相次ぐ情報漏えいインシデント

直近において、さまざまな事業者から、不正アクセスの被害による情報漏えい事案の公表が相次いで行われています。特に、大量の個人情報を取り扱うオンラインサービス・アカウントサービス等に関するシステムが不正侵入され、個人情報を含むデータが窃取される事案が多数発生しています。

これを受け、IPA、JPCERTコーディネーションセンターなどの公的機関から注意喚起が発信されており、全般的な対策についての解説がなされています。

【出典】IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html

本事案を受け、緊急提言としてID＆アクセス管理、認証といった分野において今すぐ行うべき対策・点検をより具体的にまとめましたので、是非参考にしてください。

今すぐ行うべき点検・対策（１）企業と個人のアカウント・認証環境の分離

今回の事案ではすでに大手サービス事業者が運営するWebサイトを通じて大量の個人情報（氏名、アカウント、メールアドレスおよびパスワード）が漏えいしています。それらの中には、従業員がプライベートで使用していたサービスが含まれ、従業員のプライベート情報が漏えいしている可能性が高いと考えられます。

それらの情報はあくまで各従業員のプライベートで利用するメールアドレスに紐づいているため、自社へのセキュリティ侵害にはつながらないと思うかもしれません。しかし注意すべきなのは、従業員のプライベート情報と企業の情報が、どこかでつながっていることにより、漏えいしたプライベートの情報をたどって企業側の認証情報が脅かされる可能性があるということです。

典型的な例は、ブラウザがパスワードを保管する「パスワードマネージャー」の機能を、公私を跨いで利用されているといったケースです。企業で利用するサービスやシステムのパスワードをブラウザ上でプライベートのアカウントに紐づけて管理していると、プライベートのアカウントが侵害されることで、それらの情報が漏えいするリスクがあります。

特に企業が利用するサービス・システムの管理者権限のアカウントの侵害は、重要なインシデントにつながる可能性があります。すでに大量の情報が漏えいしていることを踏まえると、皆さまの従業員が、上述したような運用をしていないかどうかを今すぐ点検し、必要な是正措置を講じる必要があります。

今すぐ行うべき点検・対策（２）自社利用サービスの認証強化・アクセス元制限

2点目に行うべき対処は、自社が利用するWebサービス、クラウドサービスに対する認証強化やアクセス元制限です。今回の事案では、Webサービスの脆弱性を突くもの以外に、企業が利用する大手クラウドサービスへの不正アクセスによって発生した情報漏えい事件が含まれています。

このような事態を招かないためには、自社が利用するWebサービス、SaaSサービスについての認証強化やアクセス元制限など、今まで以上に対策を強化できる点がないかを確認しましょう。

この中でも盲点になりえるのが、APIなどを介して各種リソースにアクセスするための資格情報としてシークレットキーやアクセスキーが用いられるのですが、この資格情報そのものを担当者レベルで自由に発行・利用できる権限を付与していると、企業としてその実態の把握ができていない場合が多いのではないかと考えられます。

今回多発している情報漏えいインシデントでも、APIを介した不正アクセスにおいて、管理されていないシークレットキーが悪用されたとみられる事案が含まれています。

今すぐ行うべき点検・対策（３）自社システムの認証・アクセス管理設定の点検

3つ目は自社で運営しているシステムや、サービス提供基盤となるシステムに対する認証・アクセス管理についての点検です。多くの企業では、ユーザーや取引先に直接利用してもらうシステムを保有しているわけではないと思います。にもかかわらず、考慮点が足らず実は外部からアクセスできてしまう経路が存在していることを認識できていないケースが存在すると考えられます。

なお、認証・アクセス制御については、公開サーバーに限定されるわけではありません。巧妙なランサムウェア攻撃においては、さまざまな手段で内部ネットワークに初期潜入し、内部探索活動を介して、内部ネットワーク内にある重要システムへの不正アクセスを行うことが手口から明らかになっています。

ただ現状多発している情報漏えい事件の被害状況から読み取れるのは、多くの企業でインターネットに直接公開されているシステムへの不正アクセスが起因しているという実態です。

こうした状況を踏まえ、本記事では各社が優先すべき点検箇所としてIDアクセス管理・認証分野を紹介いたしました。