この記事のポイント
- いつ：2026年10月9日、内閣官房 国家サイバー統括室（NCO）が「不正アクセスによる漏えい等の事案を踏まえた対応について」を公開しました。同日、経済産業省も注意喚起を出しています
- 読者は：公表された事業者で使っていたパスワードを他でも使っているなら、その洗い出しと変更が最優先です
- 何が：対策を「ウェブシステム等の管理」「サプライチェーンの侵害対策」「データの管理」の3分野で示しています
- 誰に：宛先は事業者で、利用者向けの助言ではありません
- なぜ重要：直近の公表が短期間に相次ぎ、政府が複数の機関で注意喚起する局面に入りました。原因が同じとは確認されていません
政府文書の中身と、利用者側に残るものを分けて整理します。行動は後半です。
10月9日の2文書は、宛先が事業者であって利用者ではない
NCOの文書は、大量の個人情報を扱う事業者のシステムへの不正アクセスを複数確認したとして、対策の徹底を求めたものです（NCO）。INTERNET Watchは、経営層の関与を促す文脈で「もはや情報システム部門だけの問題ではありません」とあったと報じています。
経産省の商務情報政策局 サイバーセキュリティ課も同日、注意喚起と協力依頼を公表しました（経産省）。約1000の業界団体を通じた周知は報道によるものです（報道）。
個人情報保護委員会は10月7日、2027年4月に確定予定の安全管理措置の見直し内容を先取りした注意喚起を出しています（INTERNET Watch）。
関連文書も加え、発出日順に並べます。
| 発出日 | 発出主体 | 文書の表題 | 宛先 |
|---|---|---|---|
| 10月7日 | 個人情報保護委員会 | 大規模な漏えい等事案を踏まえた対応について（注意喚起） | 事業者 |
| 10月8日（9日更新） | JPCERT/CC | 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 | 国内の組織 |
| 10月9日 | NCO | 不正アクセスによる漏えい等の事案を踏まえた対応について | 大量の個人情報を扱う事業者 |
| 10月9日 | 経産省 | 不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼 | 所管業界の事業者 |
| 10月9日 | IPA | 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について | 事業者向けと報じられている |
NCOとIPAの表題は似ていますが、別の文書です。政府は10月8日に関係省庁会議を初開催し、事案情報をNCOに集約する方針を共有しました（日経ビジネス）。
3分野の中身はパッチ適用と多要素認証、委託先の継続確認、不要データの削除
細目はImpress Watchなどの報道ベースで、原文ではありません。
ウェブシステム等の適切な管理
パッチの速やかな適用、サポート終了（EOL）製品の停止、多要素認証（パスワードに別の確認手段を足す方式）の導入です（rocket-boys）。
サプライチェーンを通じた侵害への対策
サプライチェーンとは委託先を含む取引の連なりです。委託先の対策の継続確認と、渡す情報の最小限化を求めました。
データの適切な管理
保有情報の棚卸し、不要情報の削除、パスワードの平文保存禁止です。早期発見の監視体制も促したと報じられています。
3分野を直近の公表に重ねると、会員システム・委託先・データの保管が別々に見えてくる
ハッシュ値とは、パスワードを元に戻しにくい文字列へ変換したものです。
この当てはめは編集部の整理で、公表された因果関係ではありません。
| 3分野 | 政府が求めた内容（報道） | 公表で示された事実の例 | 確認できていない点 |
|---|---|---|---|
| ウェブシステム等 | パッチ適用、EOL製品の停止、多要素認証 | ブックオフ：子会社の会員管理システムへの不正アクセス | 侵入経路・手口 |
| サプライチェーン | 委託先の継続確認、情報の最小限提供 | 大和証券：委託先のFAQシステム「i-ask」 | 影響を受けた企業の数（最大5社と報道） |
| データ管理 | 不要データの削除、平文保存の禁止 | ブックオフ・skyticket：パスワードをハッシュ値で保持 | 対象者ごとの影響 |
委託先が入口になった経緯は、大和証券の事案で整理しています。
複数の事案が同一の攻撃者や経路で起きたとは確認されていません。JPCERT/CCが挙げた手口を特定の事案に当てはめることもできません。
ハッシュ値で保持とだけ公表され、方式と強度は示されていない
官庁の助言ではなく、公表事実から導いた整理です。
ブックオフとskyticketは、パスワードをハッシュ値で保持していたと公表しています。ハッシュ値での保持は、パスワードそのものが流出したのとは異なります。ただし、確認できた範囲では、ハッシュ化の方式と強度は示されていません。利用者が確かめる手段もありません。
残るのは使い回しのリスクです。流出したIDとパスワードの組を別のサービスで試す手口を、リスト型攻撃と呼びます。使い回すと他のサービスにも影響が及ぶ可能性があります。
まず使い回しの洗い出しから。手元で取れる4つの行動とそれぞれが下げるリスク
- 使い回しを洗い出し、使い回している先から変える：公表された事業者のパスワードを他でも使っていないか確かめます。方式と強度が確認できないため、変更が安全側です。リスト型攻撃のリスクを下げます
- 多要素認証を有効にする：ブックオフとskyticketの公表項目にはメールアドレスや電話番号が含まれます。これらを手がかりにパスワードを試されても、別の確認手段が壁になります
- 公式サイトのお知らせを少し後にもう一度見る：ローソンは侵入から発覚まで約3週間空いており、追加・更新が後から出ることがあります。見落としのリスクを下げます
- 返金・補償名目の連絡に警戒する：skyticketでは偽の連絡への注意が報じられています。リンクは開かず、公式サイトで確かめます。誘導のリスクを下げます
返金案内が注文内容と一致していたアバハウスの事案のように、本物らしく見える連絡もあります。
まとめ
10月9日のNCOと経産省の文書は、どちらも事業者向けの要請です。3分野は直近の公表と重なりますが、事案同士の因果は確認されていません。
利用者が取れるのは、上の4つの行動です。
編集後記
10月9日の国家サイバー統括室の文書は事業者向けと切り分けて読むと、利用者の手元に残る持ち分がかえってはっきり見える印象です。ハッシュ値で保持と公表されても、方式や強度はその範囲では見えず、利用者の側からは確かめようがないので、私はまず使い回しの洗い出しから始めたいと思います。
— CODE. 編集部
