情報漏えいが2年で100倍に。国家サイバー統括室の要請をWebシステム点検チェックリストにしました【2026年10月】

2026年の情報漏えいは、1〜10月だけで延べ3億件を超えました。2024年の約100倍です。国家サイバー統括室（NCO）は企業に対策を要請しており、その中身は「脆弱性の管理」「委託先の管理」「持つデータを減らす」の3本柱に整理できます。この記事では、10月29日に報じられた数字を整理したうえで、NCOの要請を自社がいま点検すべきチェックリストに落とし込みます。

結論から言うと、狙われているのは「インターネットに公開しているシステム」です。公開しているWebやAPIを洗い出し、穴をふさぎ、盗まれて困るデータそのものを減らす。この順で点検してください。

10月29日に報じられた数字を整理する

2つの調査が同じ日に報じられましたが、数えているものが違います。並べて読むときは混同しないでください。

読み取れるのは次の3点です。

• 伸び方が異常。 マクニカの数字は2024年の約100倍で、2025年からも年10倍のペースで増えています
• 8月以降に急増。 共同通信の報道でも8月以降の増加が目立つとされ、10月は16日時点で不正アクセスの報告がすでに830件に達しています（朝日新聞）
• 1件あたりが大きい。 佐川急便（最大延べ約5323万件）、メール配信サービスのユミルリンク（延べ約5162万件のおそれ）など、1社で数千万件規模の事案が続いています

政府も10月30日に、被害の相談窓口や注意喚起をまとめた「サイバー対応特設サイト」を開設しました。

何が起きているか：公開システムを片っ端から試す攻撃

今回の特徴は、特定の製品の穴を突く攻撃ではないことです。公開されているWebやAPIを網羅的に調べ、見つかった穴から入る。だから業種や規模を問わず被害が出ています。

国家サイバー統括室は10月26日の関係閣僚会議に出した資料で、攻撃の流れを次のように整理しています。

1. 日本国内でインターネットに公開されているWebシステム（アプリを含む）を標的にする
2. Webシステムを網羅的に調べ、侵入口が見つかればWebサーバーに入る
3. 入った後はデータベースを探し、特に個人情報を比較的短時間で盗み出す

そのうえで、標的の調査や侵害にAIを使っている可能性は高く、同じ種類の攻撃が今後も続くおそれがあるとしています。同じ資料では、Webシステム関連の事案が10月に入って急増し、攻撃対象もECサイト以外に広がったと説明されています。

一次情報で確認できる手口は次のとおりです。

• 標的ごとに既知の脆弱性を総当たり。 JPCERT/CCは、共通の1つの脆弱性ではなく、標的ごとにさまざまな既知の脆弱性をスキャンして悪用を試していると説明しています
• スマホアプリを解析してAPIを狙う。 攻撃元サーバーからは、Androidアプリを解析して裏側のAPIに脆弱性がないか調べた痕跡が見つかっています
• AIのペネトレーションテスト基盤の悪用。 JPCERT/CCは10月23日の追記で、AIを使った侵入テスト基盤を悪用した攻撃試行を確認したと公表しました
• 人間には無理な速度。 サイバーセキュリティクラウドは、約40分で326のIPアドレスを使い分けて1,200件超のアクセスを繰り返した観測例を報告し、AIエージェントの可能性を指摘しています

ただし、一連の事案すべてにAIが使われたと断定できる証拠は、公開情報の範囲では示されていません。NCOも「可能性は高い」という表現にとどめています。大事なのは「AIかどうか」より、公開しているものは短時間で全部試される前提に立つことです。NCOの文書も「いつ攻撃を受けてもおかしくない」という前提で対策するよう求めています。

点検チェックリスト①：脆弱性の管理

NCOの10月9日の文書は、脆弱性が公表されると攻撃者は短期間で悪用を始めると警告しています。まず「何を公開しているか」を把握し、そのうえで穴をふさぎます。

外から見えるものを把握する

• 公開しているドメイン・サブドメイン・IPアドレスを一覧にしている
• 検証環境、旧キャンペーンサイト、使っていない管理画面が公開されたままになっていない
• スマホアプリが叩いているAPIも一覧に入っている
• 不要なポート・プロトコル・サービスを止めている

穴をふさぐ

• OS・ミドルウェア・CMS・アプリのパッチを、公表から適用までの期限を決めて当てている
• サポートが切れた製品・バージョンを使っていない
• 内部のサーバーも、公開システムと同じ基準でパッチを管理している
• 定期的に脆弱性診断を受けている（新機能のリリース時も）

