要点
- 政府の国家サイバー統括室は、最近の個人情報の漏えいで、基本的な対策が足りなかったことが原因とみられる例を複数確かめたと発表した。
- 攻撃する側は Web サイトを広く調べて入れる所を探しており、そこに AI が使われた可能性が高いと、国家サイバー統括室はみている。
- 9月から10月にかけて、カーシェアの Web システムや飲食店のアプリへの不正アクセスで大量の会員情報が漏れたと発表が続いており、規模の小さな事業者も自分のサイトやアプリを見直す時期だ。
何が起きたか
2026年11月5日、内閣官房の国家サイバー統括室（NCO）が、個人情報の漏えいにつながる不正アクセスへの対策をまとめた文書を出した。Web サイトやモバイルアプリでの基本的な対策を、きちんと行うよう求める内容だ。宛先は、Web サイトやスマホのアプリで個人情報を扱う事業者と、その IT・セキュリティの担当者だ。
ITmedia NEWS と INTERNET Watch の報道によると、国家サイバー統括室は最近の漏えいを調べ、基本的な対策が十分でなかったことが原因とみられる例を複数見つけたという。原因とされたものは、大きく2つに分けられる。ひとつは日々の手入れの問題で、Web サイトなどの設定の誤りや、サポートの切れたソフト・欠陥が知られたままのソフトを動かし続けていたことだ。もうひとつは作り方の問題で、モバイルアプリを開発するときのセキュリティの備えが足りなかったことが挙げられている。
AI については、国家サイバー統括室は「可能性が高い」という見立てを示すにとどめている。標的を選ぶ段階や入り込む段階で、攻撃する側が AI を使っているとみられるという。それぞれの事件で AI が使われたと言い切ってはいない。文書はもうひとつ、弱点が重なることの怖さにも触れている。一つずつなら診断で軽く見られていた弱点でも、組み合わせて使われ、侵入につながったとみられる例があるという。
報道によると、対策は「運用・管理」「設計・開発」「委託先など（サプライチェーン）」の3つの分野で、合わせて8項目が示された。中身は「技術者向けの詳細」にまとめた。
国家サイバー統括室の注意喚起は、これが初めてではない。10月9日にも出ており、そちらは大量の個人情報や機微な情報を扱う事業者を主な相手とし、経営層にも対応を求めた。今回の文書は、Web サイトやアプリを作り、動かす現場で何をするかを、より具体的に示した形だ。
日本の利用者への影響
報道に出ている範囲では、文書が対象とした事件の社名は出ていない。そのため、下の例と文書との結びつきは、こちらの整理である。
- タイムズカー: 運営するタイムズモビリティは、9月25日に第1報を出した。9月29日の第3報では、約160万件のアカウントで、運転免許証の画像や、住所を確かめるための書類（公共料金の請求書など）の画像が漏れたことを確かめたとしていた。10月23日の第5報では、外部の専門機関によるフォレンジック調査（侵入の跡を調べる調査）を終え、Web システムにあった脆弱性が悪用されて起きたと判断している。外へ送られた跡がある本人確認書類の画像は、この第5報で約146万件に直された。
- 焼肉きんぐ: 運営する物語コーポレーションは10月20日の発表で、公式アプリが10月2日の朝から外部の第三者に断続的に攻撃されたと説明した。漏れた件数は、報道によると約1,079万件だ。物語コーポレーションは、アプリに氏名と電話番号を持たない作りに変えるとしている。
物語コーポレーションは、持っている個人情報を減らすとはっきり述べている。タイムズモビリティも第5報で、会員登録が済んだあとは本人確認書類の画像を持たない社内ルールに変えたとしている。国家サイバー統括室も10月の注意喚起で、持っている情報を減らせば被害の広がりを抑えられるとしている。会員として登録している人は、こうした会社を名乗るメールや SMS が来ても、リンクを開かないほうがよい。
今すぐやること
