Webサービスからの情報漏えいが増えています
セキュリティ企業のマクニカの集計では、国内のWebサービスからの情報漏えいの公表は、2024年が62件、2025年が84件でした。2026年は10月6日時点ですでに119件あり、そのうち81件は7月以降に公表されたものです。
被害はECサイトに限りません。予約サイト、図書館の蔵書検索、大学の施設予約、チケットの払い戻しなど、会員情報を持つサービス全般に広がっています。
7月以降の81件のうち、原因まで公表されたのは2割ほどです。8割は原因の説明がなく、同じ弱点を持つシステムがほかにも残っている可能性があります。
| 2024年 | 62件 |
|---|---|
| 2025年 | 84件 |
| 2026年10/6時点 | 119件 |
| 脆弱性の悪用 | 9件 |
|---|---|
| 認証情報の悪用 | 4件 |
| 設定・アクセス制御の不備 | 3件 |
| 原因の説明なし | 65件 |
出典：マクニカ「相次ぐWEBシステムからの情報漏洩事案について」（2026年10月7日）
JPCERT/CCが注意喚起を出しました（2026年10月8日）
JPCERT/CC（JPCERTコーディネーションセンター）は、2026年9月前後に国内組織で相次いだ不正アクセスについて注意喚起を出しました。社内向けの管理画面や分析ツールまで被害に遭っており、確認された手口は次の3つです。
| 既知の脆弱性を探す | 公開されている脆弱性を片っ端から試す。設定ファイルやバックアップファイルを盗み出す例もあった |
|---|---|
| APIを直接操作する | 公開中のアプリを解析してAPIの場所を突き止め、ユーザーの権限を書き換えたり、不正なアカウントを作ったりして情報を取り出す |
| 分析ツールの脆弱性 | 社内で使われている分析ツール（Metabase）の脆弱性を突き、APIに不正なリクエストを送る |
出典：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030）
サーバーに侵入しなくても、情報は抜き取れます
これまでの情報漏えいは、管理者のパスワードを盗み、サーバーに入り込んでデータベースを持ち出す手口が中心でした。最近増えているのは、アプリやWebサイトが普段使っている「API」を通じて、正規の手順のままデータを取り出す手口です。
これまでの手口
- 管理者のパスワードを盗む
- サーバーに侵入する
- データベースの権限を奪う
- データを持ち出す
最近増えている手口
- アプリやWebの通信を調べる
- APIの場所と呼び出し方を知る
- APIを直接呼び出す
- 正規の応答としてデータが返る
管理者のパスワードは必要ありません
APIは、アプリと会社のシステムの間でデータをやり取りする窓口です。たとえば、会員の情報を返すAPIが、URLの番号を変えるだけで別の人の情報も返してしまう作りになっていたとします。ログインの確認や件数の制限が甘ければ、番号を順に変えていくだけで、全員分の情報を取り出せてしまいます。
サーバーにもデータベースにも侵入していないため、外から見ると普段の利用と区別がつきにくく、気づくのが遅れがちです。
// 自分の情報を取得 GET /api/users/1024 → 氏名・メール・住所 // 番号を変えると… GET /api/users/1025 → 別の人の氏名・メール・住所 // 一覧を返すAPIに件数の制限がないと GET /api/users?limit=100000 → 全会員の情報
原因は、システム開発の「基本」の部分にあります
こうした弱点は、特殊な攻撃でなければ防げないものではありません。ログインや権限の確認、一度に取れる件数の制限など、設計と実装の基本で防げるものがほとんどです。
それでも残ってしまうのは、多くの開発に予算と納期の制約があるからです。画面の不具合はリリース前に見つかりますが、ログインや権限まわりのように画面に出ない部分は確認が後回しになりがちです。画面の不具合なら次の更新で直せますが、一度漏れた個人情報は取り戻せません。
報道された事例：大手外食チェーンの公式アプリ（顧客情報 約1,078万件）
テストを担当した会社の記事によると、開発では費用と期間の短縮が優先され、アプリの仕様書がない状態でテストを行っていました。約8か月で4つのアプリが公開され、テストの準備期間は1か月だったとされています。
さらに、AIを使えば弱点を探す作業は以前よりずっと簡単になりました。この種の弱点は、ソフトウェアの更新やセキュリティ製品の導入では解決しません。システムごとに、作りそのものを確認する必要があります。
代表のブログでも詳しく書いています。代表ブログ（learnbydoing.jp）の記事を読む
診断の内容
診断ツールのZAPによる自動診断と、AIによるレビューで、次の項目を確認します。ZAPだけでは見つけにくい権限やアプリに入った鍵などは、診断中に記録した通信の内容やアプリのファイルをAIで分析して確認します。問題が見つかった場合は、対策の方法もあわせて報告します。
