BBSec、不正アクセス相談57.4％に 公開資産の点検提言

株式会社ブロードバンドセキュリティ（BBSec）は2026年10月29日、国内で不正アクセス被害の公表が相次いでいる状況を受け、企業・団体に対して「外部から見えるIT資産」と情報漏えいの兆候を調べ、優先順位を付けて対策するよう提言した。対象として小売・EC、旅行・交通、金融、製造・物流などを挙げ、システム担当者だけでなく事業責任者も点検範囲や対応方針を確認する必要性を示している。

同社に寄せられたセキュリティインシデント相談のうち、不正アクセスに関する相談が占める割合は2026年1～7月の37.3％から、8～10月の57.4％に増えた。差は20.1ポイント。発表資料のグラフでは後者の集計は10月27日までとされる。これは同社への相談の構成比であり、日本全体の攻撃件数が同じ割合で増えたことを示す統計ではない。

社内台帳にない公開システムも調査対象

BBSecがまず求めるのは、攻撃者の視点で公開資産を洗い出すアタックサーフェス管理（ASM）だ。現在使っているWebサイトだけでなく、旧環境や検証用サーバー、委託先が管理する画面なども点検対象に含める。社内の資産台帳だけでは把握しきれない公開システムが残り、想定外の侵入口になる可能性があるためだ。

あわせて、ダークウェブなどに自社の認証情報や顧客情報が流通していないか調べることも挙げた。漏えいの兆候が見つかった場合は、認証情報の無効化やアクセス履歴の確認などを進める。情報漏えいが疑われる場合に、サービス停止などの目立った障害が必ず発生するとは限らない点も注意を促している。

Web・APIの認証と権限を再点検

次の段階では、公開資産の調査結果と事業への影響を踏まえ、優先すべきシステムの脆弱性や設定不備を詳しく確認する。Web画面だけでなく、スマートフォンアプリから使うAPI、管理画面、APIキーやアクセス権限の扱いも対象だ。他の利用者の情報を取得できたり、権限のない操作ができたりしないかを検証し、修正後の再確認まで実施するよう求めた。

侵入後の検知・対応体制も重要

さらにBBSecは、端末・認証基盤・ネットワークのログを整理し、不審な操作を早期に検知する仕組みと、夜間・休日の連絡先、隔離・遮断の手順を整えることを提案した。同社は継続監視のG-MDRなどを支援策として紹介しているが、今回の発表は特定企業で新たな情報漏えいが確認されたという報告ではなく、対策強化を促す提言である。

関連してJPCERT/CCは10月8日に国内組織の不正アクセスについて注意喚起を公開し、23日の更新でAIを用いたペネトレーションテスト基盤を悪用した攻撃試行などを追記した。ただし同機関は、掲載した手法がすべての事案に共通するものではないと説明している。対策の優先順位は、公開範囲、扱う情報、監視体制など各組織の状況に応じて判断する必要がある。