中小の事業者で、Web サイトや会員アプリを持つ人に向けて、国家サイバー統括室の8項目から、まず確かめたいことを並べる。
- 自社のサイトやアプリが何でできているかを一覧にする。 外部の会社に作ってもらった場合も、使っているソフトとその版を委託先に出してもらう。サポートが終わったものがあれば、入れ替えの期限を決める。
- 使っていない管理画面や機能は、外から見えないようにする。 ネットに出たままの管理画面は、見当のつきやすいログイン情報を使われたり、総当たり（パスワードを片っ端から試す攻撃）を受けたりして入られることがある。国家サイバー統括室は、こうした手口を別々に挙げている。
- アプリがつながるサーバーの入口（API）を確かめてもらう。 公開されたアプリを分解され、API の確認の甘さを突かれて情報を抜かれた例が報告されている。他人のデータを取れないか、大量に取り出されないかを、作った会社に確かめてもらう。
- 委託先や保守会社がつなぐ経路を洗い出す。 VPN（社外から社内のネットワークにつなぐ仕組み）やリモートデスクトップに MFA（パスワードのほかにスマホなどでも本人確認する仕組み）が付いているかを確かめる。
- 個人情報を扱う新しい機能は、公開の前に専門の検査を受ける。 そのうえで、持たなくてよい個人情報を減らす。
背景
国家サイバー統括室によると、最近の漏えいには、サポートの切れたソフトや、欠陥が知られたまま直していないソフトを使い続けるなど、基本的な対策が足りなかったことが原因とみられる例が複数ある。難しい新しい手口でなくても、前から言われてきた弱い所が狙われうるということだ。
そこに AI が加わると、攻撃する側は、たくさんのサイトを少ない手間で調べられる。規模が小さいからといって狙われないとは限らない。国家サイバー統括室が AI も使った継続的な診断を対策に入れたのは、守る側も同じ速さで弱い所を見つける必要がある、という考えからだとみられる。
技術者向けの詳細
報道（INTERNET Watch）が伝えた、国家サイバー統括室の8項目（2026年11月5日）を分野ごとにまとめる。
- 運用・管理
- IT 資産の把握と、脆弱性（ソフトの欠陥）の解消。ソフトの構成を管理し、CISA KEV（実際に悪用された欠陥の一覧）などで情報を集め続け、対処の優先順位と期限を決める。リモートから悪用できるライブラリやフレームワークの欠陥を特に重く見る
- 攻撃される面（アタックサーフェス）の定期的な棚卸しと最小化。不要な公開機能を止め、外から見える状態を監視し続ける
- 診断と監視を止めずに続ける（AI の活用も含む）。ログを使った監視を続け、異常に気づいたらすぐに調べて影響の範囲を確かめられる体制を作る。外部の監視サービス（EDR や MDR など）の利用も選択肢に挙がっている
- 設計・開発 4. セキュリティ・バイ・デザイン（要件を決める段階から、運用まで通してセキュリティを組み込む） 5. API を守る。認可（誰に何を許すか）の抜けをなくし、認証情報は安全に扱う。レート制限（短い時間に受け付ける要求の数の上限）で、使い過ぎや不正な使い方を止める 6. 公開前の脆弱性診断とペネトレーションテスト（侵入を試す検査）。見つかった問題を直したことを確かめてから本番に出す
- サプライチェーン 7. 委託先からの接続口を押さえる。外部の会社が入ってくる経路（VPN やリモートデスクトップなど）をすべて把握して MFA をかけ、求めるセキュリティの水準は契約の段階からはっきりさせておく 8. OSS・外部ライブラリの管理。委託して作るソフトは、中に入っている部品の情報（SBOM＝ソフトウェア部品表）を受け取れるよう契約で決める。深刻な欠陥が公表された日の動き方も、手順にしておく
- 前回の10月9日の注意喚起は、大量の個人情報や機微な情報を扱う事業者を主な相手とし、経営層にも対応を求めた。中身は、Web システムの欠陥への対応、委託先の管理、データの管理、認証の強化、権限を最小にすること、ログの監視、事故対応の体制づくりだった
