IT企業マクニカが運営するセキュリティ研究センターは10月7日、国内で相次ぐセキュリティインシデントの動向を分析したブログ記事「相次ぐWEBシステムからの情報窃取事案について」を公開した。Xで共有されたほか「はてなブックマーク」が800件以上付くなど、話題になっている。
2026年に公表された事案は119件、7月以降に集中
同ブログでは、Webシステムからの情報窃取が多発している一方で、発表される情報が限られているため、自組織の点検や改善に生かしにくいと指摘。「10月6日時点で判明している被害や攻撃手法などの情報をまとめ公開します」として、ブログ公開の意図を説明した。
マクニカの調査によると、2026年に公表されたWebシステム経由の個人情報窃取事案は10月6日時点で119件に達し、そのうち約7割に当たる81件が7月以降に集中している。この短期間での被害の連鎖は、過去の傾向と比較しても特異な事態といえる。
攻撃手法は多様化、無差別な不正アクセスの可能性も
セキュリティ研究センターのブログでは、昨今の情報窃取急増の特徴として「標的の多様化」を指摘。従来はクレジットカード情報の窃取を目的としてECサイトを狙うケースが多かったが、現在では図書館の蔵書検索や大学の施設予約システムなど、多岐にわたる用途・規模のWebサイトへと被害が拡大しているという。
さらに、窃取する情報についても氏名や連絡先など、単体では悪用しにくい基本情報にとどまるケースも少なくない。
同ブログではこの状況について「公開されたWebサイトに手当たり次第、無差別的に攻撃を仕掛け、攻撃に成功した場合、同種の技術を使っているサイトを探し出して同様の手法が成功するか試して、脆弱（ぜいじゃく）なサイトから取得できる情報を抜き取る活動を繰り返している可能性が高い」と分析。
さらに「無差別に不正アクセスを仕掛け、取得できる情報を端から集めている様子もうかがえます」と指摘している。
攻撃者はどう侵入しているのか、3つの手法を整理
攻撃者はどのように侵入しているのか。セキュリティ研究センターのブログでは、一般的なWebシステムへの攻撃手法を以下の3つに整理している。
- 手法1：共通ソフトウェアの脆弱性
- 手法2：アカウントや認証の不備
- 手法3：個別のサイト構造やAPIの機能、アクセス権設定の不備
これまでは手法1や手法2が主流だったが、同ブログの執筆者らが事案対応やログ分析から捉えた今回の実態は異なる。「手法3に当たる個別のサイトやAPIの不備を探る動きが具体的に見えてきています」と明かし、攻撃者の狙いについて「特定の手法に拘るのではなく、そのシステムで使える不備や欠陥を広く探し、情報に達する手法を試行錯誤している、と捉えるのが実態に近いと考えています」と説明している。
今すぐ点検すべき3つのチェックポイント
企業ができる対策として、セキュリティ研究センターのブログでは「まず、自組織で公開しているWebサイトやモバイルアプリ、その連携先と、保有する個人情報、数量を整理」した上で、以下の3つの対策を推奨している。
第1に「既に被害がないかを調べる」ことだ。直近1カ月を目安に、アクセスログや管理機能への不審なアクセス、データベースの高負荷・エラー増加、認証システムへのログイン試行が急増していないかなどを点検し、異常があればログを保全し、過去にさかのぼって確認・調査する。
第2に「侵入や情報取得につながる不備をふさぐ」ことだ。未適用パッチの適用、パスワードの強化、多要素認証の導入検討といった対応を行う。また、脆弱性診断を実施していないサイトやアプリを公開していないかもチェックする。管理画面のように一般に公開されない機能は診断の対象から外されがちなので注意が必要だ。
第3に「異常を見逃さず、対応できるようにする」ことだ。重要なシステムでは、アクセスログやエラーログ、サーバリソースの負荷を継続して監視することを勧める。単にアラート通知を設定するだけでなく「誰が確認し、誰に連絡し、調査や対応を進めるのかまで決め、実際に動けるかまで点検すべき」としている。
あらゆるWebサイトが標的となり得る現状を踏まえ、公開システムの緊急点検と実効性のある体制構築が急務となっている。マクニカのセキュリティ研究センターが提唱したように、基本的な対策から始めることが大切かもしれない。
