【セキュリティアラート】相次ぐ不正アクセス被害。IPA発表から学ぶ、企業が「今すぐ」やるべき3つの点検事項

いつも弊社ブログをご覧いただき、ありがとうございます。グローバルリーディング石井です。

直近、国内の金融機関や通信事業者など幅広い業界において、不正アクセスによる情報漏えい事案が相次いで公表されています。特に、大量の個人情報を扱うオンラインサービスやアカウントシステムが狙われ、データが窃取（せっしゅ）される深刻なケースが増加しています。

こうした事態を受け、2026年10月9日、IPA（情報処理推進機構）より「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」という緊急の注意喚起が発表されました。

今回は、自社の大切な情報資産と顧客の信頼を守るために、企業の皆様が「今すぐ実施すべき点検事項」と「今後の対策」について分かりやすく解説します。

【経営層の皆様へ：リーダーシップの重要性】 IPAは、サイバーセキュリティリスクを「自社のリスクマネジメントにおける最重要課題」として認識し、経営者自らのリーダーシップのもとで対策を進めることを強く求めています。「自社は大丈夫だろう」という過信を捨て、情報漏えいを起こさないための社内点検・見直しを至急指示してください。

【速やかに実施すべき3つの点検】

公表されている事例の傾向から、攻撃の起点は「外部公開しているアプリケーションやサービスの侵害」および「アカウントの侵害」であることが分かっています。まずは以下の3点について、直ちに点検を行ってください。

1. 外部公開しているアプリケーションの精査

• 自社で独自に構築・運用している外部向けWebアプリケーションやサービスについて、ログ（※1）に「異常なエラーの急増」や「平時との差異」がないか確認します。

• システムを構成する要素に「未適用の脆弱性パッチ（※2）」がある場合は、速やかに適用してください。

（※1）ログ： コンピューターやシステムが「いつ」「誰が」「何をしたか」を記録した履歴データのこと。 （※2）脆弱性（ぜいじゃくせい）パッチ： ソフトウェアの欠陥やセキュリティ上の弱点を修正・補強するための更新プログラムのこと。

2. 自組織が利用している外部サービスの洗い出し

• クラウドサービスやVPN（※3）など、社内（部署単位含む）で利用している外部サービスを網羅的に洗い出します。

• 不審なIPアドレス（※4）からのアクセスや、ログイン失敗の異常な増加がないかログを確認します。

• 「作成した覚えのないアカウント」や「無効化されているはずの退職者のアカウント」が有効になっていないかチェックしてください。

（※3）VPN： インターネット上に仮想的な専用線を設け、安全に通信を行う技術。リモートワーク等でよく利用されます。 （※4）IPアドレス： インターネット上の機器を識別するための「住所」のようなもの。

※万が一異常を発見した場合は速やかにセキュリティインシデント（※5）として扱い、専門ベンダーへの詳細調査依頼を検討しましょう。

（※5）セキュリティインシデント： 情報漏えいや不正アクセスなど、セキュリティを脅かす重大な事象・事故のこと。

3. 保有データの再点検

• 万が一システムに侵入された際、情報を窃取されて悪用される（脅迫、不正売買など）二次被害を防ぐため、「不要な情報は持たない」という基本原則を徹底してください。

• 自社が保有する情報資産を正確に把握し、保管データを必要最小限にするための再点検が必要です。

  
  

【点検後、さらに強固な恒久対策へ】 上記の緊急点検で異常がなかった場合でも、安心はできません。外部からの攻撃に対する耐性を高めるため、今後は以下のような対策を順次進めていきましょう。

• 認証の強化： 多要素認証（※6）の導入とパスワードポリシーの見直し。

• 権限の最小化： アカウントへの権限付与範囲や、API連携（※7）などの管理状況の見直し。

• データの保護： データの保管場所の見直しやデータの暗号化、ログ保持期間の最適化。

（※6）多要素認証（MFA）： パスワード（知識）だけでなく、スマートフォンへのSMS通知（所持）や指紋認証（生体）など、2つ以上の要素を組み合わせて本人確認を厳格に行う仕組み。 （※7）API連携： 異なるソフトウェアやシステム同士をつなぎ、データや機能を連携・共有する仕組み。

【おわりに：サプライチェーン全体での対策を】 サイバー攻撃の手口が高度化する中、自社システムの防衛だけでなく、取引先や委託先を含めたサプライチェーン（※8）全体でのセキュリティ対策が今まで以上に求められています。

（※8）サプライチェーン： 製品の開発から販売に至るまでの一連のつながり。セキュリティにおいては「システムやデータを共有する取引先や委託先など、自社とつながりのある企業群全体」を指します。

👉サイバーセキュリティ 相談・届出窓口一覧 https://www.ipa.go.jp/security/support/soudan.html

参考：独立行政法人情報処理推進機構（IPA） 「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」 https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html