JPCERT/CCが相次ぐ不正アクセスに注意喚起｜AIを使う攻撃の手口を追加
公開
JPCERT/CC は2026年10月23日、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を更新しました（JPCERT/CC の注意喚起、初版は10月8日）。 2026年9月前後から国内の組織で不正アクセスによる個人情報などの漏えいが相次いでいるとして、確認されている攻撃の手口と対策をまとめたものです。 今回の更新で、AI を使う侵入テストの仕組みを悪用した攻撃の手口が加わりました。Web サイトやアプリ、社内向けの管理システムをインターネットに出しているすべての会社に関係します。
公表された内容
- 背景：一般の利用者向けのアプリだけでなく、BI ツールや社員向けの管理システムなど、不特定多数が使うことを想定していない管理・運用の側のシステムも被害にあい、内部の情報が漏えいしているとしています。すべての事案で同じ手口が使われているわけではないとしています
- 手口A：既知の脆弱性を探す攻撃：相手ごとにさまざまな既知の脆弱性の有無を調べて悪用を試みるほか、設定ファイルやバックアップのファイルを盗むなど、管理の不備を突く攻撃も行われているとしています
- 手口B：API を使った不正な操作：公開されているスマートフォンのアプリを解析して API の接続先や鍵を割り出す、画面からは使えない内部の API を攻撃してユーザーの権限を変えたり不正なアカウントを作ったりする、ほかのシステムから盗んだ API の鍵を使う、といった手口が挙げられています
- 手口C：Metabase の脆弱性（CVE-2026-72898）の悪用：BI ツールの SQL インジェクションの脆弱性が、API への不正なリクエストで悪用されているとしています
- 手口D：Web シェルの設置：公開している Web サーバーからつながるアプリケーションサーバーに、外からコマンドを実行できる仕組みを置かれた事案があるとしています
- 手口E（10月23日に追加）：AI を使う侵入テストの仕組みの悪用：AI で脆弱性の探索や悪用を進める侵入テスト用の仕組みが攻撃に使われ、主に公開している Web アプリケーションが狙われているとしています。設定ファイルやバックアップのファイルを盗む攻撃や、インターネットに公開された WSUS サーバー（Windows の更新を配る仕組み）を狙う試行も含まれるとしています
- 調べるための情報：手口ごとに、観測された送信元の IP アドレス・User-Agent などが載っています。正規の利用の場合もあるとして、自社の記録にアクセスがないかを調べるために使うよう求めています
JPCERT/CC が勧める対策
- API に、一定の時間あたりのリクエストの上限を設ける。ログイン・パスワードの再設定・SMS の送信・検索など悪用されやすい機能には、個別に回数の上限を設ける
- 公開していない API を含むすべての API で、許可した利用者と操作だけを受け付ける。API の鍵には必要最小限の権限と有効期限を設け、要らない鍵・漏えいが疑われる鍵はすぐ無効にできるようにする
- 使う地域が限られるサービスは、アクセス元の地域を絞る。既知の脆弱性がある版を使っていれば、修正版に更新する
- Web サーバーなどが侵入されたあとの横展開への備えと、不正アクセスに気づく体制・初動の手順を見直す
- 業務に要らない管理機能などのインターネットへの公開を止める。保存の期間を過ぎたデータや、使い終わったデータを残さない
- 漏えいに備え、客への二次被害の防止の呼びかけ（多要素認証の案内など）を平時から用意しておく
中小企業が今日からできること
- インターネットに出している画面を一覧にする：会社のサイト・予約や問い合わせのフォーム・管理画面・BI ツール・社員向けのシステムなど、外から開ける画面と、その管理を任せている会社を書き出す。業務に要らない管理画面は外から開けないようにする
- 設定ファイルとバックアップを公開の場所に置かない：Web サーバーの公開の領域に、設定ファイルや古いバックアップが残っていないかを、サイトの管理を任せている会社と確かめる
- アプリや API の鍵を確かめる：自社のアプリやシステムの連携に使っている API の鍵を一覧にし、権限が広すぎないか、期限のない鍵がないかを見直す。漏えいが疑われる鍵はすぐ作り直す
- アクセスの記録を見られるようにする：Web サーバーや API の記録を一定の期間残し、注意喚起に載っている送信元からのアクセスがないかを調べられるようにしておく。自社で難しければ委託先に確認を頼む
- 古いデータを消す：使い終わった顧客のリストや、保存の期間を過ぎたデータを消し、漏えいしたときの範囲を小さくする