この解説について
JPCERT/CC
JPCERT/CC は、
何が起きているのか
2026年
注意喚起には、
狙わ
こ
確認されている主な手口
注意喚起では、
- 既知の
脆弱性 （ソフトウェアの 弱点） を 探して 悪用する。 設定 ファイルや バックアップファイルを 盗む など、 管理の 不備を 突く 攻撃も 含ま れ る 可能性が ある - スマートフォンの
アプリを 解析して、 アプリが や り と り す る サーバーの 窓口 （API） を 調べ、 画面から は で き な い 操作 （利用者の 権限の 変更、 不正な アカウントの 作成など） を 行う。 ほか の システムから 盗ん だ API キーを 使う 例も ある - データ
分析 ツール Metabase の 脆弱性 （CVE-2026-72898） を 悪用す る （JPCERT/CC は 2026年 8月 14日にも、 こ の 脆弱性の 注意喚起を 出して いる） - 公開して
い る Web サーバーから つ な が る サーバーに、 外から 命令を 実行で き る 不正な プログラム （Web シェル） を 置く （10月 9日に 追記）
10月15日の調査でわかったこと
JPCERT/CC は、
サーバーからは、
サービスを使っている私たちにできること
注意喚起と
利用者としては、
- 流出の
お 知ら せ が 届い たら、 メールの リンクで は な く 公式 サイトで 確か める - パスワードは
サービスご と に 変え、 使え る サービスで は パスキーや 2段階認証を 設定する - 運転免許証など
の 画像が 流出し た 可能性が あ る ときは、 信用情報機関へ の 「本人申告」 を 考える
システムを運用する組織・開発者の方へ（要点）
注意喚起と
- 業務で
使っ て い な い サービスや 管理機能を、 インターネットに 公開し ない。 脆弱性の あ る 製品は、 修正版に する - サービスを
使う 地域が 限ら れ る なら、 アクセス 元の 地域を 制限する - API には、
時間あ た り の リクエスト 数の 制限を 設ける。 ログイン・ パスワードの 再設定・ SMS の 送信・ 検索など、 悪用さ れ や す い 機能に は 個別に 制限を 設ける - 公開して
い な い API も 含め、 す べ て の 窓口で アクセス 制御を 行い、 許可し た 利用者と 操作だけ を 受け 付ける。 権限は 必要最小限に する - API の
トークンに は 有効期限を 設け、 不要に なっ た もの や 漏え い が 疑わ れ る ものは、 す ぐ に 無効に で き る よ う に する - アプリに
秘密の 鍵や 長く 有効な 認証情報を 埋め 込ま ない。 署名や 難読化だけ に 頼らず、 サーバー 側で 認証と 認可を 行う - 外部の URL の
内容を 取得す る 機能では、 アクセス 先を 制限し、 転送 （リダイレクト） 先も 確か める - 侵入さ
れ た あ と に 被害が 広が ら な い よ う に す る 対策と、 不正 アクセスの 検知・ 初動対応の 体制を 見直す。 保存期間を 過ぎ た データや、 使い 終わっ た データを 残さ ない - 従業員向け
の 管理 システムや BI ツールなど、 ふ だん は 外から 使わ な い システムも 点検する
出典
- [1]JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」原文を開く
- [2]JPCERT/CC「連続不正アクセス事案の攻撃手法に関する調査（JPCERT/CC Eyes）」原文を開く
公的機関や公式の案内は、更新されることがあります。最新の内容は原文で確かめてください。