2026年10月9日の午後から12日(月・祝)にかけて、国の機関が出した情報のうち、情シスの仕事に関係する6件をまとめました。連休をはさんだため、件数は少なめです。手を動かす必要があるのは、JPCERT/CCの注意喚起の更新と、警察庁・国家サイバー統括室が共同署名した国際アドバイザリーの2件です。
前回(10月10日)のダイジェストと同じ件は入れず、続報だけを載せています。会議の開催案内や、IT以外の発表は外しました。各件の根拠は、機関の公式ページだけです。
JPCERT/CC
国内の不正アクセスの注意喚起を更新、Webシェルの事例を追加
JPCERT/CCは10月9日、10月8日に出した「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(JPCERT-AT-2026-0030)を更新しました。更新履歴には、概要と、攻撃手法・痕跡の項に情報を追記したと書かれています。
追記は2つです。1つ目は、不審な送信元IPアドレスです。ケースA(既知の脆弱性の探索)とケースB(API経由の不正操作)に、新しいIPアドレスが加わりました。ケースAの10月7日ごろの1件と、ケースBの5件(うち2件は8月28日ごろに観測)です。2つ目は、新しい「ケースD」です。公開Webサーバーからアクセスできるアプリケーションサーバーに、WARファイルが置かれた事案を確認しているとあります。WARファイルに含まれるJSPファイルは簡易的なWebシェルとして動き、特定のクエリパラメーターを受け取ってシェルコマンドとして実行します。ケースDには、9月ごろにWebシェルへ繰り返しアクセスしてきたIPアドレスが1件載っています。
JPCERT/CCは、載せたIPアドレスは調査時点で正規の利用に使われている可能性もあり、すべての事案で同じ手法が使われているわけではないと書いています。ログと照らすときは、アドレスの一致だけで判断しないでください。JavaやTomcatなどでアプリケーションサーバーを動かしている会社は、本ページのケースDを読んで、不審な.warや.jspが置かれていないか、確かめる対象です。対策の項(APIのレート制限、アクセス制御、トークンの権限と期限、不要な管理機能の公開停止など)は、更新履歴に追記の記載がありません。8日の内容の整理は、JPCERT注意喚起を情シスの週次点検に API・管理画面・BIツールの確認先にあります。
警察庁・国家サイバー統括室
中国政府関連のサイバー攻撃グループに関する国際アドバイザリーに共同署名
国家サイバー統括室と警察庁は10月9日(日本時間)、米国が作成した国際アドバイザリー「Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data」に共同署名し、公表しました。組織名を載せて共同署名した国は、米国のほか、英国、豪州、カナダ、スペイン、ニュージーランド、日本の7か国です。
資料によると、アドバイザリーは、中国政府と関連がある企業「永信至誠科技集団(Integrity Technology Group: ITG)」が、ほかの中国関連のサイバー攻撃グループによる侵入を可能にしていると指摘しています。大規模ボットネット、VPNインフラ、LOTL(Living-Off-The-Land)技術、侵入ツールのリポジトリを組み合わせて使うとされ、標的には米国の政府関連サービス、重要製造業、医療・公衆衛生、情報通信などが挙がっています。情シスが使えるのは、緩和策と侵害指標の部分です。緩和策は22項目で、警察庁の資料が例に挙げているのは次の3つです。
- 使っていないサービス(自動設定、リモートアクセス、ファイル共有プロトコルなど)とポートを無効にする
- Webアプリケーションのユーザー入力をサニタイズして、XSS(クロスサイトスクリプティング)の攻撃コードを防ぐ
- IDと認証情報とアクセス管理のポリシーを入れて、できる限りすべてのサービスに多要素認証を使う
侵害指標(IOC)は、2016年1月以降に検知されたドメイン名などが、アドバイザリーの19ページ以降に載っています。警察庁の資料は、アドバイザリー本文のうち技術詳細を5ページ以降、緩和策を14ページ以降と案内しています。このダイジェストでは、本文は確認していません。同じアドバイザリーを英国側から整理した記事は、英NCSC、中国関連の情報窃取に警告、企業は攻撃手法と緩和策を確認です。
個人情報保護委員会
大規模な漏えい等事案の注意喚起に、解説動画を追加
個人情報保護委員会は、10月7日に公表した「大規模な漏えい等事案を踏まえた対応について(注意喚起)」のページに、10月9日付で解説動画を追加しました。ページには「注意喚起の解説動画」と書かれていて、公式のYouTubeチャンネルで見られます。このダイジェストでは、動画の中身は確認していません。注意喚起の本文は、10月7日の資料のとおりです。個人情報保護委員会が漏えい対策を注意喚起 情シスの今週の確認で整理しています。社内で共有するときに、文書と動画のどちらを使うかを選べます。
総務省
税務システム標準仕様書【第6.0版】の修正(最終報)
