IPAが不正アクセス続発で緊急の対策を要請 まず点検すべき3つ

国内で、不正アクセスによる情報漏えいの公表が相次いでいます。これを踏まえ、IPA(情報処理推進機構)が、事業者が速やかに実施すべき対策を公表しました。難しい話ではなく、「どこを、どう点検するか」が具体的に示されています。情シスが、そのまま自社のチェックリストとして使える内容です。この記事は、IPAの公式の注意喚起をもとにまとめます。

背景:相次ぐ漏えいと、起点の傾向

IPAは、金融機関や通信事業者など、幅広い事業者で、不正アクセスによる情報漏えいの公表が相次いでいるとしています。とくに、大量の個人情報を扱うオンラインサービスやアカウントサービスのシステムへの侵入と、データの窃取が多発しているとしています。

特定の製品やサービスの脆弱性を狙った攻撃とは断定していません。傾向として、「外部に公開したアプリ・サービスの侵害」または「アカウントの侵害」が、起点とみられるとしています。だからこそ、点検すべき場所も、この2つに向いています。

まず、速やかに点検する3つ

IPAが「速やかに行うべき」とする点検は、次の3つです。

1. 外部に公開しているアプリ・サービスの精査。自組織が独自に構築・運用する、外部公開のアプリやサービスを確認します。サービスごとに、直近のログの異常(エラーの出力量が平時と違わないか)を、まず直近1か月、次に3か月へ範囲を広げて確認します。未適用の脆弱性のパッチがあれば、速やかに適用します。
2. 利用している外部サービスの洗い出し。クラウドやVPNなどを、網羅的に洗い出します。サービスごとに、ログ(ログイン失敗の数に加え、ログイン元のIPや時間を平時と比べる)と、アカウント(作成した覚えのないアカウントや、無効化したはずのアカウントの復活がないか)を確認します。
3. 保有データの再点検。「不要な情報は持たない」という原則で、情報資産を正確に把握し、最小化します。

その後に取り組む対策

点検で異常がなくても、その後に検討すべき対策として、IPAは次を挙げています。

• 外部公開アプリ: 公開範囲の見直し、認証の強化(多要素認証・パスワード)、アカウントの権限の見直し、API連携など構成要素ごとの管理と権限の見直し、ログの取得内容・保持期間の見直し
• 外部サービス: 認証の強化、アカウントの付与範囲と棚卸しの運用の見直し、API連携の管理、ログの見直し
• 保有データ: データを持つことの是非の再検討、保管場所の再検討、アクセスログの見直し、データの暗号化

総合的には、経済産業省の「サイバーセキュリティ経営ガイドライン」を参照し、経営者が主導することを求めています。IPAは、サプライチェーン対策の評価制度(SCS評価制度)を、2027年3月に始める予定としています。

警察庁も同時に注意喚起 相談先と推奨アプリ

同じ時期に、警察庁も「情報流出に注意!」という注意喚起(サイバー警察局便り)を出しています。技術的な対策(ソフトの更新、パスワードの強度と使い回しの回避、多要素認証、偽メールへの注意)は、IPAと共通です。そのうえで、警察ならではの点として、次を挙げています。

• 不審に思ったら、通報・相談する。最寄りの警察署やサイバー犯罪相談窓口のほか、警察相談専用電話「#9110」でも相談できます。
• スマホの詐欺電話対策に、警察庁の推奨アプリ(無料)を使う。
• 本人確認を行う事業者は、犯罪収益移転防止法などにもとづき、本人確認を徹底し、なりすましを防ぐ。

実際に不正アクセスや漏えいが疑われるときに「どこへ通報・相談するか」を、情シスとして、あらかじめ押さえておく価値があります。

影響する会社・しない会社

• 影響する: 外部にアプリやサービスを公開している会社、クラウドやVPNを使う会社、大量の個人情報を持つ会社です。つまり、ほとんどの会社が対象です。
• 影響する: セキュリティを現場任せにしている会社です。IPAは、経営者が自ら主導することを求めています。
• 影響しにくい(それでも確認は必要): 外部公開の資産がなく、外部サービスも使っていない会社。ただし、本当にそうかは、洗い出さないと分かりません。

情シスが今日やること

• 3点の点検を始める。外部公開アプリ、利用中の外部サービス、保有データの3つを、上の手順で点検します。まずはログとアカウントの確認からです。
• パッチの未適用を洗い出す。外部公開のアプリやサービスに、当てていないパッチがないかを確かめ、あれば適用します。
• 異常時の段取りを決める。異常が見つかったときに、誰がインシデントと判定し、どの専門ベンダーに相談するかを、あらかじめ決めておきます。
• 同日の各機関の注意喚起も見る。JPCERT/CCや国家サイバー統括室、経済産業省、金融庁、個人情報保護委員会も、同じ日に同趣旨の注意喚起を出しています。あわせて確認します。

2026年10月16日 追記: 同時期に出た警察庁の注意喚起(サイバー警察局便り)の独自の点(#9110などの相談先、スマホの詐欺電話対策アプリ、犯罪収益移転防止法にもとづく本人確認の徹底)を加えました。