JPCERTコーディネーションセンター（JPCERT/CC）は2026年10月8日、国内組織で相次ぐ不正アクセスに関する注意喚起を発表した。2026年9月前後から、不正アクセスによる個人情報などの漏えい被害が相次いでいることを受けたものだ。JPCERT/CCは、把握している情報は限定的かつ断片的だとしている。そのうえで、被害が拡大している状況を踏まえて注意を促すという。
今回の注意喚起は、普段から断続的に発生しているランサムウェア攻撃などとは別に位置付けられている。大量の個人情報の漏えいにつながり、特に増加している恐れのある攻撃類型を取り上げた点が特徴だ。侵害原因や攻撃手法について新たな情報が判明した場合は、ページを更新するとしている。
BIツールや従業員向けシステムも被害に
JPCERT/CCによると、被害は一般利用者向けのアプリに限らない。BI（ビジネスインテリジェンス）ツールや従業員向け管理システムが被害に遭い、内部に保存していた情報が漏えいするケースもあるという。いずれも、管理・運用側が不特定多数の利用者からのアクセスを想定していないシステムだ。
JPCERT/CCは、こうしたシステムについても対策の点検を行う必要があると明記している。注意喚起の終盤でも同じ点を改めて強調している。
確認されている3つの攻撃類型
JPCERT/CCは、寄せられた情報などをもとに攻撃手法を3つのケースに整理している。ただし、すべての事案で同じ手法が使われたことを示すものではないと断っている。今後の状況に応じて情報を追加する可能性もあるという。
ケースAは、さまざまなソフトウェアの既知の脆弱性を探索して攻撃を試みるものだ。一つの共通する脆弱性を狙うのではなく、標的ごとにスキャンして悪用を試行している可能性がある。脆弱性ではない機器の管理不備を突き、環境設定ファイルやバックアップファイルの窃取を試みる例も挙げられている。
ケースCは、Metabaseに存在するSQLインジェクションの脆弱性（CVE-2026-72898）を悪用するものだ。この脆弱性も、APIへの不正なリクエストを通じて悪用される。JPCERT/CCは2026年8月14日に、この脆弱性に関する注意喚起を別途公表している。
公開アプリの解析から内部APIを狙うケースB
ケースBは、アプリの管理用APIに不正なリクエストを送り、情報を不正に書き換えるなどの手口だ。JPCERT/CCは、この手口について複数の報告を受けているという。起点として、一般公開しているスマートフォンアプリを解析し、APIのエンドポイントやキーを特定する手口が挙がっている。
そのうえで、本来は画面操作では実行できない内部APIを攻撃し、ユーザー権限の変更や不正なアカウントの作成を行う。ヘッダーの有無を切り替えたり、不正な形式の認証トークンを付けたりして、応答の違いを確かめる手口もある。NoSQLインジェクションによるブラインド探索でアカウント情報を特定する例や、他システムの侵害で窃取したAPIキーを使う例も示された。
注意喚起には、ケースBとケースCで確認された不審な送信元IPアドレスとUser-Agentの例も掲載されている。ただし、これらのIPアドレスは8〜9月ごろに悪用されていたものだ。調査時点では正規に利用されている可能性もあるとしている。
JPCERT/CCが推奨する対策
API経由のアクセスへの対策として、JPCERT/CCはまず単位時間あたりのリクエスト件数の制限を挙げた。ログイン、パスワードリセット、SMS送信、検索処理など悪用リスクの高い機能には、個別にレート制限や回数制限を設けることも推奨している。非公開APIを含む各エンドポイントでアクセス制御を行い、許可された利用者やHTTPメソッドだけを受け付けることも求めた。
APIトークンについては、必要最小限の権限の付与と適切な有効期限の設定を推奨している。不要になったトークンや漏えいが疑われるトークンを、速やかに無効化できるようにしておく必要もあるという。詳細はOWASPのガイドラインなどを参考にするよう案内している。
汎用的な対策としては、利用地域が限られるサービスでのアクセス元地域の制限や、修正済みアップデートの適用が挙がった。業務上必要のない管理機能などがインターネットに公開されている場合は、公開の停止も求めている。保存期間を過ぎたデータや利用目的を終えたデータを残さないことも示された。このほか、侵害後の横展開対策や、検知体制と初動対応の見直しも含まれる。
企業への示唆
情シス部門がまず確認したいのは、社内向けとして運用してきたシステムの公開状況だ。BIツールや従業員向け管理システムがインターネットから到達可能になっていないか、管理機能が外部に開いていないかを点検したい。自社でスマートフォンアプリを公開している企業は、アプリからAPIのエンドポイントやキーが特定されうる前提でアクセス制御を見直す必要がある。
APIトークンの棚卸しも欠かせない。長期間有効なトークンや過剰な権限を持つトークンが残っていないか、連携サービスや委託先に発行したものも含めて確認したい。注意喚起に掲載されたIPアドレスやUser-Agentとアクセスログを照合し、不審なアクセスの有無を調べることも有効だ。
不要なデータの削除は、漏えいが起きた際の被害規模を左右する。法令や契約で定めた保存期間を過ぎた個人データが残っていないかを確認し、削除のルールと実施状況を点検しておきたい。
ITトレンドでWAFについてチェック！[【種類別】おすすめのWAF製品13選を比較！ランキング・費用も解説]
不正アクセスの事例はこちらもチェック！[「楽天ドライブ」に不正アクセス、15,382アカウント分の保存データが取得・閲覧——管理用アカウントの認証情報が悪用、閲覧は8か月近くに及ぶ]
まとめ
JPCERT/CCは、国内で相次ぐ不正アクセスについて3つの攻撃類型を示した。既知の脆弱性の探索、公開アプリの解析を起点とした内部APIの悪用、Metabaseの脆弱性の悪用だ。一般向けアプリだけでなく、BIツールや従業員向けシステムも被害に遭っている。
対策の中心は、APIのレート制限やアクセス制御、トークンの管理にある。JPCERT/CCは新たな情報が判明すれば注意喚起を更新するとしており、今後の追記も確認しておきたい。
