国内で大量の個人情報漏えいが続く　JPCERT/CCが10月23日に注意喚起を更新、企業が点検すべき「社内向けシステム」

いま何が起きているのか

不正アクセスによる大量の個人情報漏えいが、業種を問わず続いています。 JPCERT/CC（国内の情報セキュリティ事故への対応を調整する組織）は10月8日に注意喚起を出し、10月23日に新たな事例の類型を加えて更新しました。それによると、2026年9月前後から国内組織で漏えい被害が相次いでいますが、技術的な情報の共有は不足しています（JPCERT/CC（外部サイトが新しいタブで開きます））。

10月18日以降も公表は続いています。ニフティは10月19日、回線の申込・受付を管理する社内用ツールへの不正アクセスを確認し、2019年以降の申込者の氏名・住所・電話番号など最大54万2,513件が漏えいした可能性があると公表しました。口座やクレジットカードの情報はこのシステムに持っていないとしています（ニフティ（外部サイトが新しいタブで開きます））。

音声素材の販売サイトを運営するクリプトン・フューチャー・メディアは10月17日夜に不正アクセスを確認してサーバーを止め、22日の更新で会員36万2,137件の氏名・メールアドレスなどの漏えいを明らかにしました。パスワードは元に戻せない形式で保存されていたものの、全利用者のパスワードを無効にしています（クリプトン・フューチャー・メディア（外部サイトが新しいタブで開きます））。

何が狙われているのか

顧客向けのアプリだけでなく、社内向けのシステムも入口になっています。 JPCERT/CCは、被害は一般利用者向けアプリに限らず、データ分析用のBIツールや従業員向けの管理システムなど、不特定多数の利用を想定していないシステムにも及んでいるとしています。観測された主な類型は次のとおりです。

なお、すべてが同じ手口ではないとJPCERT/CCは注意しています。

公的機関は何を求めているか

国も経営層に向けて対策の徹底を呼びかけています。 国家サイバー統括室は10月14日、統括室、警察庁、個人情報保護委員会、金融庁、総務省、経済産業省、IPAなどの注意喚起を一覧にまとめました（国家サイバー統括室（外部サイトが新しいタブで開きます））。

その1つであるIPAの10月9日の文書は、点検の柱として「外部公開アプリケーションの精査」「利用している外部サービスの洗い出し」「保有データの再点検」を挙げています。ログは直近1カ月から3カ月へと段階的にさかのぼること、覚えのないアカウントや無効のはずのアカウントがないかを見ること、不要な情報は持たないことを求めています。経営者には、サイバーリスクを重要な経営課題と認識し、委託先を含むサプライチェーン全体に目を配るよう求めています（IPA（外部サイトが新しいタブで開きます））。

編集部は、今回の一連の事案から、守るべき範囲を「顧客が使う画面」ではなく「個人情報に届くすべての仕組み」として捉え直す必要があると考えます。