相次ぐ不正アクセスによる情報漏えい対策｜企業が今すぐ点検すべき3つのポイント
昨今、不正アクセスによる日本企業の情報漏えい事案が相次いで報道されています。特に2026年10月に入ってからは、警察庁や金融庁、国家サイバー統括室といった公的機関が一斉に注意喚起を発表しており、各企業が積極的に対策に取り組むことが求められています。本記事では不正アクセスの傾向を押さえつつ、企業が取り組むべき具体的な情報漏えい対策について解説します。
いま何が起きているのか
独立行政法人 情報処理推進機構（IPA）は「公表事例の傾向から、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえる」と分析しています。
出典: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について
また、被害企業からの依頼を受けたフォレンジック企業による攻撃元インフラの調査では、国と業種を絞ったAIによる攻撃が確認されたと発表されました。9月には韓国で同様の攻撃が確認されています。フォレンジックについては、こちらのコラムで詳しく解説しています。
サイバー攻撃の緊急対応ガイド｜基礎知識と初動対応のポイントを解説
不正アクセス被害は、自社で個人情報を管理しているか、外部サービスを利用しているかにかかわらず発生しています。
今回報告されたような攻撃の自動化や効率化にAIが活用されるケースは今後も増えることが予想されており、従来より短期間で大規模な攻撃が行われるリスクが高まっています。
インターネットからアクセス可能なアプリケーションやサービスを利用している企業は、どんな企業でも攻撃対象になり得るという前提で対策をしておくべきでしょう。
情報漏えい対策は「経営課題」
サイバーセキュリティは、セキュリティ部門や外部委託先に丸投げできるものではありません。企業としての売り上げや信用に直結する問題であり、事前対策・情報漏えい時の緊急対応ともに、経営層の速やかな意思決定が必要となります。経済産業省とIPAが共同で発表した「サイバーセキュリティ経営ガイドライン」では、経営者が認識すべき「3原則」が定められています。
経営者が認識すべき３原則
1. 経営者は、サイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要
2. 自社はもちろんのこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要
3. 平時及び緊急時のいずれにおいても、サイバーセキュリティリスクや対策に係る情報開示など、関係者との適切なコミュニケーションが必要
経営層から現場の従業員まで、組織全体が当事者意識を持って取り組むことが重要です。
今すぐ点検すべきポイント
点検①：外部公開アプリケーションの精査
前述の通り、今回問題になっているサイバー攻撃の起点として疑われるのは外部に公開しているアプリケーションやサービスです。 まずは次にあげる3点を確認してください。
• 公開アプリの把握
自社が独自に構築・運用し外部公開しているアプリケーションやサービスがないかを確認します。
• ログの確認
アプリケーション、サービス単位で直近のログに異常がないかを確認します。エラーの出力量が平時と違わないかなどが目安です。確認範囲は、直近1か月、その後3か月と段階的に広げます。今後も複数回調査する可能性があるため、誰がどのように調査できるかも把握しておきましょう。
• パッチ適用状況の確認：構成要素に未適用の脆弱性対応パッチがないかを確認し、あれば速やかに適用します。
点検②：利用している外部サービスの洗い出し
自社で構築したものだけでなく、利用している外部サービスも点検の対象です。クラウドサービスやVPNサービスなどさまざまな種類があり、部署単位で使っているものもあります。そのため、できる限り網羅的に洗い出すことが大切です。
洗い出したら、サービスごとに次の点を確認します。
- • ログの異常
- ログイン失敗の量のように分かりやすいものに加え、ログイン元IPアドレスや時間帯など、平時との比較が必要なものも確認します。なお、ログの保有期間はサービスごとに異なります。サービス提供者と利用者で確認できるログが違う場合もあるため、誰がいつどのように確認できるかを整理しておきます。
