Webサイトやアプリの不正アクセス対策の徹底を、国家サイバー統括室が呼びかけ

内閣官房国家サイバー統括室（NCO）は2026年11月5日、個人情報の漏えいにつながる不正アクセスへの対策について、Webサイトやモバイルアプリの基本的な対策を徹底するよう呼びかけました。JPCERT/CC（日本のセキュリティ情報の調整機関）も、11月11日付の週報で紹介しています。

発表された内容

呼びかけの背景と対象は、次のとおりです。

• 背景： 最近相次いでいる不正アクセスによる情報漏えいで、モバイルアプリ開発時の対策不足、Webサイトの設定不備、サポートが終了したソフトウェアや既知の脆弱性（ソフトウェアの弱点）に対策していないソフトウェアの継続利用など、自社または委託先の基本的な対策が十分でなかったことが原因とみられる事例が複数確認されています。
• 攻撃の特徴： 攻撃者は、インターネットに公開されている日本のWebサイトなどを大規模に調査し、侵入方法が見つかったサイトに入って個人情報を盗んだとみられます。調査や侵入にAIが使用されている可能性も高いとされています。これまでの診断では危険度が低いと評価された弱点でも、組み合わさることで侵入の原因になった可能性のある事例があります。
• 対象： 攻撃の大規模化が容易になり、事業の規模の大小を問わず、幅広い事業者が攻撃の対象になっていると考えられるとしています。特に、Webサイトやモバイルアプリを利用した事業を運営し、個人情報を取り扱っている事業者に、対策の確認を求めています。

対策は、3つの段階に分けて示されています。

• 運用・管理の段階： 利用しているソフトウェアの種類とバージョンを把握し、新しく公表された脆弱性にすぐ対応できる体制をつくること。インターネットに公開している管理画面や、公開する必要のない機能を点検して減らすこと。公開前だけでなく、運用開始後も継続して診断と監視を行うこと。
• 設計・開発の段階： 設計の段階からセキュリティを組み込むこと。外部とやり取りする仕組み（API）の認可や認証情報の管理を強化すること。個人情報を扱うWebアプリは、公開前に脆弱性診断を行い、修正を確認してから公開すること。
• サプライチェーン（取引先とのつながり）： 業務委託先や保守事業者の環境を足がかりに、発注元のシステムへ侵入される事案があります。委託先からの接続経路を保護し、個人情報の取扱いを委託する場合は、個人情報保護法第25条にもとづいて、委託先を必要かつ適切に監督することを求めています。委託先に対策を求めるときは、費用負担や実施方法を十分に協議し、一方的な負担の押し付けにならないよう留意することも示されています。外部のソフトウェア部品（OSSやライブラリ）も、中身の分からないまま利用し続けないよう求めています。

資料には、経営層向けの考え方と、システム担当者向けの具体的な対策例が分けて記載されています。

自社のWebサイトで確認する3つの点

専門の担当者がいない場合でも、次の3つは自社で確認できます。

1. インターネットに公開しているものを書き出す。 公開中のWebサイトだけでなく、管理画面、検証用や制作中のページ、利用しなくなった古いページや予約・問い合わせの仕組みも対象です。公開したまま忘れているものが、入口になることがあります。

2. 利用しているソフトウェアと、更新の状況を確認する。 WordPressなどの仕組み、プラグイン、問い合わせフォームのプログラムについて、現在のバージョンと、開発元のサポートが続いているかを確認します。サポートが終わっているものは、入れ替えを検討します。

3. 制作・保守の委託先との連絡と、管理画面に入れる人を確認する。 誰が、どこから管理画面に入れるのか、更新の作業を誰がいつ行っているのかを、委託先と一度整理します。個人情報を扱っている場合は、委託先への監督の状況も、あわせて見直します。

呼びかけの要点は、Webサイトやアプリで個人情報を扱う事業者は、事業の規模にかかわらず、公開しているものの把握、ソフトウェアの更新、委託先を含めた管理という基本の対策を、あらためて確認することです。

参考情報・出典

• 内閣官房国家サイバー統括室：個人情報の漏えい等につながる不正アクセスへの対策について（2026年11月5日）

  呼びかけの背景、対象、対策の3つの柱（運用・管理、設計・開発、サプライチェーン）、委託先への監督、費用負担への配慮。

  参照確認日：2026-11-15

• JPCERT/CC：Weekly Report 2026-11-11号

  上記の呼びかけを、JPCERT/CCが11月11日付の週報で紹介したこと。

  参照確認日：2026-11-15