続：ここ最近多発しているサイバー攻撃と情報漏洩について

今やサイバーセキュリティはSNSで最もホットなネタとして消費されています。毎日のようにあんな組織が、こんな会社が、セキュリティ被害のニュースで騒がせています。朝起きてやることはセキュリティに関する事故の事例の収集です。 会社でも「うちの会社は大丈夫か」「具体的にどういう対策をしているのか」と質問を受け、会社のすべてのクラウド・サーバに対してサイバー攻撃を受けていないか、セキュリティ対策はしっかりできているのか、最優先で確認することがミッションとして与えられました。 縁の下の存在であるセキュリティ担当が日の目を見るとき、急にインターネット上に有意義なセキュリティに関する情報があふれるとき、それは世がサイバー攻撃で乱れていることを意味します。セキュリティ担当としては真価が問われる”乱世”が訪れたようです。

サイバー攻撃に連日振り回されていた防御側も、相手の攻撃方法や対策が揃ってきました。今日はそんな記事をまとめました。

不正アクセスによる漏えい等の事案を踏まえた対応について

２０２６年１０月９日に内閣官房国家サイバー統括室が日本の事業者向けにセキュリティの対策ポイントをアナウンスしました。 cyber.go.jpとは聞いたことがないドメインでしたが、国家サイバー統括室（NCO）は 以前は内閣サイバーセキュリティセンター（NISC）の管轄として nisc.go.jp で運用されていましたが、組織改組に伴い2024年12月に cyber.go.jp へ移行しましたとのことです。日本のサイバー安全保障政策の総合調整、政府機関の情報システムの不正活動監視・分析、各種ガイドラインや統一基準の公表を行っています。 4ページのPDFの中に、取り急ぎ対応するべきことがピンポイントで書かれています。ログインユーザは多要素認証されていますか？退職した従業員のアカウントがまだ有効化されていませんか？アクセスキーの権限が過剰で、使っていないのに有効化されたままではないですか？こういうのは小さいことなのですが、その針の穴から攻撃者は侵入するのです。何より「政府のお墨付き」というのは良いですね。対策を行うにあたっての根拠に説得力があります。 しかしこのPDFに書かれていることを実現するには、このPDFには書かれていない大事な前提があります。それは「そもそも私の会社が内部で利用しているor外部で提供しているクラウド・サービスって何があるの？」ということが把握できていなければならないことです。まずは個人情報管理台帳を作りましょう。社内で情報セキュリティマネジメントを行うためにはまずこれが必要です。Ｐマーク取得に必要だから、という理由ではないのですw

【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」

NICT（情報通信研究機構）がサイバー攻撃の手順を分析した結果、昨今の情報漏洩の１つとしてA2B攻撃（App-to-Backend Attack）が行われていることを突き止めました。近年のサイバー攻撃の主な侵入経路を被害から分析すると、「VPN機器等の脆弱性（ランサムウェアの主な侵入経路）」「標的型メールやフィッシング（従業員のPC乗っ取り）」の2つがあげられましたが、新たな侵入経路として「公開サーバ・APIの脆弱性」を考慮しないといけないようです。 記事には攻撃激化の背景として、AIの活用によりローカルにダウンロードしたAndroidアプリはAIの活用により従来は膨大な時間がかかったリバースエンジニアリングが容易になったこと、サーバ側に投げるAPIについてもAIにより自動化、高速化が可能になったことを挙げています。近年はアプリ間連携が重要視され、自身のサービス内のデータを外部公開APIとして提供することも増えてきました。API側での認証・認可について標準化されたプロトコルOAuth 2.0 / OpenID Connect (OIDC) の利用や、JWT（JSON Web Token）の適切な検証のほか、人力とは思えない大量アクセスを防ぐためにもレートリミットやスロットリングに対しての対応も検討する必要があります。もちろんバリデーションやSQLインジェクションなどの基本対策も忘れてはいけません。 詳細な注意喚起には先ほどのサイバー統括室と同じく、Androidアプリを公開する事業者に推奨する対策が紹介されています。これを基に社内の確認を進めるとよいでしょう。

私も参加している脅威情報分析チームLETTICEでは国内で相次いでいる情報漏えい事案の調査分析を進め、その攻撃手法の一つを特定しました。 分析結果を踏まえた注意喚起を公表しましたので、公開アプリやAPIの安全性点検の参考として頂ければ幸いです。 https://t.co/KCrTz7aISY

