はじめに
2026年9月頃から10月にかけて、不正アクセス及び個人情報漏えいに関するニュースは、人々の不安を煽りました。
この様な状況下において、企業への不正アクセス及び個人情報の流出が相次いでいることを受け、デジタル大臣は「自分の情報は自分で守るという意識を持って、被害防止に向けた取り組みに協力してほしい」と個人でも対策をする必要があると訴えました。
IT業界に従事するITエンジニアにとって、特に事業会社などでセキュティ業務に携わる立場の場合、対岸の火事ではありません。
本記事では、情報システム部門の目線で考えるエンドポイントセキュリティの対策例について記載してます。
不正アクセスの背景
以下は、2026年9月から10月上旬に公表された不正アクセスの事例について、まとめた表になります。
| No. | 対象システム | 攻撃種別 | 事例 |
|---|---|---|---|
| 1 | 顧客向けWebサービス | パスワードリスト攻撃によるなりすましログイン | 覆面調査サービスに対して、パスワードリスト攻撃が行われ、5,060,270件の不正ログイン試行のうち59,389人で不正ログインが成立し、2アカウントでポイントの不正交換が発生。 |
| 2 | 顧客向けWebサービス | 脆弱性の悪用 | 画像共有サービスにおいて、サーバの脆弱性が悪用され、ユーザー情報約2,362万件、画像メタデータ約4.9億件などが流出。 |
| 3 | 顧客向けWebサービス | 不明 | デジタル整理券システムに対する不正アクセスが行われ、133人の抽選結果のステータスについて「当選」から「落選」に改ざんが行われた。 |
| 4 | 顧客向けWebサービス | 不明 | カーシェアリングサービスで約660万件、通販サイトで7,716,811件、アンケートサイトで最大約95万件の個人情報漏えいなど、大規模な情報漏えいが相次いだ。 |
| 5 | 業務システム | 脆弱性の悪用（VPN機器等） | デジタル庁が運用するガバメントソリューションサービス（GSS）において、VPN機器の脆弱性を悪用した侵入が発生し、職員・委託事業者など計約24.6万件の個人情報が漏えいの可能性。 |
| 6 | 業務システム | 不明 | 保険、人事、大学、銀行、研究機関などの業務システムで不正アクセスや情報漏えいが発生。 |
| 7 | 公式サイト | 脆弱性の悪用 | トレカゲームの公式サイト、財団、行政、組合、教育などのWebサイトにおいて、CMSやプラグインなどの脆弱性が悪用され、サイト改ざんや個人情報が漏えいの可能性。 |
| 8 | 公式サイト | 不明 | コンサルティング会社のサイトが不正アクセスを受け、サイト改ざんや個人情報が漏えいの可能性。 |
| 9 | 公式サイト | 不明 | 女性向け情報サイトの管理画面にアクセスするための従業員用IDとパスワードが窃取され、不正アクセスを受けた。 |
| 10 | 外部SaaS | 不明 | FAQシステムが侵害されたことで複数企業へ被害が発生し、最大5社・最大713,126件の個人情報が漏えいの可能性。 |
| 11 | 外部SaaS | 不明 | 宿泊予約管理システムが侵害され、予約者にカード情報の再入力や支払いを求める不審メッセージが送信された。 |
| 12 | スマホアプリ・会員管理システム | 不明 | 公式アプリや会員管理システムが侵害され、焼肉チェーンで約1,079万件の個人情報漏えい、コンビニチェーンで約57万アカウントの個人情報が漏えいの可能性。 |
| 13 | IaaS型クラウドサービス | ランサムウェア攻撃 | 国産クラウドの一部リージョンがランサムウェア攻撃を受け、495の企業・自治体に影響。 |
| 14 | クラウドアカウント | クラウドアカウントの侵害 | 大学や企業で利用しているGoogleやMicrosoft 365アカウントに対して、第三者が不正にログインを行い、なりすましメール送信や情報漏えいが発生。 |
2022年4月に施行された改正個人情報保護法によって、情報保護委員会への報告と本人への通知が義務化されたました。従って、情報漏えいが発覚した企業は、事象を把握した段階で速報を行い、その後の調査結果を踏まえて確報や本人への通知を行います。
以下は、個人で開発及び運用しているセキュリティニュースを収集及び表示するWebアプリの画面です。
本記事執筆時点（2026年10月15日）を起点に30日以内の期間で、タグ付けされた記事のトレンドを確認したところ、10月5週は特に不正アクセス（Unauthorized Access ）のタグに関する記事の多さが確認できました。
