【EC最新ニュース2026】JPCERT/CCが国内組織への不正アクセスに注意喚起、10月23日の更新で攻撃の例が1つ増えています

2026年11月3日

JPCERT/CCは、10月8日に注意喚起を出し、10月23日に更新しています

JPCERT/CCが、国内組織で相次ぐ不正アクセスについて注意喚起を出しています。
番号は「JPCERT-AT-2026-0030」です。
ページの上には、公開が2026年10月8日、更新が10月23日と書かれています。
改訂履歴には、10月9日にも追記したと書かれています。
題名は次のとおりです。

「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」

出典: JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026年10月8日公開・10月23日更新
https://www.jpcert.or.jp/at/2026/at260030.html

注意喚起は、個人情報などの漏えいが相次いでいることを受けて出ています

概要の節は、なぜこの注意喚起を出したかから始まります。
最初の2文を、原文のまま写します。

各被害公表や報道のとおり、直近2026年9月前後で国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいます。
複数の製品やサービスで被害が発生している中、技術的な情報の共有が不足しており、把握している情報は限定的かつ断片的であるものの、攻撃被害の拡大等の状況に鑑み、下記のとおり注意を促す次第です。

JPCERT/CC自身が、把握している情報は限定的で断片的だと書いています。
被害に遭った組織の名前や数は、このページには書かれていません。

同じ概要の節には、ランサムウェア攻撃などとは別に取り上げる、とも書かれています。
対象は、大量の個人情報などの漏えいにつながっている攻撃の類型です。

被害に遭うシステムの例として、次の1文があります。

一般利用者向けのアプリのほか、BI（ビジネスインテリジェンス）ツールや従業員向け管理システムなど、管理・運用側で不特定多数の利用者からのアクセスを想定していないシステムが被害に遭い、内部に保存していた情報が漏えいするケースもあります。

10月23日の更新では、ケースEが加わりました

10月23日の更新の中身は、概要の節の「更新」の項に書かれています。

「II. 確認されている攻撃手法や攻撃の痕跡」に次の情報を追加しました。
– 「ケースE：AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を追加
– ケースBに不審な送信元IPアドレスなどを追加

改訂履歴では、10月23日に参考情報の節にも追記したとされています。
同じ日に、攻撃手法の節の記載を整理したとも書かれています。
10月9日の追記がどの文かは、ページの上では分かりません。

確認されている攻撃の例は、ケースAからケースEの5つです

攻撃手法の節は、ケースAからケースEの5つに分かれています。
節の頭には、次の注記があります。

※本項の情報は、JPCERT/CCに寄せられた情報などに基づくものです。すべての事案で同一の攻撃手法が使用されていることを示すものではありません。また、今後の状況などを踏まえて情報を追加する可能性があります。

5つの見出しを、原文のまま並べます。

ケースA：さまざまなソフトウェアの既知の脆弱性を探索し攻撃試行するもの
ケースB：API経由での不正な操作
ケースC：MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）
ケースD：公開Webサーバーからアクセス可能なアプリケーションサーバー上にWebシェル設置
ケースE：AIを用いたペネトレーションテスト基盤を悪用した攻撃試行

ケースBには、報告を受けている手口が3つ書かれています。

（a）一般公開しているスマートフォンアプリを解析しAPIのエンドポイントやキーを特定する
（b）本来画面操作では実行できない内部APIに対する攻撃
（c）他のシステムの侵害で窃取したAPIキーを使用する

各ケースには、不審な送信元のIPアドレスも載っています。
ケースBとケースEには、そのIPアドレスについて次の注記があります。

※下記IPアドレスは調査時点では正規利用されている可能性もあります。
※これまでに攻撃を受けたかを確認するために下記IPアドレスからアクセスがあったかを調査ください。

推奨されている対策は、API向けの6つと汎用の7つです

対策の節は、報告されている手口に基づいて対策を勧めています。
API経由のアクセスへの対策は、次の6つです。

– APIへのアクセスには単位時間あたりのリクエスト件数を制限し、短時間に繰り返されるアクセスや大量実行を防止する
– ログイン、パスワードリセット、SMS送信、検索処理などの負荷や悪用のリスクが高い機能には個別にレート制限や利用回数制限を設定する
– 非公開APIを含む各APIエンドポイントでアクセス制御を実施し、許可された利用者やHTTPメソッドからのアクセスのみを受け付ける
– API利用者やAPIトークンには必要最小限の権限のみを付与する
– APIトークンには適切な有効期限を設定し、長期間有効なトークンの使用を避ける
– 不要となった、または漏えいが疑われるAPIトークンは速やかに無効化できるようにする