| 確認する項目 | 具体的に見ること | 問題があった場合の対策の例 |
|---|---|---|
| ログイン・認証 | ログインしなくても使えるAPIが残っていないか。ログイン状態の有効期限が長すぎないか。アプリの中に鍵（APIキー）が入っていないか | すべてのAPIでログインを確認する。トークンの有効期限を短くする |
| 権限 | URLの番号を書き換えると、他の人の情報が見えてしまわないか。一般の会員が管理者の機能を使えないか | 「その人のデータか」をサーバー側で毎回確認する |
| 情報の出しすぎ | 画面には出していない個人情報や内部の項目が、通信の中に含まれていないか | APIが返す項目を必要なものだけに絞る。重要な情報は返さないか、一部を伏せて返す |
| 大量取得の防止 | 短時間に大量のアクセスがあったとき、止める仕組みがあるか。一覧を何万件でも取れてしまわないか | 回数と件数に上限を設ける。個人情報は接続元や利用者を限定する |
| 入力値の扱い | SQLインジェクションなど、不正な値を入力されたときに情報が漏れないか | 入力値の検証と、安全なデータベースの呼び出し方に改める |
| 設定・公開範囲 | 設定ファイルやバックアップが外から見える状態になっていないか。エラー画面に内部情報が出ていないか | 不要なファイルを非公開にする。エラー表示を利用者向けの文言にする |
診断結果は、見つかった問題を危険度の高い順に並べた報告書でお渡しします。
こんな場合は、一度診断をおすすめします
- 会員情報や個人情報を扱うサイト・アプリを運営している
- 開発を外部に任せていて、セキュリティの確認をした記録がない
- スマホアプリを公開している
- 公開から何年も経ち、作った人がもう社内にいない
- 取引先や親会社から、セキュリティ対策について聞かれた
診断するのは、開発会社のエンジニアです
みんなシステムズは、業務システムやWebサービスの受託開発を行っている会社です。ソフトウェアのテスト代行サービス「テスター10」も運営しています。
普段から自分たちでシステムを作っているため、報告書には「どこが危ないか」だけでなく、どう直せばよいかも書きます。社内で修正の手が足りない場合は、修正の作業もご相談いただけます。
料金
| 簡易診断 | 詳細診断 | |
|---|---|---|
| 料金 | 10万円〜（税抜） | お見積り |
| 対象 | 主要な機能を中心に、通信の出入口（API）20か所程度まで | サイト・アプリ全体 |
| 方法 | ZAPによる自動診断＋AIによるレビュー | ZAPによる自動診断＋AIによるレビュー |
| 成果物 | 危険度つきの報告書 | 危険度つきの報告書、修正後の再診断 |
診断は、対象のシステムを管理されている方から書面で同意をいただいた範囲でのみ行います。
ご依頼の流れ
- お問い合わせフォームから、対象のサイト・アプリと気になっていることをお知らせください。
- お見積り診断する範囲と、検証環境・本番環境のどちらで行うかを決めて、お見積りを出します。権限の確認のため、テスト用のアカウントを2つ（一般の会員と管理者など、権限の違うもの）ご用意いただきます。スマホアプリの場合は、アプリのファイルもお借りします。
- 診断同意書を取り交わしたうえで、診断を行います。
- 報告書の提出見つかった問題と直し方をまとめた報告書をお送りします。
よくある質問
- 本番環境でも診断できますか？
- データを書き換える確認も含むため、検証環境での実施をおすすめしています。本番環境で行う場合は、実施する時間帯とアクセスの量を事前に取り決めます。
- 仕様書がなくても依頼できますか？
- はい。画面やアプリの通信を見ながら、診断する箇所を洗い出すところから行います。その分の作業はお見積りに含めます。
- 他社が開発したシステムでも大丈夫ですか？
- 大丈夫です。報告書は、開発会社さまにそのままお渡しいただける内容で作ります。
- ZAPとは何ですか？
- Webアプリの脆弱性を調べる無料のツールで、世界中で使われています。以前は「OWASP ZAP」という名前でした。当社では、ZAPの結果とAIによるレビューの結果を開発のエンジニアが確認し、直し方まで書いた報告書にしてお渡しします。
- AIによるレビューでは何をしますか？
- 診断中に記録した通信の内容や、アプリのファイルをAIで分析します。別の人のアカウントで呼び出したときに見えてはいけない情報が返っていないか、画面に出ない個人情報が通信に含まれていないか、アプリの中に鍵が入っていないか、といった点を確認します。お預かりしたデータは診断以外には使いません。
- 秘密保持契約は結べますか？
- はい。お問い合わせの段階から締結できます。
お問い合わせ
ご相談・お見積りは無料です。診断が必要かどうかわからない段階でも、お気軽にお問い合わせください。