この記事の目次
JPCERT/CCは10月8日、国内組織への不正アクセスが相次いでいるとして注意喚起を出しました。ニュースを見て、使っているサービスのパスワードを全部変えるべきでしょうか。答えは、一斉変更が最初ではありません。今回の文書は主にシステムを運用する組織へ点検を求めるものです。個人はまず、自分が利用するサービスから漏えい通知が来ているか、漏れた可能性がある項目に認証情報が含まれるか、同じパスワードをほかでも使っていないかを順に確かめます。
一つの共通原因が確定した警報ではない
JPCERT/CCは、2026年9月前後に大量の個人情報漏えいにつながるおそれのある攻撃が増えているとして、把握できた情報は限定的で断片的だと明記しています。すべての被害が同じ攻撃者や一つの欠陥から起きたと断定した発表ではありません。この限定を外すと、利用中のすべてのサービスが同じ方法で侵入されたように読めてしまいます。
確認されている例には、既知の脆弱性を探す試行、設定ファイルやバックアップの窃取、管理用APIへの不正な操作、Metabaseの特定の脆弱性の悪用が挙げられました。APIはアプリやシステム同士が命令やデータをやり取りする入口です。画面には見えない入口でも、権限や回数制限が弱ければ悪用されるため、JPCERT/CCは運用側にアクセス制御、最小権限、トークンの期限、ログ監視などの点検を求めています。
前日の10月7日には、個人情報保護委員会も大規模な漏えい事案を受けて事業者向けの注意喚起を公表しました。フィッシングに強い方式を含む多要素認証、端末の常時監視、不要になった個人データの消去などを例示しています。二つの注意喚起が続いたことは深刻ですが、個人に同じ時刻で全アカウントの変更を命じたものではありません。
通知で先に見るのは、会社名より漏れた項目
個人情報保護法の下では、財産的被害のおそれ、不正目的の漏えい、1,000人を超える漏えいなど、個人の権利利益を害するおそれがある事態では、事業者による本人通知が必要になります。通知は概要、漏えいした可能性があるデータ項目、原因、二次被害のおそれなどを、状況に応じて速やかに伝える仕組みです。すべての調査が終わるまで最初の通知を待ってよい、という制度ではありません。
メールアドレスだけ、住所や電話番号、クレジットカード情報、IDとパスワードでは、警戒する二次被害が違います。個人情報保護委員会は例として、カードやポイントの不正利用、漏えいしたメールアドレスへの詐欺メールを挙げています。したがって「個人情報が漏れた可能性」という一文だけで行動を決めず、何の項目が対象か、現時点で未確定の部分は何かを読み分けます。
通知を装った偽メールが増える場面も想定します。メールやSMSのリンクを急いで押すのではなく、普段使う公式アプリ、保存したブックマーク、検索して確認した公式窓口から同じお知らせを探します。通知に書かれた問い合わせ先も、公式サイトの連絡先と一致するか確かめれば、漏えい後の不安を利用するフィッシングへ自分から認証情報を渡す危険を減らせます。
使い回しが一つでもあれば、変更の優先順位が変わる
対象サービスでIDやパスワードの漏えい、または不正ログインが確認されたなら、そのサービスのパスワードを変更し、ログイン履歴と登録情報を確認します。同じパスワードを別のサービスでも使っていた場合は、そちらも別々の長く複雑な文字列へ変更します。一つの漏えいで得た組み合わせを別サイトへ試す「パスワードリスト攻撃」があるためです。
独立行政法人情報処理推進機構（IPA）は、パスワードを長く複雑にし、サービス間で使い回さず、多要素認証を設定するよう勧めています。多要素認証は、パスワードに加えて端末、認証アプリ、生体情報など別の要素も確認する仕組みです。パスワードだけが知られても、それだけではログインを完了できない壁を一枚増やせます。
優先順位は、まずメール、金融、買い物、携帯電話など、ほかのアカウントの再設定や金銭に結びつくサービスです。次に、漏えい通知の対象と、同じ認証情報を使ったサービスを直します。心当たりのないログイン、カード利用、ポイント交換、配送先変更があれば、画面を記録してサービス窓口やカード会社へ連絡します。全部を急いで同じ新パスワードへ置き換えると、使い回しを作り直すだけなので避けます。
企業向け対策を、利用者の自己責任にしない
今回の注意喚起から個人が受け取るべき結論は、企業の設定不備まで利用者が背負うことではありません。修正済みソフトへの更新、APIの回数制限、不要な管理画面の非公開化、保存期限を過ぎたデータの消去は、サービス提供者が行う対策です。利用者のパスワード管理が大切でも、それだけで組織側の安全管理責任が消えるわけではありません。
一方で、通知を待つ間にもできる小さな確認はあります。重要なアカウントで使い回しがないか、多要素認証が有効か、復旧用メールと電話番号が現在のものか、ログイン通知を受け取れるかを見ます。パスワード管理ツールを使う場合も、その仕組みと復旧方法を理解し、管理ツール自体の多要素認証を確かめます。
相次ぐ漏えいの見出しに触れると、何も信じられないように感じるのは自然です。しかし、恐怖の大きさと変更するアカウント数を一致させる必要はありません。まず公式通知で漏れた項目を確かめ、次に使い回しを切り、多要素認証と履歴を確認する。この順番なら、未確定の情報に振り回されず、実際の二次被害へつながる道を狭められます。
警報の日に、アカウントの棚卸しを一度だけ
不正アクセス注意喚起は全パスワードの一斉変更命令ではありません。公式通知の漏えい項目を確認し、使い回しを解消し、多要素認証とログイン履歴を優先して点検します。
参考資料
- JPCERTコーディネーションセンター · 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（2026年10月8日）
- 個人情報保護委員会 · 大規模な漏えい等事案を踏まえた対応について（注意喚起）（2026年10月7日）
- 個人情報保護委員会 · 漏えい等報告・本人への通知の義務化について
- 情報処理推進機構 · 不正ログイン対策特集ページ（2026年10月8日確認）
- INTERNET Watch · JPCERT/CCが相次ぐ不正アクセスの攻撃手法と対策を公表（2026年10月8日）
- ITmedia NEWS · 個人情報保護委員会が強い多要素認証や不要データ消去を例示（2026年10月8日）
意見を寄せる
コメントは確認・承認後に表示されます。テーマに沿った異なる意見も歓迎します。