ラックは2026年10月15日、国内のWebシステムなどからの情報漏えいに関する動向分析を公表しました。独自集計では2026年10月6日時点で119件が対象となり、うち81件、約68%が2026年7月以降の公表でした。情シスには、公表件数だけで攻撃の増減を判断せず、アプリの接続先や認証情報まで点検することを勧めています。
公表件数の増加と、攻撃量の増加は別
集計対象は、国内法人が公表した、Web・アプリなどへの不正アクセスによる個人情報漏えいと、そのおそれがある事案です。件数は公表内容や調査状況によって変わる可能性があります。
ラックの分析では、事案を認知してから初回公表までの平均日数は、2026年5月の10.9日から、2026年9月には2.9日に短縮しました。2026年9月の中央値は1日です。これは公開資料で認知日と初回公表日を確認できた事案の集計であり、同社は、公表件数の増加に開示の早期化も影響している可能性を指摘しています。
一方、同社の救急センターの出動に占めるサーバ不正侵入の割合は、2026年7～9月に52%となりました。前四半期の30%から22ポイント上昇しています。ただし、これはラックの対応案件の構成比で、国内全体の発生状況を表すものではありません。
JSOCが観測する主要な不審通信も、長期的には大幅増と評価しにくいとしています。この観測も同社の監視対象・センサーに限られます。攻撃者が少ない試行で侵害している可能性は、現時点では仮説です。
アプリ本体だけでなく、接続先APIを確認
ラックが示した侵入経路の内訳では、約7割が二つの手口に集中しています。IDを不正に使う手口と、Webアプリケーションの脆弱性を突く手口です。2026年7～9月には、盗まれた認証情報によるVertex AI経由のClaude大量利用や、Amazon Bedrockの不正利用も確認しました。
また、NICTが2026年10月13日に公表したA2B攻撃にも触れています。公開されたAndroidアプリを解析し、接続先のサーバを直接攻撃する手法です。ラックは、iOSアプリや、Webサービスの裏側でデータをやり取りするAPIにも同様のリスクがあると指摘しました。
対策の中心は、アプリが解析されることを前提に、サーバ側で認証と認可を確保する設計です。認証は利用者の確認、認可はその利用者に操作や閲覧を許す範囲の確認を指します。正規に見える要求で認可の不備を突く攻撃は、Webへの攻撃を検知・遮断する従来型のWAFでは防ぎにくいとしています。
なお、国内の一連の事案にAIエージェントが直接関与した公開証拠は、現時点ではないとしています。
影響する会社・しない会社
- 影響する: 個人情報を扱うWebサイトやアプリを公開している会社です。公開情報資産の棚卸しでは、スマートフォンアプリの接続先APIも確認対象に含めます。
- 影響する: Vertex AIやAmazon Bedrockを利用する会社です。ラックが不正利用を確認しており、これらを利用している場合は認証情報の点検対象に含める判断材料になります。
- 影響しない: 特定のサービス・プラン・企業規模を理由に、点検の対象外とできる条件は発表には書かれていません。自社の被害が確認されたという発表でもないため、まず利用状況と公開範囲を照合します。
情シスが今日やること
以下は、ラックの推奨事項を自社の確認作業に落とし込むための手順です。発表には一律の対応期限は示されていません。今日着手し、確認が残る項目には社内の担当者と期限を設定してください。
- 公開資産の一覧に接続先APIを加える。 Web・アプリの管理台帳を開き、スマートフォンアプリの接続先が載っているか確認します。不明な接続先は開発担当や委託先に照会し、サーバ側の認証・認可を誰が確認するか決めます。
- 2026年8月以降のログを重点確認する。 アクセスログ、APIログ、認証ログの保管先を確認し、確認可能な期間を記録します。調査担当者に点検を依頼し、見られない期間やログの不足も共有します。
- 認証情報の管理状況を点検する。 利用中サービスのアカウント・認証設定で、MFA(多要素認証)の適用状況を確認します。rootアカウント、アクセスキー、APIキーは、更新・失効の手順と実施担当が決まっているかを確かめます。
- 顔写真や本人確認書類の保管を見直す。 データ管理台帳と削除記録を確認し、保有目的、保存期限、削除状況を業務部門と照合します。目的や期限が不明なものは、個人情報の管理担当者に確認を依頼します。
- 初回公表までの社内連絡経路を確認する。 インシデント対応手順を開き、情シスから経営、広報、個人情報の管理担当者への連絡先と判断担当を確認します。公表が早まっているという分析を共有し、未確定事項がある段階の連絡方法もすり合わせます。
