【10月緊急対応版】情報漏えい事故から判明した「5つの経路」と「5つの対策」

不正アクセス攻撃者の手口と情報漏えいのパターン

　2026年8月から10月下旬にかけて、国内の企業や公的機関、SaaS基盤で個人情報漏えいや不正アクセスの公表が相次いだ。情報処理推進機構やJPCERT/CC、内閣官房国家サイバー統括室などの専門機関が一斉に緊急の注意喚起を発出する事態となっている。専門研究機関の集計によると、9月1日から10月22日までの約50日間で公表された国内の事案は累計335件に達し、そのうち10万件以上の個人情報が流出した、またはその恐れがある大規模事案は61件に上る。

　このうち侵入経路が公表された24事案のうち、18件がソフトウェアやウェブシステムの脆弱性悪用、6件が盗み出された認証情報による不正ログインに分類されている。脆弱性の公表から攻撃開始までの時間差が実質的に消滅しており、攻撃が急速に構造化・大規模化している実態が浮かび上がる。この公表されている直近の事案を分析すると、攻撃者がどこから侵入し、どのようにデータを盗み出したかは5つのパターンに分類できる。

　1つ目は、スマートフォンアプリの解析と背後のシステムにおける確認不足を突く手口だ。公開されているアプリを解析して通信の仕組みや秘密の鍵を特定し、本人確認の抜け穴を突いてデータベースから会員情報を直接一括で抜き出す。ソースネクストで最大約2252万件、物語コーポレーションが運営する焼肉きんぐで約1079万件の情報が流出した事案がこの典型である。

　 2つ目は、外部に公開されているウェブシステムやSaaS、ミドルウェアの弱点を悪用する手口である。公開サーバーやデータ分析ツール、ノーコード制作基盤などの未修正の不具合を突き、不正なプログラムを設置したり遠隔操作を行ったりしてサーバーの制御権を奪う。Helpfeelが運営する「Gyazo」では変換サーバーの弱点を突かれて約2362万件が流出し、ECサイト機能を提供する「Eストアー」では注文処理の過程に不正なプログラムを仕込まれ約2335.6万件の顧客データが外部へ自動転送された。ノーコード基盤の「Studio」でも一部の機能に弱点が見つかり、利用企業のフォーム送信データが外部から取得可能な状態となった。

　 3つ目は、社内外の境界にあるネットワーク機器やVPNの弱点を突く侵入だ。リモートワーク用に設置された機器の未修正の不具合から内部ネットワークへ侵入し、ファイルサーバーなどから大量のデータを盗み出す。デジタル庁や日本医科大学武蔵小杉病院などの事案でこうした境界機器の悪用が報じられているが、個別の詳細な侵入経路については公式に発表されていない。

　4つ目は、取引先や業務委託先を経由して認証情報を盗み出すサプライチェーン型の攻撃である。防御が手薄な委託先の端末をウイルスに感染させたり、共通で利用するメール配信サービスなどから管理用のアカウント情報を盗み取ったりして、正規の接続を装い本番環境へ侵入する。第一興商では委託先の端末感染から約872万件が流出し、メール配信サービスのブラストメールなどを利用する多数の企業や自治体でも連鎖的な被害が確認されている。

　 5つ目は、管理機能の突破とクラウド環境内での移動、および二次悪用だ。インターネット上に公開された管理画面の制御を破って権限を奪い、同じネットワーク内のクラウド保管庫へ移動してバックアップデータを盗み出す。アドベンチャーが運営するスカイチケットではこの手口で約1464万件が流出した。また、GMOインターネットのお名前.comデスクトップクラウドでは、管理基盤の弱点を突かれて2万6739台の仮想サーバーが影響を受け、内部に保存されていた認証情報を使って国内外70社以上のFXや証券口座で不正な取引が行われる被害に発展している。