総務省は10月9日、8月31日付で公表した税務システム標準仕様書【第6.0版】に誤記などがあったとして、修正を行ったと掲載しました。お知らせ自体は短く、詳細は仕様書の公開ページを見るよう案内しています。対象は、税務の標準準拠システムを作る事業者と、導入する市区町村です。一般の会社の情シスに、直接の作業はありません。修正の中身は、税務システム標準仕様書 第6.0版に誤記、総務省が修正の最終報 自治体とベンダーが確かめることで整理しています。
IPA(情報処理推進機構)
AIセーフティ評価の実証と評価環境の報告会(開催済みの報告)
IPAのAIセーフティ・インスティテュート(AISI)は10月9日、10月7日に開いた2つの会合の開催報告を、プレス発表として公開しました。「AISI事業実証ワーキンググループ」の2026年度上期報告会と、「AIセーフティ評価環境 検討タスクフォース」の総会で、一般からのオンライン参加を含めて延べ220名が出席したとあります。発表は開催後の報告で、これから申し込める催しの案内ではありません。
中身で、AIを業務に入れる情シスに近いのは次の2点です。1つ目は、AISIが2025年9月にOSSとして公開した「AIセーフティ評価環境」(AIシステムの開発者・提供者がAIセーフティを評価するためのツール)の、タスクフォースの活動の共有です。2つ目は、分野別のワーキンググループの成果で、データ品質のチェックリストを今年度上期に策定・公開したこと、ロボティクス向けのセーフティ評価観点ガイドを公開したこと、ヘルスケア向けのガイドを2026年4月に公開済みで改訂を進めることです。今回の発表は報告であり、会社に義務や期限を課す内容ではありません。AIを自社のサービスに組み込んで提供している会社は、評価の観点を探すときの参考になります。
消費者庁
重大製品事故の公表(10月9日): 充電式の機器が関係する件
消費者庁は10月9日、消費生活用製品安全法に基づいて報告のあった重大製品事故を公表しました。件数は、ガス機器・石油機器が1件、製品起因が疑われるものが5件、製品起因かどうかが特定できていないものが12件です。公表資料は、調査で事実関係が確認されたものではなく、速報段階で、今後変更や削除がありうると書いています。
会社の備品に関係しそうなのは、充電式の機器が出ている2件です。1つは、車両内で使っていた充電式の携帯型扇風機が燃えた火災(令和8年7月28日発生)です。もう1つは、リチウム電池内蔵の充電器を他社製の充電ケーブルにつないで充電中に起きた火災(同8月25日発生)です。どちらも、製品に起因するか、ほかの要因かを含めて調査中です。同じ公表には、ACアダプターの火災(同9月15日)、電気シェーバーを他社製のUSBケーブルとACアダプターにつないで充電中に起きた火災(同9月15日)もあります。社内のモバイルバッテリーや充電器、充電式の機器を管理している総務・情シスは、公表資料の製品名と型番を、手元の備品と照らせます。
影響する会社・しない会社
- 影響する: JavaやTomcatなどでアプリケーションサーバーを動かし、その手前に公開Webサーバーを置いている会社です。JPCERT/CCのケースDの、WARファイルとJSPファイルの確認対象になります。
- 影響する: 外部公開のAPI、BIツール、従業員向け管理システムを運用している会社です。JPCERT/CCの注意喚起の対象で、10月9日の追記のIPアドレスとログを照らします。
- 影響する: VPNや外部公開のサービスを使い、使っていないポートやサービスが残っているかもしれない会社です。警察庁の国際アドバイザリーの緩和策(不使用のサービスとポートの無効化、多要素認証)に当たります。
- 影響する(限定): 税務の標準準拠システムを作る事業者と、導入する市区町村です。総務省の仕様書の修正が対象です。
- 影響する(限定): 充電式の機器やモバイルバッテリー、充電器を備品として貸し出したり、配っている会社です。消費者庁の公表の製品名と照らします。
- 影響しない: 公開するサーバーやAPIがなく、アプリケーションサーバーも持たない会社は、JPCERT/CCの更新に作業は出ません。
- 影響しない: 税務システムの開発や導入に関わらない会社は、総務省の仕様書の修正は読み物です。IPAのAI報告会の発表も、AIを自社で作ったり評価したりしていなければ、作業は出ません。
情シスが今日やること
- JPCERT/CCの注意喚起のケースDを読み、公開Webサーバーからアクセスできるアプリケーションサーバーに、見覚えのない.warと.jspがないかを確かめる。担当と確認日を決める。
- 10月9日の追記のIPアドレス(ケースA、B、Dで計7件)を、公開サービスとAPIのログで検索する。一致があっても、正規の利用の可能性があるため、そのIPアドレスで行われた操作(権限の変更、アカウントの作成など)を見る。
- 警察庁の資料の緩和策3点を、自社のVPNと公開サービスで点検する。使っていないサービスとポートの停止、入力値のサニタイズ、多要素認証の適用範囲です。詳しくは国際アドバイザリー本文の14ページ以降を読む。
- 社内向けに、個人情報保護委員会の解説動画と10月7日の注意喚起のどちらを使って共有するかを決める。
- 備品の充電式の機器とモバイルバッテリー、充電器の一覧を、消費者庁の公表資料の製品名と見比べる。他社製のケーブルやアダプターとの組み合わせでの充電が社内で行われていないかも聞く。
