2026.11.03 お知らせ

国内企業への不正アクセスが相次ぐ、JPCERT/CCが攻撃手法と確認ポイントを更新

JPCERT/CCは2026年10月23日、国内組織で相次いでいる不正アクセスに関する注意喚起を更新しました。

今回の更新では、AIを用いたペネトレーションテスト基盤を悪用した攻撃試行に関する情報が追加されています。インターネットに公開されたWebアプリケーションを対象に、脆弱性の探索や、設定ファイル・バックアップファイルの窃取を試みる攻撃などが確認されています。

また、管理用APIへの不正なリクエストや、管理・運用用システムの公開設定に関する問題も取り上げられています。

こうした攻撃は、大規模なサービスだけに関係するものではありません。企業のWebサイトや業務システム、外部サービスの管理方法にも、確認しておきたいポイントがあります。

この記事では、JPCERT/CCの注意喚起とIPAの関連情報をもとに、攻撃の概要と企業が取り組みたい対策を紹介します。

JPCERT/CCが不正アクセスに関する注意喚起を更新

JPCERT/CCは2026年10月8日、国内組織で相次いでいる不正アクセスについて注意喚起を公開しました。

その後、10月23日に情報を更新し、確認されている攻撃手法や攻撃の痕跡に関する情報を追加しています。

今回の注意喚起では、2026年9月前後から国内組織において、個人情報などの漏えいを伴う不正アクセス被害の公表が相次いでいることが説明されています。

JPCERT/CCによると、一般利用者向けのアプリケーションだけでなく、BIツールや従業員向け管理システムなど、もともと不特定多数の利用者からのアクセスを想定していないシステムが被害に遭い、内部に保存されていた情報が漏えいするケースもあります。

ここで注意したいのは、今回紹介されている攻撃手法が、すべての被害組織で共通して使われたわけではないという点です。

JPCERT/CCも、確認されている情報は報告などに基づくものであり、すべての事案で同一の攻撃手法が使用されていることを示すものではないと説明しています。

今回の更新は、特定の製品だけを対象とした脆弱性情報ではありません。インターネットに公開しているシステムや、外部から利用できる管理機能などを幅広く点検する必要性を示すものです。

確認されている攻撃手法

JPCERT/CCの注意喚起では、複数の攻撃手法や攻撃の痕跡が紹介されています。

その中でも、企業のWebサイトやシステム管理に関係するものを確認しておきましょう。

1. Webアプリケーションの脆弱性や管理不備を狙う攻撃

攻撃者は、インターネットに公開されているWebアプリケーションなどを対象に、さまざまな既知の脆弱性が存在しないかを探索し、悪用を試みているとされています。

また、脆弱性だけでなく、機器やシステムの管理不備を狙った攻撃も確認されています。

その例として挙げられているのが、環境設定ファイルやバックアップファイルの窃取です。

設定ファイルには、システムの接続先や構成情報、認証情報などが含まれている場合があります。バックアップファイルにも、データベースの内容や利用者情報などが保存されている可能性があります。

これらのファイルがインターネットからアクセスできる状態になっていれば、情報漏えいにつながる恐れがあります。

ただし、設定ファイルやバックアップファイルがサーバー内に存在するだけで、情報漏えいが発生したという意味ではありません。重要なのは、保存場所やアクセス権限が適切に管理され、外部から取得できない状態になっているかどうかです。

2. 管理用APIへの不正なアクセス

今回の注意喚起では、アプリケーションの管理用APIを通じた不正な操作も取り上げられています。

APIとは、異なるソフトウェアやサービス同士が情報をやり取りするための仕組みです。Webサイトの画面から操作したときも、裏側ではAPIを通じてデータの取得や更新が行われている場合があります。

JPCERT/CCが紹介している事例では、公開されているスマートフォンアプリを解析してAPIの接続先などを特定し、管理用APIに不正なリクエストを送る手口が報告されています。

その結果として、次のような操作が試みられたケースがあります。

ユーザーの権限を不正に変更する
不正なアカウントを作成する
内部向けAPIに不正なリクエストを送る
他のシステムから窃取したAPIキーを使用する

APIは、一般利用者向けの画面から直接操作できない場合でも、外部からアクセスできる状態になっていることがあります。

そのため、「管理画面を非公開にしているから安全」「通常の画面から操作できないから問題ない」とは限りません。

APIごとに、誰が、どの操作を実行できるのかを確認する必要があります。

3. AIを用いたペネトレーションテスト基盤を悪用した攻撃試行

10月23日の更新で追加されたのが、AIを用いたペネトレーションテスト基盤を悪用した攻撃試行です。

JPCERT/CCは、Cairn、CyberStrikeAI、ARTEXなどのツールを悪用した攻撃試行を確認したとしています。

ペネトレーションテストとは、システムに対して実際の攻撃を想定した検証を行い、脆弱性やセキュリティ上の問題を見つけるためのテストです。

本来は、システムの安全性を確認する目的で利用されるものですが、こうした基盤が攻撃者に悪用されると、公開されたWebアプリケーションの脆弱性探索などに利用される可能性があります。