— piyokango (@piyokango) October 13, 2026

なお、この記事を紹介してくれたのはセキュリティポッドキャスト”セキュリティのアレ”でおなじみのpiyokango氏なのですが、氏のブログに国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみたというタイトルで、日本国内の公的機関が先週末に公表した、サイバー攻撃の詳細や注意喚起をまとめてくださっています。お休みなのに膨大な情報を迅速に整理していただき頭が下がります。この記事にあるケースA・B・C・Dについて社内での影響を調査すると効率が良いと思います。A・Bについてはこれまで説明した通り、Dについてもこれまで紹介した対策（公開Webサーバへのアクセス許可・ログ調査）で対応可能でしょう。Cについて（Metabaseの脆弱性を悪用した攻撃）については、セルフホストでMetabaseを使っている従業員・組織がいないか、いた場合脆弱性対応を行っているかのアナウンスを行うことで対応します。

そして有志が優れたソリューションを展開してくれました。サイバー攻撃で夜が乱れるとき、世紀末覇者ではありませんが乱を鎮めるべく立ち上がるヒーローが現れます。セキュリティ担当が目立つというのは良い世相ではありませんが、たいへん助かります。

最後に昨今のAI時代におけるサイバー攻撃に対して、示唆に富む記事を2つ紹介します。いずれもクラウドネイティブという会社のブログです。

AI時代のゼロトラストがキツい件について

【アンサー】ゼロトラストはキツくない。「ゼロトラストの完成」を目指す運用がキツい

エンジニアと代表取締役（文部科学省 最高情報セキュリティアドバイザー）が会社のブログを執筆するって素晴らしい文化ですよね。互いへのリスペクトも感じられる文章です。文章内容もさすがにハイレベルで学びがありました。 「WAFやIPSで守るだけでは不十分、侵入されたらやりたい放題、だからこそいたるところでの認証認可（ゼロトラスト）と振る舞い検知が肝要である」とはセキュリティ界隈に属する人であれば耳が痛くなるほど聞いているでしょう（そして、それが現場では対応不十分であることも把握しているでしょう）。しかし記事にあるように、ゼロトラストは2010年代に提唱された概念です。”10年ひと昔”という言葉がありますが、これだけ進化のスピードが速い時代、特にAIが出てきてからは”1年ひと昔”と言っても過言ではありません。記事にあるようにゼロトラストの前提は

1.検証すべき主体は「人間とデバイス」である 2.攻撃は「人間の速度」で進む 3.検証のループは「人間のSOC」が回せる

というものでした。しかし現在1,2はAIが主体となっており、主体数・攻撃速度とも人間の比ではありません、一方守る側は人間、これでは勝てません。3に関しても平均30分でブレイクアウトようではSOCの防御より攻撃のほうが早いでしょう。そしてこの問題を解決する答えは代表取締役が書いたように、防御も検証もAIでおこなう、つまり目には目を、AIにはAIを、ということなのでしょう。 本記事では自分も考えたことがなかった新たな防御策についても解説しています。その一つがサイバーデセプション（おとり）。ハニーポットを一歩踏み込ませ、敢えて偽のAPIキーを配置するなど、AIの攻撃方法をカナリア検知することで、「大量に攻撃してくるのなら、都度怪しい動きを取得して防御に利用すればよい」という考え方です。Gartnerも「GenAI時代2030年までにITセキュリティ支出の50%を占める（2024年は5%未満）のはこの手の先制予測機能を搭載したセキュリティソリューションである」と予想しているそうです。記事にあるように「もうゼロトラストはいらない」ではなく、ゼロトラスト前提にしたプラスアルファ、という時代、そこをAIで高速に対応して攻撃に対抗する。

そしてサイバーセキュリティという分野で最も重要な要素の一つがこの記事にも書かれている 「で、その予算はどこから出るんですか？ 問題」です。セキュリティ担当が本当に力を尽くさなければならないのはここだと思っています。「予算が出ないから対応できませんでした」で思考停止するのではなく、捨てるものと守るものをリスク・リターンを踏まえて経営層に提示することが求められます（登録セキスぺの研修資料でも散々書かれています）今の時代、セキュリティにお金をかけないと企業イメージに致命的なダメージが入ることは明らかです。経営層がセキュリティに対して理解とコスト投下を認めてくれればたいへんやりやすい、そうでない場合は苦労するのが実情でしょうね。