Chrome脆弱性CVE-2026-103628｜楽天ドライブに不正アクセスほか（10/12号）

Chromeはほぼすべての社員が業務で使う入口であり、1台でも古いバージョンが残っていると、不正な広告やリンクを踏んだだけで端末を乗っ取られる起点になります。Chromeは通常、再起動時に自動で更新されますが、PCを長期間シャットダウン・再起動していない環境では古いバージョンのまま動き続けます。クラウド業務やネットバンキングをブラウザーで行う会社ほど、ブラウザーの更新漏れは直接的なリスクになります。

• Chromeの右上「︙」→「ヘルプ」→「Google Chromeについて」を開き、バージョンが154.0.8037.97以降になっているか確認する。古い場合は自動で更新が始まるので、表示される「再起動」を押して適用する
• 更新後は必ずブラウザーを再起動する。開きっぱなしの環境では更新がダウンロード済みでも適用されないため、定期的な再起動を習慣づける
• Microsoft EdgeやBraveなど、Chromeと同じ基盤（Chromium）を使うブラウザーも同系統の更新が提供されるため、あわせて最新化する
• 台数が多い場合は、資産管理ツールや管理ポリシーでブラウザーのバージョンを一括把握・強制更新できる仕組みを検討する

管理者アカウントの乗っ取りは、規模を問わずどの会社でも起こり得ます。クラウドサービスの管理コンソール、サーバーやネットワーク機器の管理画面、業務システムの管理者権限は、奪われた時の被害が一般利用者アカウントとは比べものになりません。中小企業では管理者アカウントが少人数で共有され、多要素認証も設定されていないことが多く、認証情報が一度盗まれると長期間気づかないまま侵入され続けます。クラウドストレージに顧客データや契約書を保存している場合、その管理者アカウントは最優先で守るべき対象です。

• クラウドサービス・サーバー・ネットワーク機器の管理者アカウントを洗い出し、すべてに多要素認証（MFA）を設定する。共有アカウントは可能な限り個人ごとのアカウントに分ける
• 管理者アカウントのパスワードを推測されにくいものに変更し、退職者や不要になったアカウントを速やかに削除する
• 管理コンソールへのログイン履歴やアクセスログを定期的に確認し、見覚えのない時間帯・場所からのログインがないか点検する。可能なら異常ログイン時の通知を有効にする
• クラウドストレージに保存する個人情報・機密情報は必要最小限にとどめ、重要なファイルは暗号化やアクセス権限の制限を行う

この事案の侵入口は、サービス本体ではなく「社内で業務に使う管理ツール」でした。中小企業でも、顧客管理（CRM）、問い合わせ管理、予約・会員管理などのSaaSや内製ツールを日常的に使っていますが、こうした裏側のツールは一般利用者から見えないぶん、脆弱性の管理やアクセス制限が後回しになりがちです。カード情報の一部や勤務先情報が漏れると、なりすましや標的型のフィッシングに悪用されます。「表に見えるサイトだけでなく、社内で使う管理画面こそ守る対象」という視点が必要です。

• 社内で使っている管理ツール・SaaSを棚卸しし、インターネットからアクセスできる管理画面に不要な公開がないか、アクセス元を社内やVPNに限定できないかを確認する
• 管理ツールへのログインに多要素認証を設定し、利用者ごとに必要最小限の権限だけを付与する
• 利用しているツールの提供元が公開する脆弱性情報・アップデートを定期的に確認し、速やかに適用する運用を決める
• カード情報を自社で保持せず、決済代行会社に委ねる設計にして、保存する個人情報を最小限にする