2026年10月9日、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が、国内組織で相次ぐ不正アクセスに関する見解と注意喚起を更新・公表した。大量の個人情報漏えいにつながる攻撃が急増しているとし、各組織へ注意を呼びかけている。
国内組織で急増する不正アクセス 相次ぐ漏えい被害と判明した巧みな手口
JPCERT/CCの発表によれば、2026年9月前後から国内の複数組織において、不正アクセスによる個人情報等の漏えい被害が相次いで発生している。
今回の一連の被害は単一の共通する脆弱性を突くものにとどまらず、標的ごとに多様な既知の脆弱性を探索したり、機器の管理不備を悪用したりするなど多角的な手法で攻撃が試行されていると言える。
被害が広がっている背景として、一般利用者向けアプリだけでなく、運用側が不特定多数からのアクセスを想定していないBIツールや従業員向け管理システムまで標的になっている点が挙げられる。
具体的には、スマートフォンアプリの解析によるAPIエンドポイントやキーの特定、NoSQLインジェクション（※1）を用いたブラインド探索によるアカウント特定、さらにMetabaseの脆弱性悪用などが確認されている状況だ。
追記された最新情報では、公開Webサーバーからアクセス可能なアプリケーションサーバー上へ、悪質な簡易Webシェル（※2）として動作するWARファイルが設置された事案も明らかになった。
これらの攻撃では特定のクエリパラメーターを取得してシェルコマンドを実行させるなど、大量データ漏えいに直結する危険な操作が行われている。
JPCERT/CCは不審な送信元IPアドレスやUser-Agentなどの具体的な攻撃痕跡を複数公開した。
自動化スクリプトなどを用いた試行も散見されており、各組織の管理者は自社システムが攻撃の標的になっていないか至急点検を行う必要がある。
※1 NoSQLインジェクション：リレーショナルデータベース以外のデータを格納するNoSQLに対して不正なクエリを挿入し、意図しないデータ操作や情報窃取を行う攻撃手法。
※2 Webシェル：Webサーバー上で任意のコマンドを実行するために設置される不正スクリプト。攻撃者が遠隔からサーバーを不正操作する足がかりとなる。
適切なアクセス制御がもたらす防御効果と運用負荷等のリスクおよび今後の展望
今回示された対策を導入する主なメリットとしては、APIへのリクエスト制限や最小権限の付与徹底により、不正アクセスや未知の攻撃による大量データの漏えいリスクを大幅に低減できる可能性が挙げられる。 平時から不要な管理機能の公開停止やデータの保持期限厳守を徹底することで、万が一侵入された際も被害の横展開を防ぐことが可能になると考えられる。
一方で想定されるデメリットやリスクとしては、厳格なアクセス制御や権限管理の運用に伴う開発・保守コストの増大、およびユーザーの利便性低下などが懸念される。 特に、既存システムに対してレート制限やトークン有効期限を再設計・実装する作業は、人的リソースの限られた組織にとって少なくない負担となる可能性がある。
将来の展望として、攻撃手法の多様化・自動化は今後さらに加速すると予測される。 単なる境界防御に依存せず、APIセキュリティの強化や検知体制の点検、多要素認証の導入といった包括的なゼロトラスト思想に基づくセキュリティ基盤の確立が、企業の信頼維持に向けた有効なアプローチになるとみられる。
JPCERT/CC 直近で相次いでいる国内組織における不正アクセスに関する注意喚起
関連記事：
