日本でサイバー攻撃相次ぐ、政府が緊急対策の強化を指示

日本でサイバー攻撃相次ぐ、政府が緊急対策の強化を指示

日本では2026年9月から10月にかけて、クラウドサービスやカーシェアリングなど、複数の分野で不正アクセスや情報漏えいが相次いだ。クラウド事業者のIDCフロンティアはランサムウェア攻撃を受け、495の企業や自治体に影響が及んだ。また、タイムズカーではWebシステムへの不正アクセスにより、大量の顧客情報が外部に送信された痕跡が確認されている。こうした状況を受け、日本政府は10月26日にサイバーセキュリティに関する関係閣僚会議を開催し、緊急対策の強化を指示した。ただし、政府が法的な意味で国家非常事態を宣言したことは確認されていない。

IDCフロンティアでは10月7日、クラウドサービス「IDCFクラウド」の東日本リージョン1の一部で障害が発生した。同社は同日、原因を第三者によるランサムウェア攻撃と特定した。10月27日に公表した最終調査結果によると、攻撃者は「IDCFクラウドポータル」の認証システムで使用されていたオープンソースソフトウェアの脆弱性を悪用して侵入した。その後、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得し、顧客の仮想サーバーを停止させたうえで暗号化していた。

被害を受けたのは、東日本リージョン1の4つのゾーンを利用していた企業や自治体495団体に上る。同社は、攻撃を受けた仮想サーバー内のデータについて、外部への流出はなかったと判断している。一方、クラウド管理ポータルでは、最大71社の顧客登録情報に対する不正な照会が確認された。IDCフロンティアは、外部からのポータルへのアクセスを遮断するとともに、代替環境への移行やバックアップデータの取り出しを通じて顧客の復旧を支援している。

この攻撃は、IDCフロンティアのサービスを利用する企業の業務にも影響した。JR東日本は10月9日、IDCフロンティアへの不正アクセスに伴い、「えきねっと」と「大人の休日倶楽部」の会員向けメール配信サービスが一部利用できなくなったと発表した。当初は、「えきねっと」会員のメールアドレス最大約167万件と、「大人の休日倶楽部」会員の情報最大約39万件について、漏えいの可能性を否定できないとしていた。

しかし、JR東日本は10月15日、IDCフロンティアから報告を受けたメール配信用外部サービス会社より、対象となる個人情報の漏えいはなかったと判断したとの報告を受けたと公表した。このため、当初示された約167万件を、実際に流出したメールアドレスの件数として扱うことはできない。一方、外部サービスの障害がJR東日本の会員向け業務に影響したことは確認されており、共通のサービス基盤への依存がもたらすリスクを示す事例となった。

別の事案では、タイムズカーが9月25日にWebシステムへの不正アクセスを検知した。運営会社のパーク24が10月23日に公表した調査結果によると、攻撃者はWebシステムの脆弱性を悪用して侵入し、データベースやファイル領域にアクセスしていた。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などを含む662万8,007件のデータについて、外部送信の痕跡が確認されている。

また、運転免許証などの本人確認書類の画像データについては、暗号化された状態で146万4,800件が外部送信された痕跡が確認された。さらに、89万1,602件の暗号化画像データでは、攻撃者によるアクセスの痕跡が確認されたものの、外部送信の痕跡は確認されなかった。同社は、画像データが暗号化されていたため、外部送信の痕跡があっても直ちに画像の内容が閲覧可能になったことを意味するものではないと説明している。

タイムズカーは、今回の事案を受けて本人確認書類の画像の保管方針も見直した。従来は会員期間中と退会後7年間にわたって画像を保管していたが、今後は会員登録時の確認が完了した段階で削除する方針に変更した。既存の保管画像についても、10月末までに削除するとしている。

本人確認書類を含む情報漏えい事案が相次ぐなか、金融庁は10月9日、金融機関などにサイバーセキュリティ対策と本人確認手続きの強化を求める注意喚起を公表した。金融機関には、外部サービス事業者に関するリスク管理やインシデント対応体制を点検するとともに、非対面での本人確認に使用される書類画像や本人の顔画像に不自然な点がないか、確認を徹底するよう求めている。

また、2027年4月1日からは、本人確認書類の画像送信による方式を廃止し、原則としてICチップ情報の読み取りを利用する制度変更が予定されている。金融庁は、最近の情報漏えい事案を踏まえ、金融機関に対して施行日を待たずに対応を進めるよう要請した。これは運転免許証そのものを本人確認書類として一律に認めなくする措置ではなく、画像送信に依存した本人確認方法の見直しを求めるものだ。

相次ぐ事故では、被害の形態や侵入経路がそれぞれ異なる。IDCフロンティアとJR東日本の間には、クラウドサービスを通じた影響関係が確認されている。一方、タイムズカーへの不正アクセスがIDCフロンティアへの攻撃と技術的に関連していることや、同一の攻撃者によって実行されたことを示す証拠は公表されていない。複数の事案を一連の攻撃キャンペーンとして扱うことには慎重な判断が必要となる。

ただし、共通のサービス基盤に対する攻撃が複数の利用企業に影響を及ぼすリスクは、IDCフロンティアの事例で明らかになった。クラウドサービスの管理システムが侵害された場合、個々の利用企業に直接侵入しなくても、仮想サーバーの停止や業務サービスの中断を引き起こす可能性がある。利用企業側のセキュリティ対策に加え、サービス事業者の脆弱性管理や障害発生時の復旧体制が重要となる。

こうした状況を受け、高市早苗首相は10月26日、首相官邸で開かれたサイバーセキュリティに関する関係閣僚会議で、被害企業への支援や情報収集体制の強化を指示した。IPAや警察の相談対応を充実させ、民間機関や地方自治体との連携を強めるとともに、国家サイバー統括室への情報集約を徹底するよう求めた。また、被害企業が初動対応から復旧まで民間の専門的な支援を活用できる仕組みの整備も指示している。

政府は、実態が解明されたサイバー攻撃に対し、アクセス・無害化措置を含む対応手段を戦略的に選択する方針も示した。攻撃主体の特定に向けて海外の関係機関との連携を進めるほか、AIを活用した脆弱性検証や、サプライチェーン全体で攻撃を観測する体制の整備も前倒しで実施するよう求めている。

さらに、高市首相は関係閣僚に対し、財政措置を含めた必要な対策を検討し、翌週中を目途に政府の「緊急対策パッケージ」を取りまとめるよう指示した。10月30日時点では、今回の会議で示された方針が個々の企業の復旧や被害防止にどの程度の効果をもたらすかについて、今後の具体的な施策と運用を確認する必要がある。相次ぐサイバー攻撃への対応では、被害情報の迅速な共有と企業への支援に加え、共通サービス基盤の安全性確保が引き続き重要な課題となっている。