FeliCa脆弱性、Suicaは危険なのか？JVN#40509781を「チップ単体」と「サービス全体」で読み解く

Last updated at 2026-07-29Posted at 2026-07-29

はじめに

「FeliCaに脆弱性が見つかり、カード内のデータを読み取ったり改ざんしたりできる」

この部分だけを見ると、SuicaやPASMO、電子マネー、社員証、マンションの鍵まで、一斉に危険になったように感じます。

2026年7月21日、JVNは「JVN#40509781」として、2017年以前に出荷された一部のFeliCa ICチップに存在する脆弱性を公開しました。脆弱性にはCVE-2026-59776が割り当てられ、悪用された場合にはICチップ内のデータを読み取られたり、改ざんされたりする可能性があるとされています。¹

ただし、本件を正しく評価するには、次の3点を分けて考える必要があります。

FeliCaという技術全体の問題なのか
一部の古いICチップに限定された問題なのか
ICチップの脆弱性が、そのまま各サービスの不正利用につながるのか

本稿では、JVN、ソニー、FeliCa Networks、JR東日本、PASMO、楽天Edyの公表内容を基に、今回の脆弱性の技術的意味と、企業が取るべき対応を整理します。

1. 今回公表された脆弱性は何か

対象は「2017年以前に出荷された一部のICチップ」

JVNとソニーが示している対象は、すべてのFeliCa製品ではありません。

対象は、次のように限定されています。

項目	公表内容
JVN識別子	JVN#40509781
CVE	CVE-2026-59776
対象	2017年以前に出荷された一部のFeliCa ICチップ
脆弱性分類	CWE-325：暗号処理における必要な処理の欠如
想定される影響	ICチップ内のデータの読み取り、改ざん
CVSS v4.0	7.0「重要」
攻撃元区分	物理
公開日	2026年7月21日

ここで注意したいのは、「2017年以前に発行されたすべてのカード」が対象と発表されたわけではない点です。

公表内容が示しているのは、カードの発行年ではなく、ICチップの出荷時期です。また、対象となる具体的なチップ型番、製造ロット、カード製品一覧は一般向けには公開されていません。利用者がカード表面だけを見て、対象かどうかを判断できる状態ではありません。¹

暗号アルゴリズムそのものが破られたとは限らない

JVNは、本件をCWE-325「Missing Cryptographic Step」に分類しています。

CWE-325は、暗号アルゴリズムに必要な処理の一部が実装されておらず、本来想定された暗号強度よりも弱くなる問題です。²

したがって、公開情報から読み取れる範囲では、「暗号技術全体が数学的に破られた」という話ではありません。

より正確には、特定のICチップにおける暗号処理の実装上の問題により、特定の操作を受けた際に本来のセキュリティ強度が低下する問題です。ソニーも「報告された操作により、当該チップにおいてデータの読み取りや改ざんが実行される可能性がある」と説明しています。³

2026年に突然発見された問題ではない

JVNでの公開日は2026年7月21日ですが、ソニーは2025年8月28日の時点で本件を公表していました。

2025年の公表後、ソニーは関係事業者向けに対策ガイドラインを発行し、サービス事業者や公的機関と連携してリスク評価と対策を進めてきたと説明しています。2026年7月のJVN公開は、既知の問題に正式なJVN番号とCVE番号が付与され、対策情報が一般公開された段階と見るのが妥当です。³

外部からIPAへ届出
        ↓
IPA・JPCERT/CC・ソニーによる調整
        ↓
2025年8月：ソニーと一部事業者が公表
        ↓
事業者向けガイドライン、影響確認、対策
        ↓
2026年7月：JVN・CVEとして正式公開

脆弱性の発見日や届出日は一般公開情報だけでは確認できないため、JVN公開日を発見日として扱わない方が安全です。

2. 「危険度7.0」をどう読むべきか

影響は大きいが、インターネットから攻撃される問題ではない

CVSS v4.0の基本値は7.0で、「重要」に分類されています。

機密性、完全性、可用性への影響はいずれも「高」と評価されています。ICチップのデータを読み取れるだけでなく、書き換えられる可能性まで含むため、成立した場合の影響は軽くありません。¹

一方で、攻撃元区分は「物理」です。

つまり、少なくともJVNの評価上は、インターネット越しに無差別攻撃される脆弱性ではありません。攻撃者はカードやICチップに対して、物理的なアクセスまたは近距離での通信を行う必要があります。

ただし、「物理攻撃だから安全」とも言い切れません。

JVNは利用者向け対策として、カードの盗難だけでなく、スキミングにも注意するよう案内しています。攻撃成立に必要な機器、距離、接触時間、具体的な操作手順は公開されていないため、「一瞬すれ違っただけで改ざんされる」「市販スマートフォンだけで容易に攻撃できる」といった断定もできません。¹

CVSSは「サービス全体の被害確率」ではない

CVSS 7.0という数字は、脆弱性そのものの技術的な深刻度です。

次のような要素までは、CVSSの基本値だけでは評価できません。

対象チップが実際に何枚残っているか
攻撃に必要な機器や時間
カード内のどのデータが対象になるか
サーバー側で改ざんを検出できるか
不正な残高や権限がサービスで受け入れられるか
カードを停止、失効、再発行できるか

したがって、次の2つは分ける必要があります。

ICチップ単体のリスク
    ≠
Suica、電子マネー、社員証などサービス全体のリスク

CVSSが高いから直ちに全カードを交換する、あるいは物理攻撃だから放置する、という判断はいずれも適切ではありません。

3. なぜサービスごとに影響が異なるのか

FeliCaはサービスを支える部品の一つ

FeliCaは、カードとリーダー間の相互認証、暗号化、データの読み書きなどを担います。

しかし、実際の交通、決済、入退室サービスは、ICチップだけで構成されているわけではありません。

[カード・スマートフォン]
          ↓
    FeliCa相互認証
          ↓
[リーダー／ライター]
          ↓
[サービス側システム]
 ├─ 残高・権限の整合性確認
 ├─ 利用履歴の突合
 ├─ 不正パターンの検知
 ├─ カードの失効管理
 └─ 監視・インシデント対応

ソニーも、FeliCaを利用するサービスのセキュリティは、ICチップだけでなくサービスごとのシステム全体で構築されると説明しています。³

モバイルFeliCaプラットフォームには該当脆弱性がない

FeliCa Networksは、ソニーから情報提供を受けた上で、モバイルFeliCaプラットフォームには今回公表された脆弱性がないことを確認したと発表しています。⁴

この発表から、少なくとも「古いカード型FeliCaの問題が、そのまますべてのおサイフケータイやモバイルサービスにも存在する」とは評価できません。

ただし、スマートフォン上の各サービスについては、端末、セキュアエレメント、サービス事業者側の構成によって異なります。FeliCa Networksの発表は、すべてのスマートフォン、アプリ、決済サービスに一切のリスクがないことを包括的に保証するものではなく、今回指摘された脆弱性がモバイルFeliCaプラットフォームには存在しないという説明です。

各サービス事業者の発表

2026年7月21日時点で、主要事業者は次のように説明しています。

サービス	公表内容
Suica	2025年8月以降、内容確認と監視体制の強化等を実施。本件に起因する影響は確認されていない
PASMO	システム全体で複数のセキュリティ対策を実施。本件に起因する被害や影響は確認されていない
楽天Edy	独自対策により利用者への影響はなく、不正チャージ、決済、残高変更は行えない
モバイルFeliCa	今回の脆弱性がないことを確認

JR東日本は、Suicaシステム全体で対策を実施しており、本件に起因する影響は確認されていないとしています。⁵

PASMOも、2025年8月から確認と対策を進め、現時点で被害や影響は確認されていないとしています。⁶

楽天Edyは、独自のセキュリティ対策によって、今回の脆弱性を使った不正チャージ、決済、残高の詐取や変更はできないと、より踏み込んだ説明をしています。⁷

ただし、これらの説明を、社員証、学生証、ホテルキー、マンションの鍵、会員証、地域独自カードなどに横展開してはいけません。

大手決済サービスでは多層的な監視やバックエンド照合が行われていても、小規模な入退室システムでは、カード内のIDや権限情報だけを信用している可能性があります。

今回、より慎重な確認が必要なのは、「カード内の情報を唯一の正として扱うシステム」です。

4. 企業が確認すべき実務ポイント

1. FeliCaを使っている場所を棚卸しする

まず、「決済カードだけがFeliCa」という前提を捨てる必要があります。

確認対象には、次のようなものがあります。

社員証と入退室カード
PCログインや複合機認証
学生証と出席管理
食堂、売店、社内電子マネー
会員証とポイントカード
ロッカー、ホテル、マンションの鍵
工場や物流現場の識別タグ
イベントチケット

カードだけでなく、採用しているチップ、カード製品、リーダー、管理サーバー、導入ベンダーまで関連付けて管理します。

2. 「2017年以前」をカード発行年だけで判断しない

対象条件は、2017年以前に出荷された一部のICチップです。

カード発行日、社員への貸与日、システム導入日だけでは対象判定できない可能性があります。

事業者は、カードメーカーやシステムインテグレーターに対して、次の情報を確認する必要があります。

採用しているFeliCa ICチップの型番
製造時期と製造ロット
ソニーの対策ガイドライン上の対象可否
後継カードや後継チップへの移行可否
リーダーやバックエンド側で実施可能な対策
カード再発行が必要になる条件

