相次ぐWebサイトからの情報漏えい―CTC-SOCの観測から見る「死角を狙う」攻撃と、今すぐ取るべき対応―

この記事をシェア

2026年秋、国内組織のWebシステムへの不正アクセスと、それに伴う個人情報の漏えいが相次いで報じられ、公的機関も一斉に注意喚起を行っています。本稿では、一連の攻撃の特徴と、CTC-SOCの観測から見えた変化を整理し、組織が見逃しやすいポイントと今すぐ取るべき対応をまとめます。

何が起きているのか
攻撃の担い手はAIへ
CTC-SOCでの観測状況
注意を要するインシデントの増加
Webサイトへの攻撃は「探索」から「攻撃の試行」へ
SOCから見た3つの死角
1. 入口で遮断できていても、安全とは限らない
2. 「低リスク」として扱ってきた兆候が、攻撃の予兆になる
3. 監視・診断の対象から漏れている資産が狙われる
今すぐ取るべき対応
まとめ
参考情報

何が起きているのか

公的機関などの公表から、一連の事案には次のような特徴が見えてきます。

業種・規模を問わない無差別型：ECサイトに限らず、会員向けサービスや予約システムなど、個人情報を扱う公開Webシステムが広く狙われています。
利用者向け以外のシステムも標的：社内向けの管理システムや、データ分析に使うBIツールなど、外部の利用者を想定していないシステムも被害に遭っています。
高度な手口ではなく、基本的な不備を突く攻撃：主に悪用されているのは、既知の脆弱性、認証の不備、APIのアクセス制御の不備です。

JPCERT/CCなどが公表している主な攻撃手法を表1に整理します。

表 1 一連の事案で確認されている主な攻撃手法

攻撃手法	概要	突かれる主な不備
既知の脆弱性の探索・悪用	公開サーバで使われているソフトウェアに既知の脆弱性がないかを調べ、悪用を試みる。設定ファイルなどの窃取も狙われる	修正版の未適用、公開サーバの管理不備
アプリ解析を起点としたAPIの不正操作（A2B攻撃）	公開されているアプリを解析してAPIの仕様や認証情報を割り出し、画面からは使えない機能を直接呼び出す	サーバ側の認可の不備（IDOR/BOLA）、アプリに埋め込まれたAPIキー
BIツールの脆弱性悪用	MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）を、API経由で悪用する	管理・分析系システムの外部公開、修正版の未適用
Webシェルの設置	公開サーバから到達できる内部のアプリケーションサーバに、遠隔操作用のプログラムを置く	内部サーバへの到達経路、管理機能の露出

出典：JPCERT/CC、LETTICEの公開情報をもとにCTC-SOCにて整理

攻撃の担い手はAIへ

一連の攻撃で注目されているのが、公開されているスマートフォンアプリを解析し、その裏側で動くサーバー（バックエンド）を狙う「A2B攻撃」（LETTICEによる呼称）です。JPCERT/CCは10月15日、この種の攻撃に使われた可能性のあるサーバーの調査結果を公表し、アプリの解析ツールやSSRFを検証した跡に加えて、スキャンやAPIへの攻撃に攻撃者がAIを使っていたことを確認したとしています。

海外でも、約180万件のアプリから秘密情報を自動で抜き出し、侵入に悪用した事例が、Anthropic社の9月のレポートで報告されています。

手法そのものは既知のものですが、アプリの大量解析は自動化ツールで、APIの把握や脆弱性の探索はAIで高速化されています。その結果、これまでは手間がかかるため狙われにくかった不備まで、攻撃の対象になっています（図1）。

図 1 AIで自動化された攻撃の流れ

CTC-SOCでの観測状況

CTC-SOCが監視する顧客環境でも、同時期に変化が表れています（いずれも指数・構成比で示します）。

注意を要するインシデントの増加

CTC-SOCの分析結果を基にお客様に通知した、注意を要するインシデントの件数は、4〜7月の平均を1.0とすると、8月は1.7、9月は2.3に増加しました（図2）。7月以降、監視対象のログ量に大きな変化はなく、注意を要する事象そのものが増えていたと考えられます。

図 2 注意を要するインシデント件数の推移（指数）

Webサイトへの攻撃は「探索」から「攻撃の試行」へ

Webサイトへの攻撃件数(CTC-SOCが分析する前のログの件数)を種類別に集計すると、9月第1週を境に構成が大きく変わりました（図3）。「攻撃の試行」の割合は、7〜8月の51〜62%から9月以降は68〜72%に上がり、「スキャン・ボット」は24〜38%から19〜20%に下がりました。攻撃件数の合計は8月30日の週をピークに、9月下旬には7月中旬の水準まで戻りましたが、「攻撃の試行」の割合は下がっていません。攻撃件数が落ち着いても、その中身は「攻撃の試行」が中心のままです。

図 3 Webサイト攻撃の件数（指数）と種類別の構成比の推移

攻撃の件数が最も多かったのは8月26日〜9月4日で、公的機関による注意喚起（10月上旬）の約1か月前に当たります。また、SQLインジェクションの割合は7月の11.8%から10月には16.4%に上がりました。一方で、パスワードの総当たりなどの認証攻撃は増えておらず、攻撃者の関心が、パスワードからアプリケーションの不備へ移っていることがうかがえます。

