国家サイバー統括室（NCO）は2026年11月5日、相次ぐ情報漏えいを受け、Webサイトやモバイルアプリを運用する事業者に基本的なセキュリティ対策の徹底を求めました。特に、個人情報を扱う事業者に向けた注意喚起です。JIPDECの公表案内
政府は、自社や委託先の設定不備、サポートが終了したソフトウェアの使用、既知の脆弱性の放置、アプリ開発時の対策不足などが原因とみられる事例を複数確認したとしています。システムを外注している会社や、小規模な事業者にも関係する内容です。NCOの注意喚起原文・1ページ
この記事では、注意喚起の内容を、経営者や非技術職の担当者が社内・保守会社に確認しやすい5つの項目に整理します。
なぜ今、基本対策を見直す必要がある？
NCOは、攻撃者がインターネット上のWebサイトなどを広く調べ、侵入できる場所を見つけて情報を盗んだとみています。規模の大小を問わず、幅広い事業者が対象になっているとの見方も示しました。
また、調査や攻撃にAIを利用している可能性が高いとしています。個別には比較的低いリスクと評価されていた問題でも、組み合わされて侵入につながった可能性のある事例があるという説明です。これは政府の分析であり、すべての漏えい事件でAIの使用が確認されたという意味ではありません。NCO原文・1ページ
担当者としては、被害企業と同じ製品を使っているかだけでなく、自社が何を公開し、誰にアクセスを許可し、どの情報を保管しているかを確認することが出発点になります。
画像は、Webサイトやアプリの点検を表した概念イラストです。実際の政府資料や診断結果を示すものではありません。
1. サイトと部品を把握し、更新の担当者を決める
NCOは、利用しているソフトウェアの名前・バージョン・利用箇所を把握し、新たな脆弱性情報と継続的に照合するよう求めています。直接導入した製品だけでなく、その中で使われる外部のソフトウェア部品も対象です。NCO原文・2〜3ページ
まず、保守担当者に次の点を確認しましょう。
- 自社サイト、予約・注文システム、アプリなどの一覧と、それぞれの管理担当者は分かるか。
- サーバーやアプリの主要なソフトウェアについて、現在の版とサポート終了時期を把握しているか。
- 脆弱性が公表されたとき、誰が対象かどうかを調べ、更新や一時的な制限を判断するか。
- 更新した日時や、未対応の課題を確認できるか。
対応の順番は、危険度の数字だけでなく、実際の悪用の有無、インターネットから攻撃できるか、事業への影響などを組み合わせて判断します。すぐ更新できない場合も、保守担当者と暫定対策・対応期限を決め、放置しないことが重要です。
WordPressなどは、サイト本体とサーバー側のソフトウェアで更新担当が分かれることもあります。詳しくはWordPressとPHPの更新の違いも参考にしてください。
2. 管理画面や検証用サイトを、必要以上に公開しない
NCOは、外部に公開された管理画面や、開発・検証用の機能が侵入口となった事例を挙げています。公開しているサイトだけでなく、裏側の管理機能まで点検する必要があります。NCO原文・3〜4ページ
確認したいのは、古いキャンペーンサイト、使わなくなった管理画面、公開状態の検証環境、クラウド上のファイル共有などです。使う必要がある管理機能には、接続できる場所の制限や多要素認証など、用途に合う保護を検討します。多要素認証は、パスワードだけに頼らず、別の要素も使って本人を確かめる仕組みです。
「設定を変更した」という報告だけで終わらず、外部から不要な機能にアクセスできなくなったことまで確認してもらいましょう。必要な業務機能を誤って停止しないよう、変更は管理担当者と調整して行います。
開発・検証環境でのデータや権限の扱いは、開発環境と本番環境を分ける理由で説明しています。
3. ログイン後に、他人の情報へアクセスできないかを確かめる
アプリやWebサイトは、裏側のサーバーと情報をやり取りします。そのための窓口がAPIです。NCOは、このAPIを通じた不正な操作による情報漏えいを確認しているとしています。NCO原文・7〜9ページ
ここで重要なのは、本人かどうかを確かめる「認証」に加え、その人が、その情報や機能を利用してよいかを確かめる「認可」です。
例えば、ログインは必要でも、別の顧客の注文や他社の管理情報を取得できてしまえば問題があります。開発会社には、画面の表示だけで制限せず、サーバー側で利用者ごとの権限を確認しているか、その検証が診断に含まれているかを聞いてください。
あわせて、秘密の接続情報が配布するアプリなどに埋め込まれていないか、短時間の大量アクセスや不自然なログイン試行を検知・制限できるかも確認事項です。非技術職の担当者が本番で試すのではなく、許可した範囲と方法を決めて開発・診断担当者に検証してもらいましょう。
4. 委託先の接続と、契約終了後の権限を見直す
制作会社や保守会社の環境が侵害され、そこから発注元のシステムへ侵入される経路にも注意が必要です。NCOは、委託先の接続経路とアカウントの保護、契約上の役割の明確化を挙げています。NCO原文・9〜11ページ
確認する際は、次の内容をまとめると話を進めやすくなります。
- どの会社の誰が、どのシステムに、どの権限で接続できるか。
- 作業が終わった担当者のアカウントや、不要な管理者権限が残っていないか。
- 多要素認証などの保護があるか。難しい経路には、接続元の制限や作業時だけの開放などを検討しているか。
- 再委託、事故発生時の連絡、契約終了時のデータ消去について取り決めがあるか。
対策の追加が必要なら、範囲、実施方法、費用負担を委託先と協議します。NCOも、一方的に負担を押し付けないよう注意を促しています。
5. 診断結果を直し、異常に気づいた後の動きを決める
診断を受けたことだけでは、対応完了とはいえません。NCOは、公開前や重要な変更時、運用開始後にもリスクに応じて点検し、見つかった問題を修正して結果を確認することを求めています。NCO原文・4〜6、8〜9ページ
担当者には、診断した範囲、未修正の項目、対応する人と期限、修正後の再確認結果を報告してもらいましょう。また、不審なログインや大量の情報取得などを誰が確認し、異常が見つかったら誰へ連絡するかも決めておく必要があります。
NCOは、防御側でAIを活用することも提案しています。ただし、有効性や運用上のリスクを検証し、分析結果や自動対処を人が監督することが前提です。AIによる診断や監視を導入しただけで、安全性が保証されるわけではありません。
まずは「対象・担当者・未対応・期限」をそろえる
今回の注意喚起を実務に移す最初の一歩として、社内や保守会社との打ち合わせで、次の4点を整理するとよいでしょう。
- 対象：どのサイト・アプリ・委託先を点検したか。
- 担当者：誰が影響確認、修正、動作確認を行うか。
- 未対応：残っている問題と、すぐ直せない場合の暫定対策は何か。
- 期限：いつ対応し、どの結果をもって完了とするか。
これは注意喚起をもとにしたSecuvistaの整理で、政府が一律の期限や同じ製品の導入を求めたものではありません。扱う情報やシステムの公開状況に応じて、優先順位を決めてください。
今回の文書は、直近の攻撃手口に焦点を当てたものです。NCOは、メールを使った攻撃なども含め、事業や保有情報に応じた対策が必要だとしています。まずは自社の状況を把握し、確認・修正・再確認を継続できる形にすることが大切です。
情報確認日：2026年11月7日。