不正アクセス及び個人情報漏えいに関するメディアの加熱する報道は周知のとおりですが、メディアに出演しているITジャーナリストや大学教授によるコメントを見聞きしても、AIが悪用されている程度の情報のみで有益な情報は得られません。
報道されているニュースを見ると、日本がターゲットにされていると思い込みやすいですが、必ずしもそうとは言い切れない部分もあります。
- 一つの侵入が複数の発表につながっている
- 委託先や外部サービスの侵害に関する報道によって、複数の発表につながる（例：SaaS/ASPサービスの事業を行なっている某社のFAQシステムやIaaS型のクラウド事業を展開している某社の例では、クライアント企業が個別に発表することで、複数の発表につながった）
- 発表のタイミングが重なっている
- 事象に関するサイバー攻撃が9月末に急増したことと、事象に関する発表が9月末に集中したことは分けて考える必要がある
- 世界で見ても大規模な不正アクセスは多発している
- 米国の国防総省によって管理されているDefense Manpower Data Center（DMDC）やデンマーク版マイナンバーと呼ばれるCentrale Personregister（CPR）に対する不正アクセスが発生
現状、日本によるサイバー攻撃が増えているのは事実ではあるものの、世界全体で見ると米国の方が被害の規模や件数も多く、日本のみが突出して狙われている訳ではないと考えることができます。
また、以下のようなサイバー攻撃を可視化しているWebサイトを見ると、日本に対する攻撃は上位でないことが確認できます。
- 本記事執筆時点（2026年10月15日）のキャプチャ
攻撃手法
セキュリティ対策を行うにあたり、攻撃者の攻撃手法を理解することは重要です。
脆弱性の悪用や外部公開APIを狙った一般的な攻撃手法を除き、最近の事例を踏まえた再現性のある攻撃手法について考えます。
フィッツシング
大学や企業で発生した不正アクセスの事例では、フィッシング攻撃などのソーシャル攻撃によって、認証情報が窃取され、アカウントの乗っ取りが発生しています。
最近は生成AIの進化によって、海外の攻撃者による日本に対するフィッツシング攻撃を行うハードルは下がっているため、日本に対するフィッツシング攻撃増加の要因の一つと考えることができます。
フィッツシングを起点とした攻撃は、パスワード付きZIPなどを添付し、セキュリティ製品の検査を回避しながら不正プログラムの実行を誘導する古典的な手法に加え、近年では以下のような応用的な攻撃手法も利用されています。
- Microsoft 365やGoogle Workspaceのログイン画面を模した偽サイトに誘導し、ID・パスワードを窃取する
- Google Workspaceなどのクラウドストレージへ誘導し、マルウェアなどの不正プログラムをダウンロードさせる
- HTML形式の添付ファイルやGoogleスプレッドシートを装ったリンクなどを利用し、ClickFixへ誘導して不正なコマンドを実行させる
- QRコードをメール本文やPDFファイルに埋め込み、スマートフォンからフィッシングサイトへアクセスさせる
- 正規サービスを装ってOAuth認可画面へ誘導し、不正なアプリケーションにアクセス権限を付与させる
- HTML Smugglingを利用して、メールゲートウェイなどの検査を回避しながら、ブラウザ上で不正ファイルをダウンロードさせる
- MFAを導入している環境に対して、Adversary-in-the-Middle（AiTM）フィッシング攻撃を行い、認証情報やセッションCookieを窃取する
Androidアプリからの認証情報取得
2026年10月13日、NICTによって「【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」の記事が公開されています。
記事内では、Androidアプリを提供する事業者に向け、3種の推奨対策をまとめた注意喚起を公表しています。
なお、米国でサイバーセキュリティニュースを発信しているCyber Security Newsでは、2026年9月14日に以下の記事が公開されていました。
上記記事では、ハッカーによってClaudeを利用して大規模な認証情報窃盗作戦を実行し、180万個のAndroidアプリケーションをダウンロード、逆コンパイル、スキャンなどを行いハードコードされた秘密情報を盗んだことが明らかになっています。
セキュリティ対策