入口を固める

• 管理画面・クラウドコンソール・VPNに多要素認証（MFA）を入れている
• 管理者アカウントの人数と権限を最小限にしている
• 退職者・異動者・使っていないアカウントをすぐ無効にしている
• 推測されやすいパスワードを禁止している

入られても気づける

• アクセスログを取得し、一定期間保管している
• 大量アクセスや外部からの異常な認証試行を監視している
• 直近1カ月ほどのログに、不審な通信や大量取得の痕跡がないか確認した
• インシデント時の連絡先と初動手順が決まっている

点検チェックリスト②：委託先の管理

攻撃者は、守りの弱い委託先を足がかりに本命の企業へ入り込みます。NCOは「委託先企業と共に管理する」という認識を求めています。自社のシステムだけ固めても、データを預けた先が破られれば漏れます。

委託先の状況を把握する

• 個人情報や業務データを預けている委託先・SaaSを一覧にしている（メール配信、フォーム、CRM、制作会社など）
• 再委託先まで把握している
• 委託先のセキュリティ方針・認証取得状況・監査結果を確認している
• 確認は契約時の1回きりではなく、定期的に行っている

契約で決める

• 情報の取り扱い方法を契約で定めている
• アクセス権とログの管理を委託先に求めている
• 漏えい・不正アクセス時の報告義務と期限を契約に入れている
• インシデント時の連絡体制を決めている

渡すものを絞る

• 委託先に渡す個人情報は、業務に必要な項目だけにしている
• 業務が終わったら、委託先でデータを削除してもらい、削除を確認している
• 委託先に付けたアカウント・APIキーを、契約終了時に止めている

今年の大規模事案には、メール配信サービスのように「多くの企業がデータを預けている委託先」が破られたケースがあります。自社が委託する側にも、委託される側にもなりうる点は押さえておくべきです。

点検チェックリスト③：持つデータを減らす

持っていないデータは漏れません。NCOは、攻撃者が盗んだ情報で脅迫したり売買したりと、データそのものを狙う傾向を強めていると指摘し、保有情報の最小化を求めています。

何を持っているか把握する

• 個人情報・業務データの保管場所と管理者が一覧になっている
• それぞれの利用目的と保存期間が決まっている
• 定期的に棚卸ししている

減らす

• 利用目的を終えたデータ（終了したキャンペーンの応募者、退会者など）を削除している
• 法令上の保存期間を過ぎたデータを廃棄している
• 本人確認書類の画像など、「念のため」で残しているデータを見直した

持つなら守る

• 業務上必要な人だけがアクセスできる
• 閲覧権限と更新権限を分けている
• 保存データと通信経路を暗号化している
• パスワードや認証情報を平文で保存していない
• バックアップも同じ基準で守っている
• クラウドのストレージやデータベースが公開設定になっていないか確認した
• 大量のデータ取得を検知できるようにしている

③は①②と違い、お金をかけずに今日から始められます。1つのアカウントで全件を引き出せる状態をなくすだけでも、漏れたときの被害の上限が下がります。

まとめ：まず「何を公開しているか」から

2026年の情報漏えいは延べ3億件を超え、公開しているシステムは短時間で総当たりされる前提になりました。NCOの要請は3本柱に整理できます。

1. 脆弱性の管理： 公開資産を洗い出し、パッチとMFAで入口をふさぐ
2. 委託先の管理： データを預けた先まで含めて確認し、渡すものを絞る
3. 持つデータを減らす： 不要なデータを消し、残すデータは権限と暗号化で守る

どこから手を付けるか迷ったら、チェックリスト①の「外から見えるものを把握する」からです。自分たちが知らない公開資産は、守りようがありません。

攻撃者と同じ目線で自社の公開システムを調べたい場合は、MojiのAI脆弱性診断に無料でご相談ください。

出典

• 国家サイバー統括室「サイバー攻撃による情報漏えい等について」（第1回サイバーセキュリティに関する関係閣僚会議 資料1、2026年10月26日）

• 内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）
• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（10月23日更新）
• 情報漏えい10月までに3億件超 2年で100倍、AI無差別攻撃（共同通信／東奥日報）
• 情報漏えい10月までに3億件超（デイリースポーツ／共同通信）
• 2026年度の情報漏えい被害、2.6億人を超える（Impress Watch）
• 不正アクセスで個人情報漏洩、今年度すでに2億6千万人（朝日新聞／Yahoo!ニュース）
• 政府「サイバー対応特設サイト」設置（ANN）
• NICT「相次ぐ情報漏洩、その原因の一つは『アプリ解析からのサーバ攻撃』」
• サイバーセキュリティクラウド：AIエージェントによる攻撃の可能性
• piyolog：国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた