不正アクセス・脆弱性による情報漏洩の対策｜国家サイバー統括室の注意喚起とチェックリスト

2026年11月5日、内閣官房 国家サイバー統括室が、事業者向けに不正アクセスへの注意喚起を出しました。
ウェブサイトやモバイルアプリへの不正アクセスで、個人情報が漏洩する事案が相次いでおり、その多くが「基本的な対策」の不足によるものだという内容です。

原文は全13ページあり、IT担当者向けの専門用語も多く含まれます。
この記事では、経営者や事業の責任者の方に向けて、注意喚起の要点と、自社で確かめるべき脆弱性対策をまとめました。

記事の最後には、自社の状況を点検できる24項目のチェックリスト付き資料（PDF）のご案内もあります。

国家サイバー統括室が不正アクセスへの注意喚起を公表

今回の注意喚起は、ウェブサイトやモバイルアプリを使った事業を運営し、個人情報を扱っている事業者に向けたものです。
規模の大小を問わず、幅広い事業者に基本的な対策の徹底を求めています。

項目	内容
発表日	2026年11月5日
発表元	内閣官房 国家サイバー統括室
題名	個人情報の漏えい等につながる不正アクセスへの対策について ～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～
主な対象	ウェブサイトやモバイルアプリで個人情報を扱う事業者
構成	経営層向けの考え方と、IT・セキュリティ担当者向けの具体的な対策例の2層

注意喚起は、経営層を含む組織の幅広い人に読んでもらうことを前提に書かれています。
「セキュリティはIT担当者の仕事」ではなく、経営の判断として取り組むべきことだと位置づけている点が特徴です。

不正アクセスによる情報漏洩の原因

注意喚起によると、攻撃者は次のような流れで情報を盗んでいるとみられます。

1. 大規模に調査する
   インターネットに公開されている日本のウェブサイトなどを広く調べる
2. 侵入口を見つける
   調査の中で、入り込める弱点があるサイトを見つけ出す
3. 侵入して情報を盗む
   見つけた弱点から入り込み、個人情報を持ち出す

原因の多くは基本的な対策の不足

注意喚起は、情報漏洩の原因として次の3つを挙げています。
どれも特殊な攻撃ではなく、自社や委託先で防げたはずのものです。

原因	起きていること
モバイルアプリ開発時の対策不足	アプリを解析され、裏側のサーバーとやり取りする窓口（API）の弱点を突かれる
ウェブサイトなどの設定不備	管理画面や検証用の機能が、外から誰でも開ける状態になっている
サポート切れのソフトや既知の脆弱性の放置	修正プログラムが出ているのに、適用されないまま使われている

AIで攻撃が効率化し、小さな会社も狙われている

注意喚起は、攻撃者が標的の調査や侵入にAIを使っている可能性が高いと指摘しています。
これまでの脆弱性診断で「リスクは低い」とされた弱点も、組み合わされて侵入の原因になった例があるそうです。

攻撃の規模を大きくするのも簡単になりました。
そのため、事業規模の大小を問わず、幅広い事業者が攻撃の対象になっていると考えられています。
「うちのような小さな会社は狙われない」という前提は、もう通用しません。

脆弱性を放置するとどんな被害が出るかは、システム保守を放置する5つのリスクでも解説しています。

不正アクセス対策の全体像は3つの段階

注意喚起は、対策を3つの段階に分けて整理しています。
いま動いているシステム、これから作るシステム、外部の会社や部品という分け方です。

段階	対象	主な対策
運用・管理	いま動いているサイト・アプリ	使っているソフトの把握と脆弱性の解消／外から見える範囲の最小化／診断と監視
設計・開発	これから作る・改修するシステム	最初から安全に設計する／APIの守りを固める／公開前の脆弱性診断
サプライチェーン	委託先・外部の部品	委託先からの接続経路の管理／オープンソースや外部ライブラリの管理

ソフトウェアは、導入したときに問題がなくても、運用を始めた後に新しい脆弱性が見つかります。
リリース後に見つかった不備を直す費用は、設計の段階で防ぐ場合より大きく膨らみます。
「最初から安全に作る」ことと「作った後も点検を続ける」ことの両方が求められています。

運用中のシステムの脆弱性対策（運用・管理の段階）

いま動いているサイトやアプリでは、「何を使っているか」と「何が外から見えるか」を把握し、見張り続けることが基本です。

脆弱性管理：使っているソフトを把握し、脆弱性を解消する

ウェブアプリの中で使われているライブラリやフレームワークの脆弱性が悪用され、侵入の足がかりにされています。
直接使っている製品だけでなく、その中に組み込まれた部品にも脆弱性が潜んでいることがあります。

• OS・ミドルウェア・ライブラリの製品名、バージョン、利用箇所を台帳で管理する
• 実際に悪用されている脆弱性を優先して、自社への影響を確認する
• 深刻度や悪用状況から、対応の優先順位と期限を決める基準を作っておく
• すぐに直せないときは、機能の停止やアクセス制限などの緩和策を取る

WordPressやPHPのように広く使われているソフトほど、脆弱性が見つかると一斉に狙われます。
更新の進め方はWordPressのアップデートの記事やPHPのバージョンアップの記事で解説しています。

外から見える範囲を最小にする

公開された管理画面に総当たりでログインされたり、本来は外に出すつもりのなかったデバッグ用の機能から侵入されたりした事例が確認されています。

• 公開しているIPアドレス・ドメイン・ポート・APIを洗い出す
• 管理画面・開発環境・データベース管理機能が、外から開けないか点検する
• 必要な管理機能は、接続元の制限と多要素認証で守る
• クラウドストレージの共有設定や、ウェブサーバーの意図しないファイル公開を確認する

診断と監視を続ける

公開した後も、定期的に、また重要な変更のたびに脆弱性診断を行うよう求められています。
攻撃側がAIを使っていることから、守る側もAIを使った診断やログ分析を積極的に検討するよう書かれている点は、今回の注意喚起の新しいところです。
ただし、AIの評価結果は根拠を確かめ、最終的な判断は人が行うことも明記されています。

設計・開発の段階でやる不正アクセス対策

これから作るシステムでは、後から守るのではなく、要件定義の段階からセキュリティを組み込む「セキュリティ・バイ・デザイン」が求められています。

最初から安全に設計する

• 設計の段階で、想定される攻撃経路を洗い出す
• 認証・認可・暗号化・ログなどのセキュリティ要件を最初に決める
• 開発中は、ソースコードや使っているライブラリを検査するツールで問題を早めに見つける
• テストでは、動いているアプリを外から試す検査を行う

APIの守りを固める

公開されているアプリを解析してAPIの抜け穴を見つけ、裏側のサーバーから情報を盗む「A2B攻撃」が報告されています。
注意喚起は、APIについて次の3つの対策を挙げています。

対策	内容
権限の確認をサーバー側で行う	その利用者がデータや機能を使う権限を持っているかを、毎回サーバー側で確かめる
認証情報を埋め込まない	APIキーやトークンをソースコードやアプリに書かず、専用の仕組みで管理する
アクセス回数を制限する	ログインやパスワードの再設定に、短時間に大量のアクセスが来たら止める仕組みを入れる

たとえば、URLの番号を書き換えるだけで他の会員の情報が見えてしまう作りは、画面上は正しく動いて見えるため、通常のテストでは見落とされがちです。

公開前に脆弱性診断を行う

SQLインジェクションなど、よく知られた攻撃手法を悪用した情報漏洩も起きています。
注意喚起は、受け入れられるリスクの基準をあらかじめ決め、基準を超える脆弱性が残ったまま公開しないことを求めています。

診断を外部に任せる場合は、自動診断だけでなく、手動の検証や業務の流れを踏まえた診断ができる事業者を選ぶよう書かれています。
代表的な手法はSQLインジェクションのテスト方法でも紹介しています。

委託先・外部の部品を通じた不正アクセスへの対策

業務委託先や保守会社の環境を足がかりに、発注元のシステムへ侵入される事案も確認されています。
委託先の穴から侵入されても、サービス停止や情報漏洩の影響を負うのは発注元です。

委託先からの接続経路を管理する

• 委託先が使うVPN・リモートデスクトップ・保守用回線を洗い出し、多要素認証をかける
• 作業が終わったアカウントや、常に付けたままの管理者権限を棚卸しする
• 契約に、再委託の手続き・事故時の通知・契約終了時のデータ消去を盛り込む
• 委託先の接続を、必要なサーバーや機能だけに限定する

