカウントが残っていないか
- 管理者権限を持つアカウントが不自然に増えていないか
- 多要素認証が無効な管理者アカウントがないか
- API連携用アカウントや外部委託先アカウントの権限が過大ではないか
作ったはずのないアカウントや不自然な有効化が見つかった場合は、操作ログの確認も並行して行うと有効です。
速やかに確認すること3：保有データ
IPAは、今回の多くの事案が情報漏えいにつながっていると説明しています。窃取された情報は悪用されるだけでなく、「窃取した情報を公開する」と脅迫されたり、不正売買されたりするなど、二次被害が拡大する傾向があります。
そのため、入口対策だけでなく、保有データの再点検も必要です。基本原則は「不要な情報は持たない」ことです。
速やかに確認する項目は次のとおりです。以下のチェック項目には、IPAの記載に沿ったYJKの実務補足を含みます。
- 個人情報や機微情報を保管している場所を把握しているか
- 利用目的が終わったデータや古いデータが残っていないか
- 検証用にコピーした本番データが放置されていないか
- データにアクセスできる人が多すぎないか
- データアクセスログを取得しているか
- ログの保持期間は十分か
- 必要なデータが暗号化されているか
データを必要最小限にすれば、攻撃を完全に防げなかった場合でも、漏えい時の被害範囲を抑えやすくなります。調査対象も明確になり、インシデント対応の初動も進めやすくなります。
異常を見つけた場合の対応
外部公開アプリケーションや外部サービスで異常なログを見つけた場合、または不審なアカウントを発見した場合は、軽く扱わないことが重要です。
IPAは、異常なログやアカウントの発見があった場合、速やかにセキュリティインシデントと判定し、インシデント対応を進めるよう求めています。情報漏えいの可能性を考慮し、専門のセキュリティベンダーに詳細調査を依頼することも強く推奨しています。
社内で最初に行うべき対応は次のとおりです。
- 該当ログを保全する
- 影響が疑われるシステムやアカウントを特定する
- 不審なアカウントを不用意に削除せず、証跡を残す
- 関係者への連絡経路を確認する
- 経営層に状況を共有する
- 外部専門家への相談を検討する
特に注意すべき点は、証拠を消さないことです。緊急時ほどアカウント削除や設定変更を急ぎたくなりますが、侵害経路や影響範囲の確認に必要な情報が失われる可能性があります。
次に整備すること
緊急点検の後は、継続的な対策に移ります。一度だけ確認して終わりにすると、時間がたつにつれて同じ問題が再発します。
外部公開アプリケーションでは、公開範囲の見直し、多要素認証とパスワード管理の強化、アカウント権限の見直し、API連携等の構成要素単位での管理状況確認、ログ取得内容と保持期間の見直しを進めます。
外部サービスでは、認証機能の強化、アカウント付与範囲の見直し、アカウント棚卸の運用見直し、API連携や外部連携アプリの確認、ログ取得内容と保持期間の見直しを行います。
保有データでは、データを持ち続ける必要があるか、保管場所は適切か、アクセスログを取得できているか、保持期間は十分か、暗号化が必要なデータに適用されているかを確認します。
加えて、当面は公的機関やセキュリティベンダー等から、不審なIPアドレスやログの痕跡など、調査に活用できる情報が公表される可能性があります。情報収集の体制も強化してください。
経営層に伝えるべきポイント
今回の注意喚起は、情シス部門だけで完結する話ではありません。IPAは、サイバーセキュリティリスクを自社のリスクマネジメントにおける重要課題として認識し、経営者のリーダーシップで対策を進めることを求めています。
情シス担当者は、経営層に次の3点を伝えるとよいでしょう。
- 情報漏えいは、システム障害ではなく事業リスクです
- 自社だけでなく、国外拠点、グループ会社、委託先、取引先を含むサプライチェーン全体を見る必要があります
- 平時と緊急時の関係者とのコミュニケーションを決めておく必要があります
IPAは、経済産業省の「サイバーセキュリティ経営ガイドライン」などを参考に、経営者のリーダーシップのもとで取り組みを進めることも示しています。また、サプライチェーン強化に向けたセキュリティ評価制度（SCS評価制度）について、2027年3月の制度開始に向けて準備を進めているとしています。
まとめ
IPAは2026年10月9日、不正アクセスによる情報漏えい等の事案を踏まえ、企業が速やかに実施すべき対策を公表しました。現段階では、特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていません。
そのため、情シス担当者は外部公開アプリケーション、外部サービス、アカウント、保有データを横断して確認する必要があります。YJKとしては、被害拡大の兆候を早く把握するため、外部公開アプリケーションのログ異常、外部サービスの不審なアカウント、保有データの不要な残存から着手することを推奨します。
異常ログや不審なアカウントを見つけた場合は、速やかにセキュリティインシデントとして扱い、必要に応じて専門のセキュリティベンダーへの相談を検討してください。
今回の点検は一時対応で終わらせず、認証強化、権限見直し、ログ保持、データ最小化、サプライチェーンを含む体制整備につなげることが重要です。
今回のIPA注意喚起は、特定製品だけでなく、公開面・認証・ログ・データ保有を横断して見直す必要があることを示しています。YJKでは、外部公開アプリやクラウドサービスの棚卸、ログ確認、MFA（多要素認証）・権限設計の見直しを現場に合わせて支援します。