大量の個人情報漏えいが相次ぎ、個人情報保護委員会・IPA・金融庁などが10月に注意喚起
- 3分で読める
- 一次資料6件
- セキュリティ図鑑編集部
10月上旬に注意喚起を出した機関
委員会・IPA・金融庁など個人情報保護委員会の注意喚起
最初の発表IPAが特別相談窓口を開設
事業者向け本人確認書類の画像を送る方法が廃止
ICチップに原則一本化SUMMARY
要点をまとめると
- 01
不正アクセスで大量の個人情報が漏れる事案が相次いだことを受け、個人情報保護委員会が2026年10月7日に、JPCERT/CC、国家サイバー統括室、IPA、金融庁が10月8〜9日に注意喚起を出しました。
- 02
外部に公開しているアプリとAPI、使っている外部サービスのログとアカウント、持っている個人データの量を、すぐに点検するよう求めています。
- 03
IPAは10月16日に事業者向けの特別相談窓口を開きました。
この記事をスライドで理解する（7枚）
1 / 72026年9月前後から、国内の事業者で不正アクセスによる個人情報の漏えいの公表が続きました。これを受けて10月上旬、個人情報保護委員会、JPCERT/CC、国家サイバー統括室（NCO）、IPA、金融庁が相次いで注意喚起を出しています。個々の事案ではなく、各機関が事業者に求めている点検と対策をまとめます。
01各機関の発表
国がいろいろ注意喚起してるって本当？
はい。10月に個人情報保護委員会、JPCERT/CC、NCO、IPA、金融庁が相次いで発表し、IPAは10月16日に特別相談窓口を開きました。
大量の個人情報を持つ事業者へ注意喚起。ガイドライン見直し案を公表
攻撃手法と不審な送信元IPアドレスを公表（10月23日に更新）
対策のポイント提示、経営者への点検要請、金融機関への点検要請
不正アクセス特別相談窓口（事業者向け）を開設
- 個人情報保護委員会
大量の個人情報を持つ事業者へ注意喚起。来年4月に確定予定のガイドライン見直し案（技術的安全管理措置）を先取りして公表。「WARNING」も改訂
- JPCERT/CC
確認されている攻撃手法と不審な送信元IPアドレスを公表（10月23日に更新）
- NCO
脆弱性管理、多要素認証、ログ、委託先管理などの対策のポイントを提示
- IPA
経営者に対策の点検と見直しを至急行うよう要請
- 金融庁
金融機関に点検と、本人確認書類の画像の確認徹底を要請
- IPA
不正アクセス特別相談窓口（事業者向け）を開設
02わかっている攻撃の手口
どんな手口で入られてるの？
IPAは、外部に公開しているアプリやサービス、アカウントの侵害が起点とみられるとしています。特定製品の脆弱性とは断定されていません。
外部に公開しているアプリやサービス、アカウントの侵害が起点とみられる（IPA）
ウェブシステムの脆弱性の悪用による事案を確認（NCO）
サプライチェーンを通じた侵害、堅牢さを欠くデータ管理も（NCO）
IPAは、特定の製品の脆弱性を狙った攻撃とは断定されていないとしたうえで、外部に公開しているアプリやサービス、アカウントの侵害が起点とみられると書いています。NCOも、ウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などによる事案を複数確認したとしています。攻撃手法と不審なIPアドレスの詳細は、JPCERT/CCの注意喚起（図鑑の別記事でも紹介）にまとまっています。
03事業者に求められている点検
会社は具体的に何を点検すればいい？
公開アプリのログ確認とパッチ、使っている外部サービスの洗い出し、不要な個人データの削除、多要素認証の強化などです。
直近1か月、次に3か月とログの異常を見て、未適用のパッチを当てる
部署単位のクラウドやVPNも含め、ログと覚えのないアカウントを確認
利用目的を終えたデータは遅滞なく消すよう努める（法第22条）
社外からのアクセスや管理者権限には多要素認証を使う
- 外部に公開しているアプリの精査。直近1か月、次に3か月と範囲を広げてログの異常を見て、未適用のパッチを当てる（IPA）。
- 使っている外部サービスの洗い出し。部署単位で契約したクラウドやVPNも含め、ログと、作った覚えのないアカウントがないかを確認する（IPA）。
- 持っている個人データの再点検。利用目的を終えたデータは遅滞なく消すよう努める（個人情報保護委員会、法第22条）。
- 認証の強化。社外からのアクセスや管理者権限には、フィッシングに強いものを含む多要素認証を使う（個人情報保護委員会の見直し案）。
異常が見つかったら、すぐにセキュリティインシデントとして扱い、専門のベンダーに調査を頼むことをIPAは強く勧めています。IPAの特別相談窓口（電話 03-6759-5760、平日9時30分〜17時30分）は、初動の助言や対応業者の一覧の紹介をしています。
04個人の利用者がすること
個人としては何をすればいいの？
通知が来たサービスのパスワードを変え、使い回し先も変えます。氏名入りのメールやSMSでも、リンクからは開かないでください。
通知が届いたサービスと、同じパスワードを使うほかのサービス
使えるなら有効にする
氏名入りのメールやSMSでも開かない。氏名入りのフィッシングも確認
- 漏えいの通知が届いたサービスは、パスワードを変え、ほかで同じパスワードを使っていればそちらも変える。
- 多要素認証やパスキーが使えるなら有効にする。
- 氏名入りのメールやSMSでも、リンクから開かない。フィッシング対策協議会は9月の報告で、受信者の氏名が書かれたフィッシングメールを確認したとしています。
05今後の予定
この先、ルールが変わったりするの？
個人情報保護委員会のガイドライン見直しは来年4月に確定予定です。2027年4月1日からは本人確認書類の画像送付が廃止されます。
個人情報保護委員会のガイドライン見直しの内容が確定する予定
ICチップの読み取りに原則一本化。金融庁は前倒しでの対応を求める
個人情報保護委員会のガイドラインの見直しは、来年4月に内容が確定する予定です。金融庁は、2027年4月1日から本人確認書類の画像を送る方法が廃止されICチップの読み取りに原則一本化されることを踏まえ、前倒しでの対応を求めています。
NEXT ・ 次に読む
週1回・無料
「今週気をつけること」をメールで受け取るいま悪用されている脆弱性と、出回っている詐欺の手口を、毎週まとめてお届けします。いつでも解除できます。出典（一次資料）6件被害を受けた組織や公的機関の発表だけを出典にしています（2026.10.30に確認）開く
- 1個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日） ↗www.ppc.go.jp
- 2
- 3
- 4国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日） ↗www.cyber.go.jp
- 5
- 6IPA 不正アクセス対策特設サイト ↗www.ipa.go.jp