今回の注意喚起では、これらのツールを用いて、主にインターネットに公開されたWebアプリケーションを対象に、さまざまな脆弱性の探索や悪用が試みられたことが説明されています。

また、機器の管理不備を悪用し、環境設定ファイルやバックアップファイルの窃取を試みる攻撃も確認されています。インターネットに公開されたWSUSサーバーを標的とした攻撃試行も含まれています。

ここで誤解したくないのは、AIそのものが独立して攻撃を実行したという単純な話ではないことです。

今回確認されたのは、攻撃者がAIを利用したペネトレーションテスト基盤を悪用し、攻撃活動に利用していたというものです。

AIを利用したツールによって探索や攻撃試行が効率化される可能性があるため、企業側も公開システムの管理状態を継続的に確認することが重要です。

企業のWebサイトで確認したい項目

今回の注意喚起を踏まえ、企業のWeb担当者が確認しておきたい項目を整理します。

1. 管理画面や管理用サービスが公開されていないか

Webサイトの管理画面やサーバー管理用の機能が、インターネットから誰でもアクセスできる状態になっていないか確認しましょう。

例えば、次のようなものが対象です。

CMSの管理画面
サーバー管理用の画面
データベース管理ツール
社内向けの業務システム
開発・検証用の管理画面
不要になった管理用サービス

業務上、外部からアクセスする必要がない機能は、公開を停止することを検討してください。

外部からのアクセスが必要な場合も、IPアドレス制限やVPN、多要素認証など、利用環境に応じたアクセス制御を組み合わせることが重要です。

2. 設定ファイルやバックアップファイルが公開領域に置かれていないか

Webサーバーには、サイトの動作に必要な設定ファイルやバックアップファイルが保存されている場合があります。

しかし、これらをWebサイトの公開ディレクトリに置いたままにすると、設定によっては外部からアクセスされる可能性があります。

特に確認したいのは、次のようなファイルです。

データベース接続情報を含む設定ファイル
.envなどの環境設定ファイル
データベースのバックアップファイル
ZIP形式などで圧縮されたバックアップ
古いサイトデータや移行用ファイル
テスト用の設定ファイル

重要な設定ファイルやバックアップは、Web公開領域とは分離した場所に保管することが基本です。

また、不要になったファイルは削除し、必要なファイルについてもアクセス権限を適切に設定しましょう。

WordPressを利用している場合も、設定ファイルやバックアップデータの保存場所、バックアッププラグインの保存先などを確認しておくとよいでしょう。

3. 管理用APIのアクセス制御が適切か

APIを利用しているWebサイトや業務システムでは、APIごとのアクセス制御を確認する必要があります。

確認したいポイントは次のとおりです。

APIの利用者を適切に認証しているか
利用者ごとに必要な権限だけを付与しているか
管理用APIに一般利用者がアクセスできないか
APIトークンに適切な有効期限が設定されているか
不要になったAPIトークンを無効化できるか
短時間に大量のリクエストが送られた場合に制限できるか

特に注意したいのが、画面上で操作できない機能であっても、APIへのリクエストによって操作できてしまう可能性があることです。

画面側でボタンを隠したり、操作項目を制限したりするだけでは十分ではありません。サーバー側でも、利用者の権限を確認する仕組みが必要です。

APIの設計や設定に不安がある場合は、開発会社やシステム管理者に確認しましょう。

4. アクセスログに不審な動きがないか

Webサーバーやアプリケーションのアクセスログは、不正アクセスの兆候を確認するための重要な情報です。

例えば、次のような動きがないか確認します。

短時間に大量のアクセスが発生している
通常利用しない管理用URLへのアクセスがある
ログイン失敗が急増している
存在しないページやファイルへのアクセスが繰り返されている
不自然な時間帯や接続元から管理機能が利用されている
見覚えのないアカウント作成や権限変更が記録されている

JPCERT/CCは、今回の注意喚起の中で不審な送信元IPアドレスなども公開しています。

該当するIPアドレスからアクセスがあったかどうかを確認することも、調査の参考になります。

ただし、公開されているIPアドレスは調査時点の情報であり、正規の利用である可能性もあるとJPCERT/CCは注意しています。また、掲載されていない接続元から攻撃が行われる可能性もあります。

