株式会社マクニカのセキュリティ研究センターは2026年10月7日、国内法人が運営するWebシステムからの情報漏えいが相次いでいる事案について、2026年10月6日時点で判明している被害傾向や攻撃手法をブログで公表した。あわせて、重点的に確認すべきIPアドレスを提示した。
事案の詳細
マクニカの発表によると、瀬治山氏の集計では、同様の特徴を持つ国内Web侵害の公表件数は、2024年が62件、2025年が84件、2026年は10月6日時点で119件に達し、合計265件となった。2026年分のうち約68％に当たる81件は、7月以降に公表されている。
被害は従来のECサイトにとどまらず、会員向けサービスや業務用システムなどにも広がっている。図書館の蔵書検索システムや観光列車の座席予約システムも対象となっており、特定企業ではなく、インターネット上に公開されたWebシステムを無差別に狙っている可能性が高いとみられている。
2026年7月以降に公表された81件について原因を整理すると、製品やCMSなどの脆弱性が9件、認証情報の悪用やパスワード攻撃が4件、サイトの設定やアクセス制御の不備が3件だった。残る65件（80.2％）は、公開情報から原因を読み取れる説明がなかった。
マクニカは、重点確認の対象としてIPアドレスも提示している。Webサーバ、WAF、プロキシ、クラウドサービスなどのアクセス記録を確認し、該当するアクセスがあった場合は、日時、対象URL、操作内容などを関連ログと突き合わせる必要がある。提示されたのは「210.149.87[.]120」「69.10.51[.]162」の2件で、直近1か月のアクセスログの点検が推奨されている。ただし、VPNの出口IPなど正規の利用者が混在し得るため、アクセスがあっただけで攻撃や被害が確定するわけではない。
影響と背景
Webシステムは外部からアクセス可能な状態で運用されることが多く、侵害されると顧客情報、会員情報、予約情報、業務データなどが漏えいする可能性がある。2026年は10月6日時点で119件が公表され、特に7月以降に事案が集中していることから、公開システムを対象とした攻撃が活発化しているとみられる。
一方、7月以降の81件のうち65件では、公開された情報から原因を特定できなかった。被害の全体像や攻撃経路を把握するには、組織側でアクセスログや認証ログ、管理操作の記録を適切に保存し、異常を調査できる態勢を整えることが重要となる。
対策・今後の展望
- アクセス記録の確認：マクニカが提示した重点確認のIPアドレスについて、自社Webシステムのログに痕跡がないか確認し、該当があればアクセス日時、送信元、対象URL、実行された操作などを整理する。
- 脆弱性と認証情報の点検：利用している製品やCMSの脆弱性情報を確認し、必要な修正を適用する。管理者アカウントの多要素認証、強固なパスワード、不要アカウントの削除も実施する。
- 設定・アクセス制御の確認：公開範囲、認可設定、管理画面のアクセス制限、不要な機能やサービスの公開状態を点検する。
- 侵害の兆候調査：不審なアクセスが見つかった場合、当該時間帯の認証、管理操作、設定変更、ファイル更新、データベースアクセスなどの記録を突き合わせ、影響範囲を確認する。
- ログの保全と継続的な監視：一度の確認で終わらせず、外部公開システムの棚卸し、ログの保存期間と保管先の確認、監視ルールの整備を継続する。個別事案の詳細な攻撃経路については、現時点で不明なものもある。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】Webシステムのアクセスログが十分に保存されていなかったり、保存していても確認対象や手順が決まっていなかったりする組織では、不審なIPアドレスを示されても過去のアクセスを追跡できず、初動が遅れる可能性がある。
【観点②：専門家でない人への平易な解説】提示されたIPアドレスは、侵入や不審なアクセスを調べるための手がかりに当たる。過去の出入り記録に相当するログを確認し、該当するアクセスの日時や操作を調べることが、被害の有無と範囲を確認する第一歩になる。
【観点③：中小企業が今週中にできること】まず、Webサーバや周辺機器のログがいつまで、どこに保存される設定になっているかを確認する。次に、マクニカが公表した重点確認IPアドレスをログ検索し、該当があればアクセス日時と対象を整理して社内で共有する。最後に、検索・保存・報告の手順を簡単な手順書にまとめ、同じ確認を継続できる状態にする。