DiluNova
2026年10月、国内の情報漏えいに関する注意喚起と調査情報が公表されています。この記事では、2026年10月19日までに確認した公式資料をもとに、企業の担当者が押さえたい点を整理します。
個々の企業の被害原因を推測する記事ではありません。調査で分かっていることと、自社の確認にどう生かすかを分けて説明します。新しい情報が出た際は、リンク先の更新内容も確認してください。
10月9日：IPAが、不正アクセスを踏まえた点検を呼びかけ
IPAは10月9日、情報漏えい事案の公表が相次いでいるとして、企業へ点検を呼びかけました。その時点で、特定の製品やサービスの脆弱性を狙った攻撃とは断定していないことも明記しています。IPAの注意喚起（2026年10月9日）
ここから分かるのは、ニュースに登場する特定の製品を使っていなければ無関係、と判断できる段階ではないということです。外部から利用できる自社の仕組みを、製品名だけでなく用途や管理者まで含めて確認する必要があります。
例えば、コーポレートサイトだけを確認して終わらず、会員ページ、予約システム、アプリの裏側の処理、以前作ったまま残る公開サービスなども対象になり得ます。これは自社で棚卸しする際の例であり、列挙したサービスすべてに問題があるという意味ではありません。
10月15日：JPCERT/CCが、攻撃元サーバーの調査を公表
JPCERT/CCは10月15日、攻撃元サーバーの調査で、AIを使った既知の脆弱性の探索やAPI経由の攻撃を確認したと報告しました。Androidアプリの配布ファイルから関連するAPIを調べる手法も紹介しています。JPCERT/CCの調査（2026年10月15日）
APIとは、アプリやサービス同士が情報をやり取りする窓口です。利用者が見ている画面の裏で、情報を取得したり、保存したりするために使われます。画面が表示されることと、その窓口で適切に権限を確認できていることは別です。
企業側が確認したいのは、「使い慣れたアプリからしか呼ばれないはず」という前提に依存していないかです。アプリの画面でボタンを隠すだけでなく、処理を行う側でも、誰がどの情報を扱えるか判断する必要があります。
AIで変わるのは、弱点を調べる手間と速さ
NICTは、AIがアプリ解析や脆弱性探索を効率化し、攻撃がより多くのシステムへ及ぶ可能性を指摘しています。NICTの注意喚起（2026年10月13日）
ここでは、「新しい弱点を作ること」と「すでにある弱点を探しやすくすること」を分けると理解しやすくなります。鍵の壊れた扉が新しく生まれるのではなく、その扉を探す作業が効率化される、というたとえです。これは仕組みを理解するための説明で、攻撃件数や速度を測定した結果ではありません。
攻撃者がAIを利用したという報告は、すべての攻撃がAIによるもの、という意味ではありません。また、AIで作ったシステムだけが狙われる、とも言えません。今回の報告で確認された手法と、全体の被害傾向は区別します。
DiluNovaとしては、この動きを「AIという言葉への対応」だけで捉えるより、公開している処理、秘密情報、利用者の権限を改めて確認する材料として捉えています。外部へ出したアプリの中身が知られても、サーバー側で守れる設計かが重要になります。
年間の脅威整理と、直近の注意喚起は役割が違う
IPAの「情報セキュリティ10大脅威 2026」は、主に前年の社会的影響をもとに選ばれています。組織編ではランサム攻撃、サプライチェーンや委託先を狙う攻撃などが取り上げられ、AIの利用に関するリスクも初めて選ばれました。これは発生件数のランキングや、2026年10月の被害集計ではありません。IPA：10大脅威2026 解説書
年間の整理で広い視野を持ち、直近の注意喚起で今の対応を確認する。資料の役割を分けると、自社に必要な判断がしやすくなります。ランキング上位から機械的に対策するより、自社が何を公開し、どんな情報を保有しているかと照らし合わせます。
社内の担当者と、まず確認したいこと
- 外部から利用できるアプリやサービスを、管理者と一緒に把握できているか。
- アプリの画面だけでなく、APIやデータの権限を確認しているか。
- 不審な利用に気づける記録があり、誰が確認するか決まっているか。
- 委託先やクラウド側へ確認が必要な項目を把握しているか。
これは初回の話し合いのための項目です。直近の事案への具体的な点検は、IPAなどの最新情報と、自社の構成を確認できる担当者・支援先の判断に基づいて進めます。異常が見つかった場合は、通常の改善作業と切り分けて、インシデント対応の担当へつなぎます。
記事一覧に戻る