個人情報の取扱いを委託する場合、個人情報保護法第25条により委託先の監督が求められています。
一方で、委託先に対策を求めるときは費用負担や進め方を十分に話し合い、一方的に押し付けないことも求められています。
保守契約で決めておくことはシステム保守契約の注意点にまとめています。

オープンソースや外部ライブラリを管理する

深刻な脆弱性が公表されると、短い期間で探索・悪用されることがあります。
中身が分からないまま部品を使い続けないことが大切です。

• 主要なシステムに組み込まれた部品のバージョンとサポート期限を、普段から把握する
• 深刻な脆弱性が出たときに、誰が影響を調べ、誰に報告するかを決めておく
• 開発を委託するときは、使った部品の一覧（SBOM）の提出を契約に入れる

自社で確認したいサイバーセキュリティ対策チェックリスト

注意喚起の対策例から、まず確かめたい8項目を選びました。
「いいえ」や「分からない」が付いた項目は、対策を考える候補です。

区分	確認すること
運用中のサイト・アプリ	公開しているサイト・API・管理画面を、すべて言えるか
運用中のサイト・アプリ	サポートが終わったソフトを使い続けていないか
運用中のサイト・アプリ	管理画面が、誰でも開ける状態になっていないか
運用中のサイト・アプリ	公開した後に、脆弱性診断をしたのはいつか
これから作る・委託する	公開前の脆弱性診断を、予定に入れているか
これから作る・委託する	アプリにAPIキーなどを埋め込んでいないか
これから作る・委託する	委託先からの接続に、多要素認証をかけているか
これから作る・委託する	契約に、使った部品の一覧の提出と事故時の通知を入れているか

全24項目のチェックリストは、記入欄付きのPDFとして無料でダウンロードできます。
社内の点検や、委託先との打ち合わせにお使いください。

不正アクセス対策のよくある質問

Q. 小さな会社や、扱う個人情報が少ない会社も対策が必要ですか？

必要です。
注意喚起は、攻撃の大規模化が容易になったことで、事業規模の大小を問わず幅広い事業者が狙われていると指摘しています。
会員登録や問い合わせフォームがあるサイトなら、個人情報を扱っています。

Q. 開発を外部に任せたシステムでも、自社に責任がありますか？

あります。
注意喚起は、委託先を足がかりに侵入された場合でも、影響を負うのは発注元の事業者自身だとしています。
個人情報の取扱いを委託している場合は、個人情報保護法第25条により委託先を監督する義務もあります。

Q. まず何から手を付ければよいですか？

インターネットに公開しているものの洗い出しから始めるのがおすすめです。
注意喚起でも、インターネットからアクセスできるサーバーや機器、実際に悪用されている脆弱性を優先して対処するよう求めています。

Q. 過去に脆弱性診断を受けていれば大丈夫ですか？

一度の診断では十分とはいえません。
運用を始めた後にも新しい脆弱性は見つかりますし、システムの変更で外から見える状態が変わることもあります。
注意喚起は、重要な変更時と運用開始後も、リスクに応じて診断を続けるよう求めています。

まとめ：不正アクセスと脆弱性への基本対策は経営の判断から

国家サイバー統括室の注意喚起は、不正アクセスによる情報漏洩の多くが「基本的な対策」の不足から起きていると指摘しています。
対策は、運用・管理、設計・開発、委託先・外部の部品の3つの段階で整理されています。

注意喚起は、経営トップの判断のもとでリスクを評価し、必要な対策を強化するよう求めて締めくくられています。
まずは自社が外に何を公開しているかを洗い出し、チェックリストで現状を確かめるところから始めてみてください。

株式会社みんなシステムズは、業務システムの受託開発とソフトウェアテストを行っている会社です。
作る側の目線でウェブアプリやAPIの弱点を調べる不正アクセス対策のセキュリティ診断も行っています。
チェックリストで「未」が付いた項目がある場合は、お気軽にご相談ください。

出典：内閣官房 国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について ～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～」（2026年11月5日）
https://www.cyber.go.jp/pdf/press/261105_taiou.pdf