チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「最近、毎日のように個人情報漏えいのニュースを見るけど、何が起きているの？」
「うちの会社のアプリやシステムも同じ手口で狙われないか心配」
チップスボス！ここ最近、アプリの会員情報が漏れたってニュースばっかりでしゅ！
ボスJPCERT/CCがついに注意喚起を出したな。手口はひとつではない、というのがポイントだ。
国内では2026年9月前後から、アプリやWebサービスの会員情報が流出する事案が続いています。
この記事では、JPCERT/CCが2026年10月8日に公開した注意喚起をもとに、注意喚起で示された侵入手口と点検したいポイントを整理します。
3行で分かるニュースのポイントは以下の通りです。
自社のどこから点検すべきかが見えてくるはずです。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
JPCERT/CCは、単一の脆弱性ではなく複数の手口で被害が広がっているとしています。
注意喚起によると、2026年9月前後から国内の組織で不正アクセスによる個人情報の漏えい被害が相次いでいます。
被害は特定の製品やサービスに限られていません。
Security NEXTの報道では、被害を受けたシステムは以下の通りです。
不特定多数からのアクセスを想定していないシステムでも被害が出ている点が、今回の特徴です。
JPCERT/CCは、攻撃の手口をケースA〜Cの3つに分けています。
| ケース | 手口 |
|---|---|
| A | さまざまな既知の脆弱性をスキャンして悪用を試みる。設定ファイルやバックアップファイルの窃取など管理不備を狙う可能性もある |
| B | スマートフォンアプリを解析してAPIのエンドポイントやキーを特定し、内部APIを不正に操作する |
| C | MetabaseのSQLインジェクション脆弱性（CVE-2026-72898）をAPI経由で悪用する |
どれも目新しい攻撃技術ではなく、公開しているシステムの弱いところを突く手口です。
チップスアプリを分解して、裏口を探されちゃうんでしゅか！？
ボスアプリは利用者の手元に配られる。中身を調べられる前提で作らないといけないんだ。
3つのうち、特に見落とされやすいのがアプリのAPIとBIツールです。
ケースBでは、攻撃者がアプリを解析し、画面からは操作できない内部APIを直接呼び出しています。
注意喚起で挙げられた操作は以下の通りです。
画面にボタンがなければ安全だ、という考えは通用しません。
サーバー側で、誰が何をできるかを一つひとつ確かめる作りが欠かせません。
ケースCのCVE-2026-72898は、APIへの不正なリクエストを通じて悪用されるSQLインジェクションの脆弱性です。
INTERNET Watchの報道では、認証なしで管理者権限を取られるおそれがあると説明されています。
BIツールは社内向けのつもりで外部に公開されたままになりやすく、見落とされがちです。
JPCERT/CCが推奨する対策のうち、主なものは以下の通りです。
自社が外部に公開しているシステムの棚卸しから始めるのが近道です。
チップス社内用のつもりのツールが、外から丸見えだったら怖いでしゅ……
ボス攻撃者は「社内用」かどうかなんて気にしない。見えるものは全部試されると思っておけ。
JPCERT/CCは、2026年9月前後から相次ぐ個人情報漏えいについて、既知の脆弱性の探索、アプリのAPI悪用、Metabaseの脆弱性悪用という3つの手口を示しました。
被害は一般向けアプリに限らず、BIツールや従業員向けの管理システムにも及んでいます。
外部に公開しているシステムとAPIを洗い出し、権限とリクエスト数の制限を見直すことが求められます。
ボスふふふ。派手な新技術より、基本の抜けを突かれている。点検すれば防げる被害だ。
チップスうちの会社のアプリも、APIの権限を確認してもらいましゅ！
公開システムの棚卸しやAPIの診断は、多くの企業で人手が足りていない分野です。
その経験を生かせる案件は、以下から探せます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
