国内組織への不正アクセスが相次いでいます。APIを狙う手口など複数の攻撃パターン（JPCERT/CC）
ひとことで言うと：JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）は2026年10月、いわば「最近、近隣で空き巣被害が増えています」という地域の防犯放送のように、国内組織で個人情報などの漏えいにつながる不正アクセスが2026年9月前後から相次いでいるとして、注意喚起を公表しました。特定のサイトの脆弱性ニュースではなく、増加しているおそれのある複数の攻撃パターンと対策をまとめた情報です。一般公開していないシステムも被害に遭っている点が特に注意すべきポイントです。
何が起きたか
JPCERT/CCは2026年10月8日、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030）を公表し、10月9日と10月23日に内容を更新しました。2026年9月前後から、国内組織で不正アクセスによる個人情報などの漏えい被害が相次いでいるとして、複数の製品・サービスで確認されている攻撃パターンを紹介しています。JPCERT/CC自身も「技術情報の共有が不足しており、把握できている情報は限定的」と断っていますが、増加のおそれがある攻撃類型として次のようなものを挙げています。
- 既知の脆弱性の探索と攻撃試行：さまざまな既知の脆弱性をスキャンして悪用を試みるものです。設定ファイルやバックアップファイルを窃取する手口も含まれます。
- APIを経由した不正操作：公開しているアプリを解析してAPI（システム同士が連携するための窓口）のエンドポイントやキーを特定し、画面操作では実行できない内部APIを攻撃して、利用者の権限を書き換えたり不正なアカウントを作成したりする手口です。他のシステムから窃取したAPIキーが使われる場合もあります。
- データ分析ツール「Metabase」の脆弱性（CVE-2026-72898）の悪用：APIへの不正なリクエストを通じて悪用されています。
- 簡易的な不正プログラム（Webシェル）の設置：公開Webサーバーからアクセスできるアプリケーションサーバーに、裏口のようなプログラムが設置された事例です。
- AIを用いたペネトレーションテスト基盤の悪用：2026年10月23日の更新で追加された項目で、公開Webアプリケーションや公開されたWSUSサーバーなどを標的に、脆弱性の探索や攻撃が試みられています。
JPCERT/CCは、一般利用者向けのアプリだけでなく、BIツールや従業員向け管理システムなど、不特定多数のアクセスを想定していないシステムも被害に遭っていると説明しています。防犯放送でよく言われる「表の鍵だけでなく、普段誰も見ていないはずの裏口や勝手口も狙われています」という注意と同じで、「社内専用だから誰も見つけないはず」という思い込みは当てはまらないということです。
誰に関係するか
「大企業や有名サービスが狙われる話」というイメージを持たれがちですが、この注意喚起が指摘しているのは、企業の規模を問わず当てはまる攻撃パターンです。特に次のようなシステムを持っている場合は関係があります。
- 自社サイトやスマホアプリと連携するAPIを公開している
- 社内向けの管理システム・BIツール（データ分析ツール）などをインターネット経由でアクセスできる状態にしている
- 使っているシステムやソフトウェアの更新が遅れがちになっている
「社内専用だから」「一般公開していないから」という理由だけで安全とは言えない、という点がこの注意喚起の重要なポイントです。
何をすべきか
1. 不要な公開サービス・管理機能を点検する
業務上不要になったサービスや管理機能がインターネットに公開されたままになっていないか、制作会社・管理会社に点検を依頼してください。使っていない機能は、公開を停止するのが最も確実な対策です。
2. 使っているソフトウェアを最新の状態に保つ
既知の脆弱性を突く攻撃が多いとされているため、CMSやプラグイン、データ分析ツールなどのソフトウェアを最新版に更新しておくことが基本的な備えになります。日頃の管理については、教材「プラグイン・テーマの安全な管理」も参考にしてください。
3. 多要素認証など、二次被害への備えをしておく
万が一、どこかで情報が漏えいした場合に備え、ログインの多要素認証を設定しておくことが推奨されています。管理画面のログインを守る基本は、教材「管理画面を守る基本」で解説しています。
4. 自分で判断できない場合は専門家に相談する
APIの設計や管理システムの公開範囲は専門的な内容です。心配な点があれば、制作会社・管理会社や、教材「セキュリティ専門家への相談タイミング」で紹介している窓口に相談してください。
よくある質問
これは特定のサイトの脆弱性の話ですか？
いいえ。これは個別のCVE（脆弱性）の話ではなく、JPCERT/CCが2026年9月前後から相次いでいる国内組織への不正アクセスについて、確認されている攻撃の傾向と対策をまとめた注意喚起です。このニュース欄で紹介している個別の脆弱性ニュースとは別に、被害の全体的な傾向を知るための情報として紹介しています。
一般公開していない管理画面やAPIなら安全ですか？
いいえ。この注意喚起では、一般利用者向けのアプリだけでなく、社内向けのBIツールや管理システムなど、不特定多数のアクセスを想定していないシステムも被害に遭っていると説明されています。「一般公開していないから安全」とは言えません。
何をすればいいですか？
業務上不要になったサービスや管理機能がインターネットに公開されていないかを点検し、使っているソフトウェアを最新の状態に保つことが基本です。二次被害への備えとして、ログイン時の多要素認証も有効です。自分で判断が難しい場合は、制作会社・管理会社に点検を依頼してください。
参考にした公開情報
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。JPCERT/CC自身も「得られている情報は限定的かつ断片的」と断っており、今後の更新で内容が変わる可能性があります。最新の内容は必ず原文でご確認ください。個別のサイトの安全を保証するものではありません。