組織においてセキュリティ対策を行う場合、事業に関わるエンジニアと、情報システム部門などコーポレート領域でセキュリティ業務をおこなっているエンジニアでは、とるべきキュリティ対策が異なります。
事業に関わるエンジニアの場合、必然的に担当するプロダクトの脆弱性管理にフォーカスすることが多いと思います。
本記事では、情報システム部門の目線によるエンドポイントセキュリティに関する対策の例について記載しています。
EDRの設定見直し
昨今はEDRを導入している組織が増加していると思いますが、EDRを導入したら終わりではありません。
前提として、組織で管理対象とする端末全てに対して、EDRを導入する必要があります。また、OSのアップグレードのライフサイクルに応じて、EDRがサポートされているバージョンになっているかについても定期的に確認する必要があります。
従って、このようにきちんと下地を整えた状態で初めて、EDRの設定見直しを行っていく必要があります。
CrowdStrikeを例にすると、防止ポリシー設定という監視に関係する設定項目が存在します。また、防止ポリシーは3フェーズの考え方に基づき、導入後は段階的に設定を有効にしていき、最終的にフェーズ3の設定値が推奨とされています。
このような防止ポリシーや除外など監視に影響する設定については、運用開始後定期的に見直しを行うことが重要です。特に防止ポリシーは、気づいたら新しい設定値が追加されていることがあるため、注意が必要です。
最近では、ソフトウェアライブラリや構成ファイルなどの悪意のあるパッケージを含むサプライチェーン攻撃を軽減することを目的とした以下の設定値が追加されました。
- 「書き込み時に非実行可能ファイルを検知する」
- 「書き込み時に非実行可能ファイルを隔離する」
「書き込み時に非実行可能ファイルを検知する」の設定が有効の場合、Falconセンサーは監視対象の非実行可能ファイルがディスクへ書き込まれたときにチェックを行い、疑わしいファイルが特定された場合は検出結果を生成します。
「書き込み時に非実行可能ファイルを隔離する」の設定が有効の場合、検出されたファイルはすぐに隔離されます。
なりすましメールの対策
近年、国内でも経営層をターゲットにしたホエーリングフィッシングが活発になってきていると思われます。
最近の手口としては、経営者を騙った業務連絡を装い「LINEアカウントのQRコードを本メール宛にご返信ください」といったようななりすましメールを送る方法が観測されています。
このようななりすましメールのヘッダを確認すると、中国製のSupmailer 47.0.2を使用していることが確認できました。また、HTMLのテンプレートより、中国語のコメントが確認できました。
Google Workspaceなどを利用している環境では、アプリ > Google Workspace > Gmail の設定 > コンプライアンスより、「コンテンツ コンプライアンス」を設定することで、パターンに基づいたフィルタリングが可能です。従って、メールのヘッダにSupmailer 47.0.2が含まれる場合は、メールを拒否するといったような運用も可能です。
しかし、本質的にはDMARCポリシーを導入済みであれば、noneに留めることなく、rejectに移行するための計画をたてることが重要です。
フィッシング攻撃に関する攻撃者の戦略と手口については、以前書いた「攻撃者の視点で考えるメールセキュリティ」をご参照ください。
システム運用（ログ出力）
何かのシステムを運用している場合、ログ出力が有効になっていることを改めて確認しましょう。
例えば、何らかのパッケージ製品を使用している場合、デフォルトで監査ログが有効になっていない製品も少なくはなりません。
とあるログ管理システムでの例では、デフォルトで監査ログが有効になっていません。そのため、誰がいつ、どのIPアドレスでアクセスしたかなどの履歴を確認することができません。
ログ管理システムであるのにも関わらず、製品自身の監査ログが出力されていないことで、ログ確認ができない運用は、本末転倒です。また、このような製品の例では、TomcatがWebサーバ機能としてバンドルされているものの、Webサーバ機能によるログ出力は行われていないため、監査ログ以外に確認する術がありません。
その他、製品側の監査ログの設定について、どのようにログローテショーンが行われて、何世代保存されるかについても確認しておきましょう。
製品によっては、時間単位でローテーションは行ってくれるものの、ファイルは削除してくれないなどの仕様もあるため、運用に関する注意が必要です。
システム運用（ログ確認）
