IPA は2026年10月9日、相次ぐ不正アクセスの漏えいを受けて、外部に公開しているアプリ・利用している外部サービス・持っているデータの3つを速やかに点検するよう呼びかけた。警察庁の報告や各社の公表とあわせ、入口ごとの対策を一覧にした。
- IPA（情報処理推進機構）は2026年10月9日、相次ぐ不正アクセスの漏えいを受けて、経営者に対策の点検を「至急」行うよう呼びかけた。この秋の事案は、外部に公開しているアプリ・サービスの侵害と、アカウントの侵害が起点とうかがえるとしている
- 警察庁の報告では、ランサムウェアの入口は VPN の機器が約5割。インターネットに出ている所から遠隔で入り込む手口が多く、メールの添付ファイルからの感染は少なくなっているとしている
- 下の表は、手口・入口・対策の順に、公式の資料に書かれていることだけをまとめた
1. 攻撃の流れ（警察庁の報告が示すランサムウェアの代表的な流れ）
| 段階 | 攻撃者がすること |
|---|---|
| ① 探す | 弱いところのある機器やサービスを探す。警察庁のセンサーが捉えた不審なアクセスは、2026年上半期に前年同期より51%増えた |
| ② 入る | VPN の機器などインターネットに出ている所から、直していない脆弱性や漏れた ID・パスワードを使って入り込む |
| ③ 広げる | 管理者の権限を奪い、セキュリティの仕組みを止めようとする |
| ④ 物色する | 社内を調べ、大事なデータやバックアップを探す |
| ⑤ 盗む | データをクラウドなどへ送り出す |
| ⑥ 脅す | ランサムウェアでデータを暗号化し、脅迫状を置く。払わなければ盗んだデータを公開すると脅す（二重の脅し） |
| ⑦ 消す | 記録（ログ）や使った道具を消して、跡を隠す |
2. この秋の事件の入口（各社の公表から）
| 入口 | 会社（サービス） |
|---|---|
| 外部に公開しているサーバー・ツールの脆弱性 | Gyazo（画像を受け付けるサーバー）、NewsPicks（業務の管理ツール） |
| 管理画面への不正ログイン・なりすまし | スカラコミュニケーションズの i-ask（管理サイト）、コミューンの Commune（招待リンクを手に入れ、管理者になりすまし） |
| 委託先を通じて複数の会社へ | i-ask（最大5社）、Commune（利用企業のコミュニティ） |
| 入口を公表していない | 「第三者による不正アクセス」「調査中」までの会社が多い |
3. 入口ごとの対策
| 入口・手口 | 対策（公式の資料の言葉から） | 根拠 |
|---|---|---|
| 外部に公開しているアプリ・サービスの弱点 | 未適用のパッチをできるだけ早く当てる。外部に公開する範囲を見直す。ログの異常を、直近1か月から3か月へと広げて確かめる | IPA |
| アカウントの乗っ取り・不正ログイン | 多要素認証とパスワードを強める。作った覚えのないアカウントや、無効にしたはずのアカウントが無いか確かめる。権限の付け方を見直す | IPA |
| 委託先・外部のサービス | 使っている外部サービスを、部署単位のものまで全部洗い出す。ログとアカウントを確かめる。取引先や委託先まで含めて対策を考える | IPA |
| VPN の機器 | 脆弱性の対策と、ID・パスワードなど認証情報の管理 | 警察庁 |
| 管理画面・社内向けの入口 | 決まった IP アドレスからだけ入れるようにする。利用者のいない国からの通信を遮断する | Cloudflare の説明 |
| 持っているデータ | 持つかどうかから考え直す。保管場所を見直す。暗号化する。アクセスの記録を取る | IPA |
| 被害が起きたとき | バックアップとログを取っておく。事業を続ける計画を作る。速やかに警察へ通報・相談する | 警察庁 |
| なりすましメール・偽サイト | なりすましメールを防ぐ技術（DMARC）に対応する。パスワードの代わりに生体認証などで入るパスキーを広める | 警察庁 |
4. 国で遮断するときに知っておきたいこと（警察庁の報告から）
| 報告に書かれていること | 意味 |
|---|---|
| 攻撃の下調べのアクセスの送信元は、米国・オランダ・ブルガリア・英国・ドイツの順に多い（2026年上半期） | 送信元の IP アドレスの国で、報告は攻撃者の国籍とは書いていない |
| 家庭の機器や、無料の VPN アプリなどに仕込まれた仕組みが、攻撃の通信の中継に使われている | 国内の機器を踏み台にすると、海外からのアクセスを制限したサーバーにも入れてしまう、と報告は書いている |
国での遮断は入口を狭める手段の一つで、表3のパッチや多要素認証と重ねて使うものになる。IPA は、委託先の対策を共通の基準で評価する制度（SCS評価制度）を2027年3月に始める準備をしているほか、中小企業向けに「5分でできる！情報セキュリティ自社診断」を案内している。
確かめた一次資料
- 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について ↗
- 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について ↗
- Custom rules（WAF の説明） ↗
- FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ ↗
- コミューンのお知らせ（2026年10月9日） ↗
- Gyazo のお知らせ（第二報、2026年9月25日） ↗
- NewsPicks のお知らせ（第二報、2026年10月9日） ↗
- シチズン時計のお知らせ（2026年10月6日） ↗
この記事は、上の一次資料の原文を読んで書いています。数字は原文のとおりで、計算した値はそう書いています。