セキュリティニュース

今週の要点

• 国内でタイムズカー（最大約 660 万件）や FAQ システム「i-ask」など不正アクセスによる情報漏えいの公表が相次ぎ、JPCERT/CC、国家サイバー統括室と IPA、個人情報保護委員会がそれぞれ注意喚起を公表しました。公開システムや API のアクセス制御、委託先管理、不要データの消去の点検が求められています
• 金融庁は金融機関等にサイバー対策の点検を要請し、2027 年 4 月 1 日に廃止が決まっている本人確認書類の画像送信による本人確認から、施行日を待たずに移行するよう求めました
• 国内では重要インフラ統一基準と安全基準等策定ガイドラインが 10 月 1 日に施行されました。米国の CIRCIA 最終規則はホワイトハウスの審査段階で、公布時期と対象範囲はまだ決まっていません
• FortiMail、NetScaler ADC・Gateway、Cisco Catalyst SD-WAN Manager で悪用が確認された脆弱性の修正版公開や CISA KEV への追加があり、Movable Type でも重大な脆弱性の修正版が出ています。該当製品を使う企業は更新状況の確認が推奨されます
• 米 CISA・FBI など 7 か国の機関（日本の警察庁を含む）が、中国の企業 Integrity Tech の関与する攻撃について合同アドバイザリを公表しました

テーマ別の動き

グローバルの規制・法令

• 国家サイバー統括室「重要インフラのサイバーセキュリティ対策のための統一基準」が 10 月 1 日に施行 — 統一基準と安全基準等策定ガイドラインが施行され、委託先やサプライチェーンの企業にも要請が及ぶ可能性があります
• 国家サイバー統括室が「サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0」を公開、能動的サイバー防御などの法改正に対応 — 対策とインシデント対応に関わる法令を Q&A で解説する改訂版で、自社に関係する法令を確認する入口になります
• IPA が「情報セキュリティ早期警戒パートナーシップガイドライン 2026 年版」を公開、NICT を署名機関に追加 — 脆弱性情報の届出・調整の手順を定めたガイドラインを、サイバー対処能力強化法の施行に合わせて改訂しました
• 米 CISA のインシデント報告規則（CIRCIA）最終規則案が 10 月 1 日にホワイトハウスの審査へ — 重要インフラ事業者に 72 時間以内の報告などを求める規則で、公布時期と対象範囲は未定です
• 金融庁が金融機関にサイバー対策の点検を要請、本人確認書類の画像送信方式の廃止前倒しも求める — 本人確認書類の画像を含む漏えいを受け、点検と画像送信による本人確認からの早期移行を求めました
• 個人情報保護委員会が大規模漏えいを受け注意喚起、見直し予定の技術的安全管理措置の手法例を先行公表 — 来年 4 月に確定予定のガイドライン見直しのうち技術的安全管理措置の手法例を先に示し、不要データの消去も求めています

Cyber Resilience Act

• EU サイバーレジリエンス法（CRA）の報告義務が 9 月 11 日から適用、ENISA が単一報告プラットフォームを稼働 — 製造者の脆弱性・重大インシデントの報告義務が適用され、届出窓口の SRP が初期運用を始めました

脆弱性・注意喚起

• FortiMail のゼロデイ脆弱性 CVE-2026-104286、悪用確認を受け Fortinet が修正版を公開 — 未認証でファイル書き込みが可能な脆弱性の悪用が確認され、公表時に未提供だった修正版が出ました
• Citrix NetScaler ADC・Gateway の脆弱性悪用が続き、SAML 構成の CVE-2026-88779 も CISA KEV に追加 — 9 月公表の脆弱性の悪用が続き国内でも攻撃試行が観測され、SAML 構成に影響する脆弱性も KEV に加わりました
• Movable Type に未認証でコード実行や SQL 実行が可能な脆弱性、シックス・アパートが修正版を公開 — 10 月 7 日に修正版が公開され、サポート終了版も影響を受けます
• Cisco Catalyst SD-WAN Manager に認証回避の脆弱性 CVE-2026-76504、悪用を確認し修正版を公開 — API の認証回避（CVSS 9.8）で、9 月に悪用が確認されており回避策はありません

インシデント・攻撃動向

• タイムズカーへの不正アクセスで最大約 660 万件の会員情報が漏えい、約 160 万件は本人確認書類の画像を含む — パーク24 が退会者を含む会員情報の漏えいを公表し、一部には運転免許証などの画像が含まれます
• 韓国の金融機関で相次ぐ顧客情報の漏えい、当局は AI 利用の兆候を示し全金融機関に緊急点検を指示 — 複数の金融機関で漏えいが続き、金融委員会が全金融機関に緊急の自己点検を指示しました
• 米 CISA・FBI など 7 か国の機関が中国の企業 Integrity Tech の関与する攻撃に合同で注意喚起、日本の警察庁も共同署名 — 合同アドバイザリ AA26-281A で、既知の脆弱性の悪用やパスワードスプレーなどの手口が示されています
• JPCERT/CC が国内組織で相次ぐ不正アクセスに注意喚起、API の不正操作や既知の脆弱性の悪用を確認 — 9 月前後からの漏えいの相次ぎを受け、レート制限やアクセス制御の点検を勧めています
• 国内で相次ぐ不正アクセスによる情報漏えいを受け、国家サイバー統括室と IPA が 10 月 9 日に対策の徹底を要請 — 公開システムのログ点検、委託先管理、保有データの最小化を求めています
• FAQ システム「i-ask」に不正アクセス、利用企業最大 5 社の問い合わせ情報延べ約 71 万件が流出のおそれ — 管理サイトへの不正ログインにより、同じサーバー上の利用企業の問い合わせ情報が流出したおそれがあります

今後の期限・予定