ゴールデンウィーク中の5月2日、企業のセキュリティ担当者・経営者が押さえておくべき動きが3件あります。第1に内閣府沖縄総合事務局が4月28日に公表したFileZen専用サーバへの不正アクセス事案で、最大1万5,091人分の個人情報が漏えいした可能性が判明しました。脆弱性CVE-2026-25108が関連していることが強く示唆されています。第2にアルプスアルパインが4月27日に公表した外部VPNシステムへの不正アクセスで、役員・従業員（退職者含む）および委託先社員の一部個人情報が外部から閲覧された可能性があります。第3に日本郵船が4月9日に公表したグループ利用の船舶燃料調達システムへの不正アクセスで、従業員・取引先従業員の氏名・連絡先などの個人情報が外部に持ち出された可能性があります。いずれも境界機器・VPN・公開サーバなど「インターネット側に晒されるシステム」を起点とした攻撃で、IPAが4月20日のGW注意喚起で警鐘を鳴らした「ネットワーク貫通型攻撃」の典型例です。
編集部まとめ
本日取り上げた3件は、いずれも「インターネット側に晒されたシステム」を起点とした不正アクセス事案です。沖縄総合事務局のFileZenは公開ファイル転送サーバ、アルプスアルパインは外部VPN、日本郵船は業界共通の燃料調達システムと、攻撃面はそれぞれ異なりますが、共通する教訓は明白です。境界機器・公開サーバ・VPNのパッチ適用と、利用アカウントの棚卸しを連休中に着手すべきタイミングだということです。
連休明けには、自社の外部公開システムの脆弱性スキャン結果を再確認し、未適用パッチがある場合は最優先で適用すべきです。次号は5月3日号で、引き続き連休中の動向を追います。
参考情報
- 内閣府沖縄総合事務局「不正アクセスによる個人情報漏えいの可能性について」（2026年4月28日公表）
- ScanNetSecurity「FileZen 専用サーバへの不正アクセス、内閣府沖縄総合事務局が保有の個人情報漏えいの可能性」（2026年5月1日）
- 沖縄タイムス「沖縄総合事務局のサーバーに不正アクセス 1万5000人超の個人情報が流出か」（2026年4月）
- 琉球新報「個人情報1万5000人分が漏えい恐れ 沖縄総合事務局への不正アクセスで」（2026年4月）
- QAB琉球朝日放送「不正アクセス 1万5091人の個人情報漏洩の可能性 沖縄総合事務局」（2026年4月29日）
- アルプスアルパイン株式会社「外部VPNシステムへの不正アクセスに関するお知らせ」（2026年4月27日公表）
- ScanNetSecurity「アルプスアルパインの外部VPNシステムに不正アクセス」（2026年5月1日）
- ITmedia NEWS「アルプスアルパイン、VPN経由で不正アクセス被害 従業員の個人情報流出か」（2026年4月28日）
- 日本郵船株式会社「個人情報漏えいについて」（2026年4月9日公表）
- ScanNetSecurity「日本郵船グループが利用する船舶燃料調達システムに不正アクセス」（2026年5月1日）
- Security NEXT「燃料調達システムに不正アクセス、情報が流出 - 日本郵船」（2026年4月）
- IPA「2026年度 ゴールデンウイークにおける情報セキュリティに関する注意喚起」（2026年4月20日公表）