Entra IDを運用している場合、監査ログを長期保存して、Monitorのアラート設定を行ないましょう。
アラートを監視することで、異常なアクティビティが発生しているユーザーを検出することができます。
以下の様な異常なアクティビティが発生しているユーザーがいないか確認しましょう。
- 短時間で連続の認証失敗（エラーコード：AADSTS50053）
- アカウントロック（エラーコード：AADSTS50053）
以下はアカウントロックを検出するためのクエリの例です。
SigninLogs
| where TimeGenerated > ago(30m)
| where ResultType == 50053
| project
TimeGenerated,
UserPrincipalName,
AppDisplayName,
ResultType,
ResultSignature,
ResultDescription,
IPAddress,
UserAgent
| order by TimeGenerated desc
異常なアクティビティが発生しているユーザのサインインについて、以下のような情報から不正なサインインによる試みでないことを判断します。
- 時間帯（深夜など明らかな業務時間外のアクセス）
- 海外のIPアドレス
- 怪しいUA（Pythonなどのプログラムからのアクセスなど）
IPアドレスは、以下のような方法によって、不正なサインインによるものかの判断材料とすることができます。
特に連日サインインが発生している場合は、Have I Been Pwnedを利用して、メールアドレスが流出してないか確認し、もし流出している場合は、対象ユーザーにフィッシングなどの注意喚起を行いましょう。
Entra IDでは、IDの保護機能と呼ばれるものがあり、P2、Microsoft Entra スイート、または Microsoft 365 E5 ライセンスのみ使用することができます。
なお、P1ライセンスでも悪意のある活動が確認されたIPアドレスからのアクセスの場合、サインインがブロックされます。
Sign-in was blocked because it came from an IP address with malicious activity
バックアップ及びリストア計画
セキュリティとコストはトレードオフですが、何らかのシステム運用に関わっている場合、バックアップ及びリストア計画については事前に準備しておくことが大切です。
AWSのEC2を例にすると、以下のようなサービスを利用することができます。
- AWS Backup
- Data Lifecycle Manager
Data Lifecycle Managerでは、スナップショットを取得するためのスケジュール設定が可能であり、東京リージョンと大阪リージョンに取得するという運用も簡単に実現できます。
なお、バックアップは設定したものの、いざEC2のリストアを行う場合、以下のような選択肢があります。
- スナップショットからEBSボリュームを作成して交換
- スナップショットからAMIを作成し、インスタンスを起動
上記の場合、2の方が手順としてはシンプルですが、リストア時にプライベートIPが変わったり、必要に応じて設定変更を必要とするデメリットがあります。
このようにリストアを行うための手順について、手動で行うにしても自動で行うにしても、一度実践して、誰が行っても再現できるレベルまで運用として落とし込むことが重要です。
クラウド環境を利用している場合、リストア訓練によるリソースの削除し忘れによるコスト上昇などには、気をつけましょう。
おわりに
個人で運用しているWebサーバのアクセスログを見ると、9月20日頃から、AIコーディングツールに関連する認証情報を狙うスキャンが確認できました。
具体的には、.claude、.codex、.anthropicなどのAIコーディングツールや関連サービスの設定や認証情報が保存されている可能性のあるファイルを探索するアクセスが見られました。
また、AWS、Google Cloud、OCIの秘密鍵などクラウドサービスの認証情報を狙ったとみられるアクセスに加え、VPN、リモートデスクトップなどを狙ったアクセスも増加していました。一方、WordPressを対象としたアクセスは、以前と比較して約0.6倍に減少していることが確認できました。
上記を踏まえて、従来のCMSやWebアプリケーションの脆弱性を広く探索する攻撃に加え、最近はAIコーディングツール、クラウドサービス、リモートアクセス環境などに保存された認証情報や資格情報を直接狙う攻撃が増加していると考えられます。