そのため、特定のIPアドレスだけを確認するのではなく、アクセスの頻度やURL、操作内容、認証結果なども含めて確認することが大切です。

なお、ログに異常が見つからないからといって、侵害がなかったと断定できるわけではありません。ログの保存期間や取得範囲によっては、必要な記録が残っていない場合もあります。

不審な動きが確認された場合は、ログだけで判断せず、サーバーやアプリケーションの状態も含めて専門家に調査を依頼することを検討してください。

日頃から実施したいセキュリティ対策

今回の注意喚起では、JPCERT/CCがAPIのアクセス制御や不要な管理機能の公開停止、脆弱性修正などを推奨しています。

IPAも2026年10月9日、不正アクセスによる情報漏えい事案を踏まえ、外部公開アプリケーションや外部サービス、保有データの点検を呼びかけています。

日頃から取り組みたい対策を整理します。

公開しているシステムを把握する

まず、自社がインターネットに公開しているシステムやサービスを把握しましょう。

企業サイトだけでなく、問い合わせフォーム、会員向けページ、予約システム、社内向け管理ツール、クラウドサービスなども対象です。

担当者が把握していないシステムが残っていないか、部署単位で利用しているサービスも含めて確認することが重要です。

ソフトウェアやプラグインを更新する

WordPress本体やテーマ、プラグイン、サーバーのソフトウェアなどに脆弱性が見つかった場合は、修正版を適用する必要があります。

更新を長期間止めていると、既知の脆弱性を悪用されるリスクが高まります。

ただし、更新によってサイトの表示や機能に影響が出る可能性もあるため、バックアップを取得し、必要に応じて検証環境で確認してから適用しましょう。

アカウントと権限を定期的に見直す

管理画面や外部サービスのアカウントについて、現在も利用しているか、必要な権限だけが付与されているかを確認しましょう。

退職者や担当変更前のアカウントが残っていないか、不要な管理者アカウントが存在しないかも重要な確認項目です。

また、管理者アカウントには多要素認証を設定し、パスワードの使い回しを避けるなど、認証面の対策も進めましょう。

ログの保存期間と確認方法を決めておく

ログを取得していても、保存期間が短ければ、問題が発覚したときに過去の状況を調べられない可能性があります。

どのログを、どこに、どのくらいの期間保存するのかを整理しておきましょう。

また、異常があったときに誰が確認するのか、サーバー会社や保守会社へどのように相談するのかも、あらかじめ決めておくと対応しやすくなります。

保有する情報を必要最小限にする

利用者情報や業務データを長期間保管している場合は、本当に保有し続ける必要があるかを見直しましょう。

情報を保管する期間や場所、アクセスできる担当者を整理し、不要になったデータは適切に削除することが重要です。

保有する情報が多いほど、万が一の漏えい時に影響が大きくなる可能性があります。

まとめ：公開しているシステムと管理状態を定期的に確認する

JPCERT/CCは2026年10月23日、国内組織で相次いでいる不正アクセスに関する注意喚起を更新し、AIを用いたペネトレーションテスト基盤を悪用した攻撃試行などの情報を追加しました。

今回の情報から確認しておきたいのは、Webサイトの脆弱性だけでなく、管理用API、設定ファイル、バックアップファイル、管理画面など、システム全体の運用状態です。

まずは、自社がインターネットに公開しているシステムを把握し、不要な管理機能が公開されていないか、重要なファイルが外部からアクセスできないか、ログに不審な動きがないかを確認しましょう。

Webサイトやシステムは、公開したら終わりではありません。ソフトウェアの更新、アカウント管理、ログ確認、バックアップの保管方法などを継続的に見直すことが大切です。

自社だけで確認することが難しい場合は、サーバー会社やWeb制作会社、セキュリティの専門家などに相談し、管理状態を整理することも検討してください。

North Riverでは、WordPressサイトの保守や更新、セキュリティ面の確認など、Webサイトの継続的な運用を支援しています。Web担当者がいない企業や、現在の管理状態に不安がある場合は、お気軽にご相談ください。

参考情報

JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」
https://www.jpcert.or.jp/at/2026/at260030.html
JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」
https://blogs.jpcert.or.jp/ja/2026/10/web_api_attacks.html
IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
IPA「安全なウェブサイトの運用管理に向けての20ヶ条」
https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

※本記事は、2026年11月1日時点で確認できる公開情報をもとに作成しています。最新の注意喚起や不審なアクセス元情報は、各公式ページをご確認ください。