10月の漏えい注意喚起から見える3つの共通点

10月に何があったのか

2026年10月は、不正アクセスによる情報漏えいを受けた注意喚起が続いた月でした。個人情報保護委員会、IPA、JPCERT/CC、警察庁、金融庁などが、10月7日から9日にかけて相次いで呼びかけを出しています。月の後半には、メール配信サービスを提供するユミルリンクが、多くの利用企業のデータが漏れたと公表しました。

これらの資料を読み比べると、規模を問わず中小企業にも当てはまる共通点が3つあります。

共通点1 入口は外に出ているシステム

JPCERT/CC は、攻撃者が標的ごとに複数の既知の脆弱性を試していると伝えています。脆弱性がなくても、設定ファイルやバックアップファイルが外から取れる状態だと盗まれます。社員向けの管理システムや BI ツールなど、「社外の人は使わないから」と考えがちなシステムも被害に遭っています。

IPA も、公表された事例からは、外部に公開しているアプリやサービス、アカウントの乗っ取りが起点になっているとみています。

共通点2 委託先と外部サービスも狙われる

ユミルリンクの第二報では、共通部品の脆弱性を突かれたこと、サポート担当者の認証情報が盗まれたことが原因に挙がっています。対策として、接続元の制限が設定されていなかった操作画面や API に制限をかけました。

自社がこうしたサービスを使う側でも、預けたデータは同じように漏れます。IPA が「使っている外部サービスの洗い出し」を点検の柱の一つにしているのはこのためです。

共通点3 持っているデータが被害の大きさを決める

個人情報保護委員会は、要らなくなった個人データの消去が徹底されず、被害が大きくなった例があると指摘しました。JPCERT/CC も、保存期間や利用目的を過ぎたデータは消すようすすめています。持っていないデータは漏れません。

まず何から手をつけるか

最初の一歩は、インターネットから届くものの一覧を作ることです。Web サイトや問い合わせフォームだけでなく、外部サービスの管理画面も含めます。一覧ができたら、それぞれに接続元の制限と多要素認証がかかっているかを確かめます。

次に、外部サービスごとに「どのデータを預けているか」を書き添えます。メール配信なら顧客のメールアドレス、採用サービスなら応募者の履歴書という具合です。最後に、持つ理由がなくなったデータを消す日を決めます。

JPCERT/CC は、漏えいが起きたときに顧客へ出す二次被害防止の呼びかけを、平時から準備しておくこともすすめています。文面を一つ作っておくだけでも、いざというときの動きが変わります。