続けて、汎用的な対策が7つ並んでいます。

– サービスの利用地域が限定される場合は、アクセス元の地域を制限する
– 既知の脆弱性の影響を受けるバージョンで運用している場合は、修正済みのアップデートを適用する
– Webサーバー等が侵害された後の横展開対策を見直す
– 不正アクセス検知体制の点検と検知時の初動対応を見直す
– 漏えい発生時を想定した、平時からの顧客への二次被害防止等の呼びかけ（多要素認証など）
– 業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合、公開を停止する
– 法令や契約等で定められた保存期間を過ぎたデータや利用目的を終えたデータを残さない

節の最後では、従業員向けのシステムやBIツールにも点検を勧めています。
調査依頼の節では、不審なアクセスや侵害が疑われる事象の情報を、JPCERT/CCへ寄せるよう呼びかけています。
インシデント対応の相談も、JPCERT/CCへ連絡するよう書かれています。

IPAも、10月9日に点検と対策をまとめています

IPAは、2026年10月9日に、不正アクセスによる漏えい等の事案を踏まえたページを出しています。
JPCERT/CCの注意喚起は、このページの「政府機関等からの注意喚起」の欄に並んでいます。

出典: IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」2026年10月9日
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html

IPAのページは、点検の1つとして、使っている外部サービスの洗い出しを挙げています。

・自組織が利用している外部サービスをすべて洗い出してください。
クラウドサービス、VPNサービス等様々な分類があること、また組織全体、部署単位での利用がありうることを踏まえ、できる限り網羅的に把握してください。

外部サービスごとに、ログとアカウントに異常がないかを見るよう書かれています。

作ったはずのないアカウントが存在しないか、削除・無効化されているはずのアカウントが有効化されていないか等の異常を確認してください。

その後の対策の欄には、外部サービスについて「認証機能（多要素認証・パスワード）の強化」が挙がっています。
IPAのページにも、ネットショップやECの名前は書かれていません。

店に当てはめると（キクシル編集部の整理）

JPCERT/CCとIPAが勧めている事項のうち、店の運営にも当てはまりそうなものを並べています。
並べたのは、どちらかの原文に書かれている事項だけです。

店で使っている外部サービスを、すべて洗い出す。IPAの点検の『外部サービスの洗い出し』の項目です
それぞれのサービスで、ログインの記録とアカウントを見る。作った覚えのないアカウントがないかも見ます
外部サービスのログインに、多要素認証とパスワードの強化を当てる。IPAの対策の欄の項目です
使っている仕組みが既知の脆弱性の影響を受ける版のままなら、修正済みのアップデートを当てる。JPCERT/CCの汎用的な対策の項目です
業務で使っていない管理機能がインターネットに公開されていれば、公開を止める
保存期間を過ぎたデータや、使い終わったデータを残さない
不審なアクセスに気づいたら、JPCERT/CCやIPAの相談窓口に相談する

上の7つはキクシル編集部の整理で、公式の記載ではありません。
店の規模や使っているサービスによって、どれが当てはまるかは変わります。

🔴 公式に書かれていないこと

次の点は、JPCERT/CCの注意喚起とIPAのページの本文には書かれていません。

ネットショップ・EC・特定のECプラットフォームの名前は書かれていません
被害に遭った組織の名前と数は書かれていません
10月9日の追記がどの文かは、改訂履歴に節の名前があるだけで書かれていません
攻撃者が誰かは書かれていません
店がどこまで対策をすればよいかは書かれていません

不審なIPアドレスとUser-Agentの値は、ここには写していません。
値は、JPCERT/CCのページの原文に載っています。

出典

一次情報として使ったのは、JPCERT/CCとIPAの次のページです。
本文は、2026年11月3日の13時57分に取ったものを使っています。

JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026年10月8日公開・10月23日更新
https://www.jpcert.or.jp/at/2026/at260030.html
IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」2026年10月9日
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html

次の事項は「未確認」として扱い、推測で補っていません。