- • アカウントの異常
- 作った覚えのないアカウントがないか、無効化したはずのアカウントが有効になっていないかを確認します。アカウント操作が記録されるログもあわせて見ると、より有効です。
なお、点検①②のどちらでも、異常なログやアカウントを見つけた場合は、速やかにセキュリティインシデントと判定し、対応を進めてください。
点検③：保有データの再点検
IPAは、二次被害が拡大する傾向を踏まえ、「不要な情報は持たない」という基本原則のもとで再点検するよう求めています。
自社が保有する情報資産を正確に把握し、必要最小限にすることが、被害を小さくする近道です。「念のため保管している」「以前のキャンペーンで集めたまま」といったデータが残っていないか、この機会に見直してみてはいかがでしょうか。
点検で異常がなくても進めたい強化策
点検で異常が見つからなくても、外部公開アプリケーション、外部サービス、保有データについては、より強固な対策を検討してください。
| 対象 | 検討すべき対策 |
|---|---|
| 外部公開アプリケーション | 外部公開範囲の見直し／多要素認証・パスワードの強化／アカウントへの権限付与の見直し／API連携など構成要素単位の管理状況と権限の見直し／ログ取得内容・保持期間の見直し／追加実装可能なセキュリティ対策の検討 |
| 利用している外部サービス | 多要素認証・パスワードの強化／アカウント付与範囲の見直し／アカウント棚卸し運用の見直し／API連携など構成要素単位の管理状況の見直し／ログ取得内容・保持期間の見直し／適用可能なセキュリティ対策の検討 |
| 保有するデータ | データ保有の是非の再検討／データ保管場所の再検討／アクセスログの取得内容・保持期間の見直し／データの暗号化 |
こうした緊急的な点検や対策の先には、社内体制の整備に加え、国外拠点や取引先まで考慮した総合的な対策が必要です。経営者のリーダーシップのもとに、サプライチェーン全体のリスクを把握し、取引先や委託先とも連携して進める姿勢が重要です。
サイバー攻撃の種類や手口、日頃から取り組める基本的な防御策については、こちらのコラムで詳しく解説しています。
サイバー攻撃の緊急対応ガイド｜基礎知識と初動対応のポイントを解説
万が一、情報漏えいが起きてしまったら
どれだけ対策を講じても、被害を完全にゼロにすることは難しいのが現実です。点検で異常なログやアカウントが見つかった場合、IPAは、速やかにセキュリティインシデントと判定して対応を進めるよう求めています。あわせて、情報漏えいの可能性を考慮し、専門のセキュリティベンダーに詳細調査を依頼することを強く推奨しています。
原因調査と並行して、早い段階で必要になるのが顧客対応です。情報漏えいが起きると、被害を受けた顧客からの問い合わせやクレームが殺到し、社内リソースだけでは対応しきれない事態になることも少なくありません。 個人情報が流出した場合は、法的義務に基づき本人への通知が必要となることがあります。万が一の場合は緊急の問い合わせ窓口を委託することも視野に入れておきましょう。
まとめ
不正アクセスによる情報漏えいを防ぐためには、すべての攻撃を防ぐことだけを目指すのではなく、「自社も攻撃対象になり得る」という前提で、侵入の兆候を早期に発見し、万が一の際に被害を最小限に抑えられる体制を整えておくことが重要です。
まずは今回ご紹介した、
- 外部公開アプリケーションの精査
- 利用している外部サービスの洗い出し
- 保有データの再点検
の3点から、自社の状況を確認してみましょう。これらは、IPAが2026年10月9日の注意喚起で速やかな実施を求めている点検事項でもあります。
そして、異常がなかった場合もそこで終わりにせず、認証や権限管理、ログ管理、データの保有方法などを継続的に見直すことが大切です。
情報漏えいは、情報システム部門やセキュリティ担当者だけの問題ではありません。経営層、現場、取引先・委託先を含めた組織全体の課題として、平時の対策と有事の対応体制をあわせて整備しておきましょう。