ソニーは、関連事業者向けに対策ガイドラインを発行したと説明しています。一般公開情報だけで判断せず、契約先や導入ベンダー経由で確認することが重要です。³

3. カード内データを唯一の信頼源にしない

今回の本質的な対策は、カードの暗号機能だけにサービス全体の安全性を依存させないことです。

特に入退室や権限管理では、次のような対策を組み合わせます。

リスク	対策例
カード内IDの複製	サーバー側の失効リスト、端末証明、利用場所との照合
権限情報の改ざん	権限をサーバー側で管理し、カード内情報だけで許可しない
リプレイ攻撃	チャレンジレスポンス、時刻、カウンター、取引一意性の確認
不正な連続利用	同一カードの同時利用、地理的矛盾、短時間連続利用の検知
紛失・盗難	即時停止、再発行、本人確認、利用履歴の確認
古いカードの残存	有効期限設定、段階的な交換、退職者カードの回収

すべてをオンライン化すればよいわけではありません。改札や災害時の入退室など、オフライン継続性が必要なシステムもあります。

その場合は、オフラインで許容する権限や金額を限定し、後からサーバー側で照合する設計が現実的です。

4. 監視ログを「通ったかどうか」だけにしない

認証成功だけを記録するログでは、不正利用の兆候を発見できません。

少なくとも、次の観点で監視できるようにします。

同一カードが離れた拠点で短時間に利用されていないか
普段と異なる時間帯や扉で利用されていないか
残高、利用回数、権限の変化に不整合がないか
リーダーから異常なコマンドや再試行が発生していないか
失効済みカードの利用が試みられていないか
通常とは異なる処理時間やエラーが増えていないか

これはFeliCaに限らず、ICカード認証を「所持しているから本人」とみなす設計全般に共通する課題です。

5. 一斉交換と段階移行をリスクで使い分ける

JVNには、利用者が適用できるソフトウェア更新やファームウェア更新は示されておらず、対策はワークアラウンドとして案内されています。¹

そのため、事業者側では次の選択肢を組み合わせることになります。

バックエンド側の検証を強化する
監視と不正検知を強化する
カードの有効期限を短縮する
高権限利用者から優先的に交換する
新規発行分を新しいチップへ切り替える
既存カードを段階的に失効させる
物理カードからモバイル認証や別方式へ移行する

すべてを即時交換するかどうかは、対象カード数だけでなく、カードに保存される情報、利用権限、サービス側の補完対策、攻撃時の最大損失を踏まえて判断します。

おわりに

今回のFeliCa脆弱性は、「すべてのSuicaや電子マネーが今すぐ自由に改ざんできる」という話ではありません。

一方で、「大手サービスが安全と言っているから、自社の社員証や入退室カードも安全」と考えることもできません。

本件の重要な示唆は、ICカードの暗号強度だけではなく、サービス全体の設計を見る必要があることです。

安全なICチップ
    ＋
サーバー側の整合性確認
    ＋
失効・再発行の仕組み
    ＋
異常検知と監視
    ＋
カードの適切な管理

利用者については、各サービス事業者から交換や利用停止の案内が出ていない限り、慌ててカードを処分する必要はありません。JVNと各事業者の案内に従い、紛失、盗難、第三者による不審な読み取りに注意することが現時点の対応になります。

企業側は、次の順番で確認を進めるべきです。

自社で利用しているFeliCaカードとシステムを棚卸しする
ベンダーに対象チップかどうかを確認する
カード内データだけで重要な判断をしていないか確認する
バックエンド検証、失効、監視の仕組みを再評価する
リスクに応じてカード交換やシステム移行を計画する

今回の問題は、FeliCaだけの特殊な事件ではありません。

長期間利用するハードウェアには、後からソフトウェアパッチを適用できない場合があります。だからこそ、認証媒体を「絶対に破られない信頼点」とするのではなく、破られた場合にも被害を抑え、検知し、失効できるシステム設計が必要です。

参考

JVN#40509781：非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性 — 対象、CVSS、影響、対策の根拠 ↩ ↩² ↩³ ↩⁴ ↩⁵
MITRE CWE-325: Missing Cryptographic Step — 脆弱性分類の定義 ↩
ソニー：2017年以前に出荷された一部のFeliCa ICチップの脆弱性に関する指摘について — 開発元の公表内容と対応経緯 ↩ ↩² ↩³ ↩⁴
FeliCa Networks：2026年7月21日付お知らせ — モバイルFeliCaプラットフォームへの影響 ↩
JR東日本：FeliCaの脆弱性に関連する情報の公表について — Suicaへの影響と対応状況 ↩
PASMO：FeliCaの脆弱性に関するお知らせ — PASMOへの影響と対応状況 ↩
楽天Edy：「FeliCa」の脆弱性に関するお知らせ — 不正チャージや残高改ざんへの影響 ↩

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up