日本、20社超のサイバー被害を受けて警戒を強化

日本政府は2026年10月9日（金）、企業、銀行、公的機関に対し、サイバー防御を強化するよう指示しました。ここ数週間で、日本の大手企業20社以上が攻撃を公表しています。最大の漏えいはカーシェアリングサービスのタイムズカー（Times Car）で起き、運転免許証の画像を含む約660万件の会員アカウントが流出しました。与党のサイバーセキュリティ担当の幹部は、これを「サイバー空間における緊急事態」と呼びました。

日本政府が企業に指示したこと

TNWによると、国家サイバー統括室は金曜日、各省庁、地方自治体、企業に指示を出しました。セキュリティソフトを更新し、強力なパスワードを使い、取引先も含めてセキュリティを強化するよう求めています。また、防御側を装う攻撃者についても警告し、AIによってシステムの弱点がより複雑になっていると述べました。

Silicon Republicによると、同室は企業に対し、委託先を含めて追加の対策を早急に検討するよう求めました。既知の弱点を修正し、認証を強化することも求めています。認証とは、誰がログインしているかを確かめる仕組みです。総務省も、所管する事業者に同様の注意喚起を行いました。

同じ金曜日には緊急会議が開かれました。Financial Timesが伝えたところによると、元デジタル大臣の平将明氏は、この状況を「サイバー空間における緊急事態」と呼びました。報道によって、同氏の役職の説明は異なります。TNWは、同氏が与党のサイバーセキュリティ戦略本部を率いており、大臣ではないとしています。Silicon Republicは、この組織を国家サイバーセキュリティ戦略本部と呼んでいます。

TNWによると、デジタル担当大臣のToshiharu Furukawa氏は「攻撃はますます巧妙になっている」と述べました。

被害を受けた日本企業

TNWによると、Financial Timesは、ここ数週間で攻撃を公表した大手企業を20社以上数えました。以下は、名前が挙がった中で最大規模の事例です。

企業	報じられた内容	報道元
タイムズカー（カーシェアリング）	運転免許証の画像を含む約660万件の会員アカウント。9月下旬に公表	TNW、Silicon Republic
ローソン（コンビニエンスストア）	215万件の顧客記録へのアクセス。氏名、メールアドレス、カード情報が流出した可能性	Silicon Republic
JR東日本（鉄道）	167万件の顧客のメールアドレス	TNW、OODAloop
IDCフロンティア（ソフトバンクのクラウド部門）	10月7日のランサムウェア攻撃	TNW、OODAloop
大和証券、ブックオフ	顧客データの漏えい	TNW

IDCフロンティアの障害は広い範囲に及びました。TNWは朝日新聞を引用し、495の企業と地方自治体が影響を受けたと伝えています。障害により、Nissui Logisticsの物流システムが17拠点で停止し、茨城県のウェブサイトもオフラインになりました。OODAloopは、JR東日本の漏えいをこのランサムウェア攻撃と結び付けています。TNWは、アドレスがどのように盗まれたかを伝えていません。

TNWによると、警察庁は2026年上半期に123件のランサムウェア被害を記録しました。これは過去最多です。

銀行には運転免許証に頼らないよう指示

Silicon Republicによると、金融庁は10月9日、金融機関に「適切な措置」を取るよう注意を促しました。これには、外部の委託先から生じるリスクの管理方法の見直しも含まれます。片山さつき財務大臣は同日、銀行は新しい口座を開設する際に本人確認を適切に行うべきだと述べました。その方法には、ICチップ付きの身分証の提出を求めることも含まれます。

TNWによると、金融庁は銀行に対し、パスポートや、日本の国民IDカードであるマイナンバーカードなど、ICチップ付きの身分証だけを受け付けるよう指示しました。OODAloopは、この変更は運転免許証の画像が流出したタイムズカーの漏えいを受けたものだとしています。

新たな防御権限とAIをめぐる議論

日本には新しい手段があります。能動的サイバー防御に関する法律に基づき、攻撃者のツールに対して「アクセス無害化」措置を取る権限が、10月1日に施行されました。TNWによると、中西祐介内閣官房副長官は10月8日、政府がこの権限を使えるようになったと述べました。

AIの役割については意見が分かれています。セキュリティ企業ReflareのPaul Ziegler氏はジャパンタイムズに対し、大規模言語モデルが攻撃のコストを下げていると述べ、「LLMはそれを劇的に押し下げている」と語りました。しかし専門家たちは同紙に対し、AIがこれらの攻撃を導いたという確かな証拠はないとも語っています。Financial Timesが引用した専門家たちは、むしろ日本の高齢化、セキュリティ習慣の弱さ、デジタル化の遅れを指摘しています。

開発者にとっての意味

日本でシステムを構築、購入、運用するチーム、または日本の顧客にサービスを提供するチームに向けて：

• 取引先のリスクを把握すること。 クラウド事業者へのたった1件のランサムウェア攻撃が、495の顧客に影響しました。自社の製品を止めうる外部サービスを洗い出し、それぞれがなくても動き続ける方法を計画してください。
• 身分証の画像を必要以上に保管しないこと。 タイムズカーの漏えいには、運転免許証の画像が含まれていました。アプリで身分証の写真を集めている場合は暗号化し、確認が済んだら削除してください。
• 日本の銀行向けの本人確認を見直すこと。 運転免許証の写真を受け付けるオンボーディングの流れは、マイナンバーカードやパスポートなどのICチップ付き身分証に切り替える必要があるかもしれません。
• 委託先にも強力なログイン確認を導入すること。 政府は、委託先も含めて認証の強化を求めました。すべての管理者アカウントと取引先のアカウントで、二要素認証を必須にしてください。
• フィッシングに備えること。 JR東日本の167万件のメールアドレスのような流出リストは、偽のメールによく使われます。ユーザーに注意を呼びかけ、流出した情報を再利用するログインの試みを監視してください。