なお、これらの多くはWAFなどで遮断された攻撃の試行であり、件数の増加がそのまま被害の増加を意味するものではありません。

SOCから見た3つの死角

公開情報とCTC-SOCの観測を重ねると、防御側が見落としやすい点が3つ浮かび上がります。

1. 入口で遮断できていても、安全とは限らない

図3に表れているのは、WAFやIPSのシグネチャで捉えられる「見えている攻撃」です。一方、今回問題となっているAPIの認可の不備を突いた不正操作（他の利用者のIDを指定して情報を取得するなど）は、正規の形をしたリクエストで行われ、多くの場合、正常応答（HTTP 200）として処理されます（図4）。入口での攻撃の試行が増えている状況は、その裏で、検知されにくい攻撃が並行して試みられている可能性を示すシグナルと捉えるべきです。

図 4 「見えている攻撃」と「見えにくい攻撃」

2. 「低リスク」として扱ってきた兆候が、攻撃の予兆になる

多数のIPアドレスからの少量のアクセス、User-Agentを次々に変える通信、エラー応答（4xx）の散発的な増加といった兆候は、日常的に大量に発生し、過検知も多いことから、これまでは脅威レベルの低い事象として扱われることが一般的でした。しかし、見つけた不備をAIなどで素早く攻撃に移す今回のような攻撃では、こうした小さな兆候が、本格的な攻撃の前触れになり得ます。一つひとつは低リスクに見えても、同じ時期・同じ対象に集中していないか、ほかの兆候と重なっていないかに注目し、攻撃の予兆を見落とさないための重要な指標として扱う必要があります。

3. 監視・診断の対象から漏れている資産が狙われる

スマートフォンアプリのバックエンドAPI、BIツール、管理画面、検証環境、旧バージョンのAPIなどは、脆弱性診断やSOC監視の対象から外れていることが少なくありません。今回の一連の事案でも、こうした資産が侵入口の一つになったとみられるケースが報告されています。

今すぐ取るべき対応

以上を踏まえ、次の対応を緊急に実施することを推奨します（表2）。被害の有無を確認する際の具体的な観点は表3に示します。

表 2 緊急提言：3段階の対応

時期	目的	実施すべき対応
今すぐ	被害の確認	公開しているWebシステム、API、BIツール、管理画面を洗い出す
		8月以降のWebアクセス・API・ログインのログを確認する（表3）
		公開されたIoCと照合する
		不審なアクセスがあれば、ログを保全してから影響範囲を調査する
早期に	侵入口を塞ぐ	BIツールなど管理系システムも含めて、修正版を適用する
		使っていない管理機能・検証環境・旧APIを外部から見えなくし、必要なものも接続元を絞る
		正規のアプリを経由しないアクセスも想定し、サーバ側の権限確認・入力値の検証・呼び出し回数の制限を点検する
		APIキーを本番の認証情報と同じ水準で管理し、アプリやソースコードに書き込まれていないか確認する
継続して	監視体制	WAF・IPSのアラートに加えて、アプリ・API・認証ログをSIEMに集約する
		応答コード・応答サイズ・アクセス頻度の変化に気づける仕組みを作る
		検知したときに誰が判断し、誰が遮断するかを事前に決めておく

出典：JPCERT/CC、IPA、国家サイバー統括室、LETTICE、株式会社サイバーセキュリティクラウドの公開情報とCTC-SOCの知見をもとに作成

表 3 ログ点検の主な確認観点

観点	着目すべき兆候	疑われる攻撃
応答コードの偏り	普段は少ないエラー応答（4xx・5xx）や429の応答が、特定の期間に集中していないか	脆弱性やAPI仕様の探索
応答サイズの異常	ログインAPIなどで、成功時・失敗時のどちらとも違うサイズの応答や、極端に大きい応答がないか	認証の回避、情報の大量取得
識別子の連続指定	会員番号などのIDを順番に変えながらのアクセスや、本人以外の情報の閲覧・変更がないか	IDOR/BOLAによる情報窃取
通常と異なる操作	画面操作では発生しない内部APIの呼び出し、見慣れない接続元からの管理機能の利用、身に覚えのないアカウント作成がないか	APIの不正操作、権限昇格
設定ファイルへのアクセス	.env、.git、バックアップファイルなどへのアクセスと、その応答	環境設定・認証情報の窃取

出典：JPCERT/CC、IPA、LETTICE、株式会社サイバーセキュリティクラウドの公開情報とCTC-SOCの知見をもとに作成

まとめ

2026年9月前後から、国内組織のWebシステムを狙った不正アクセスによる情報漏えいが相次いでいます。攻撃の多くは、特別な技術を必要とするものではありません。既知の脆弱性やAPIのアクセス制御の不備といった基本的な問題が、AIなどによって短期間で次々に見つけ出されています。CTC-SOCでも、公的機関による注意喚起の約1か月前から、Webサイトへの攻撃が「探索」から「攻撃の試行」へ移る変化を観測していました。CTC-SOCでは、公開されたIoCを含む脅威インテリジェンスと、こうした攻撃手口の変化を踏まえて、監視の観点を随時見直しています。

特に注意すべきは、入口で攻撃を遮断できていても、APIの不備を突く攻撃は正常な通信に紛れて見逃されうる点です。公開資産の洗い出しと2026年8月以降のログ点検を直ちに実施するとともに、監視の死角となっているAPIや管理系システムを含めて、対策と監視体制を見直すことを推奨します。