相次ぐWEBシステムからの情報漏洩事案について

2026年、国内法人が運営するWEBシステムからの個人情報漏洩が異常なペースで相次いでいる問題について、2026年10月6日時点で判明している被害状況・攻撃手法・対策をまとめた解説記事。過去のサイバー攻撃と特徴が異なるため専門家の間でも解釈が揺らいており、被害公表も情報が限られている中、実対応事案（伊藤忠サイバー＆インテリジェンス、セキュアスカイ・テクノロジー提供）ベースの貴重な情報を公開している点が特徴。

• 2024年62件 → 2025年84件 → 2026年は10月6日時点で早くも119件と急増
• 特に2026年7月以降の増加が顕著で、執筆者も「これまでとは違う異常な事態」と評するレベル
• 集計対象は国内法人のWEBシステム経由の個人情報窃取・漏洩事案（公開情報のみ。リスト型攻撃・ランサムウェア・別クラスタと判断される事案は除外）

標的が多様化

• 従来はECサイトのクレジットカード情報狙いが主流だったが、現在は会員サービス・業務システム・顧客対応など多岐にわたる
• 図書館の蔵書検索、観光列車の座席予約、大学のセミナーハウス予約、公演チケット払戻し管理など「標的になりにくい系」まで被害
• 特定企業狙いではなく、個人情報を扱う公開WEBシステムへ無差別攻撃、成功した手法を同種サイトへ横展開するパターン

盗まれる情報も「選り好みなし」

• 金銭化しやすい情報だけでなく、単体では悪用しづらい氏名・連絡先レベルの情報も片っ端から収集

公表ベースの侵入経路（7月以降81事案）

• 共通ソフトウェア（CMS・プラグイン等）の脆弱性：9件（11.1%）
• 認証情報の悪用・パスワード攻撃：4件（4.9%）
• サイト設定・アクセス制御の不備：3件（3.7%）
• 原因の説明が不足：65件（80.2%） ← 大半は原因すら公表されていない

実対応事案から見えた実態（最重要ポイント）

• 特定CVEを探すのではなく、サイト全体を広く調査し、画面やAPIを「通常通り」動かしながら不備を探す」手法
• スマホアプリを解析してAPIキーを抽出し、正規アクセスに見せかけてAPIを呼ぶケースも確認
• 狙いは「過剰な情報を返すAPI」「過剰な権限を持つAPI」「匿名でも触れる会員機能」「セッション管理の不具合」など多岐
• 管理者向け一括取得機能を悪用して大量取得した可能性

1）既に被害がないか調べる（直近1か月のログ点検）

• 同一IPからのAPI大量アクセス、403/404/503エラーの急増、200でも極端な流量増
• 一般利用者に許可していない管理機能の利用・不審なコマンド実行
• DB高負荷・セッション大量消費・DBエラー増加・ログイン試行増加
• 重点確認IP：210.149.87[.]120、69.10.51[.]162（アクセスがあった＝被害確定ではないが、大量アクセスがあれば詳細調査を）

2）侵入・情報取得につながる不備を塞ぐ

• パッチ適用、管理者の強パスワード＋多要素認証
• 脆弱性診断未実施のシステム・アプリの洗い出し。管理画面など非公開機能は診断から漏れがちなので要注意
• サーバー側アクセス権確認の徹底、APIの過剰データ返却・ゲストアクセスでの不要データ返却の見直し
• アプリ・フロントコードへの秘密情報埋め込み禁止（難読化していても解析される）
• 不要な個人情報・備考欄の想定外情報の削減、サービス終了時のAPIキー破棄

3）異常を見逃さず対応できる体制

• アクセスログ・エラーログ・リソース負荷の継続監視と、検知→誰が見る→誰に連絡→誰が調査するかまで決めて訓練

• 次の詐欺・サイバー犯罪に使う情報収集である可能性が高い（フィッシング・偽警察詐欺の信用材料になる）
• 日本だけでなく2026年7〜9月に13カ国・地域で計99件の類似事例を確認（韓国30件、フランス11件、ポーランド8件など）。日本だけが狙われているとは断定できない
• 個人情報漏洩以外に、サイト改ざん・偽警告表示・登録情報書き換えなど最低25件の別種被害も確認

• 断片的に報じられる被害情報を、件数推移・サイト種別・漏洩情報・手口の多軸で体系的に整理
• 「実対応事案」ベースの攻撃手法情報（通常アクセスに紛れた偵察・窃取）は公表資料だけでは得られない一級情報
• 原因不明が80%の中で、自組織で今できる点検・対策を具体的に示しており、実務のチェックリストとしてそのまま使える