2026年秋のサイバー攻撃を整理する：何が起きていて、法人と個人は何をすべきか

2026-10-08

スマートフォンのアプリからAPIの鍵が抜かれて会員情報が流れ出す様子と、鎖と錠で止められたクラウドのサーバー、その間で盾に守られてパソコンに向かう人のイラスト

本記事は2026年10月8日時点で公表されている情報をもとにしています。調査中の事案が多く、続報で内容が変わる可能性があります。

2026年9月末から10月にかけて、国内の企業や団体による不正アクセス・情報漏えいの公表が相次いでいます。10月7日にはクラウドサービスの障害で多くの企業・自治体のサービスが止まりました。デジタル大臣も10月6日の会見で、パスワードの使い回しをやめることや多要素認証の利用など、利用者自身による対策を呼びかけています。（参照：デジタル庁「古川大臣記者会見（2026年10月6日）」）

本記事では、公表された事実をもとに何が起きているかを整理し、法人と個人がそれぞれ今やることをまとめます。図で整理した特集ページも公開しています。サイバー攻撃の動向 2026年秋を見る。

性質の違う2つの流れが並行している

JPCERT/CCは10月8日の注意喚起で、9月前後から相次ぐ個人情報の漏えいを、ランサムウェアなどの散発的な不正アクセスとは別の攻撃類型として取り上げました。（参照：JPCERT/CC 注意喚起 JPCERT-AT-2026-0030）

1つ目は、個人情報を大量に抜き出す流れです。注意喚起が挙げた手口は3つあります。既知の脆弱性や管理の不備を突くもの、スマートフォンアプリを解析してAPIのキーを抜き出し、画面からは使えない内部の機能を直接操作するもの、そしてBIツールMetabaseの脆弱性を悪用するものです。別のシステムへの侵入で盗んだAPIキーを使う手口も確認されており、被害が連鎖する可能性があります。一般の人が使うアプリや会員サービスが狙われ、業務は動いたまま利用者の情報が漏れます。注意喚起は、攻撃者の正体やAIの利用には触れていません。

2つ目は、ランサムウェアで業務を止める流れです。警察庁によると、2026年上半期のランサムウェア被害の報告は半期として過去最多で、被害組織へのアンケートでは侵入経路の約5割をVPN機器が占めました。10月7日には、IDCフロンティアが、IDCFクラウド東日本リージョン1の一部システムの障害について、第三者によるランサムウェア攻撃が原因と公表しました。影響範囲は同サービスを契約する495の企業・自治体で、侵入経路などは調査中としています。データの持ち出しの有無は、第2報では明らかにされていません。なお、SNS上では攻撃者によるものとされる英文の声明画像が共有されており、仮想化基盤のスナップショット554,153個とバックアップ41.5PBを破壊した、暗号化は7分で終わったなどと主張しています。これは攻撃者側の主張で、確認された被害ではありません。セキュリティ研究者のまとめによると、IDCフロンティアは声明の真偽を調査中としており、身代金の額や連絡先、データを持ち出したという主張は確認されていません。（参照：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、IDCフロンティア「当社サービスの一部システムに対する不正アクセスについて（第2報）」）

2024年からの変化：入口が外側へ広がった

本記事で扱った2024年以降の公表事例を並べると、次のような変化が見られます（本記事による整理です）。

2024年：VPNや盗まれたパスワードから侵入し、1社が止まる型が中心でした。
2025年：証券口座の乗っ取りなど、個人の資産を直接狙う手口が広がり、後半には大企業の受注・出荷が止まる事案が続きました。
2026年前半：委託先やSaaSが侵入され、自社が無傷でも顧客情報が漏れる事案が増えました。
2026年夏以降：アプリ・API・BIツールからの大量漏えいと、多くの会社が共有するクラウド基盤の停止が加わりました。

本記事で扱う公表事例からは、1つの事案が複数の企業・自治体や多数の利用者に波及する例が確認できます。

動機で分ける：金銭目的か、政治・地政学目的か

攻撃の技術は、金銭目的の犯罪者と国家の関与が疑われる攻撃者の間で共有されています。手口だけでは区別できないため、動機で分けて見ることが大切です。以下は個別の事案の動機を判定する基準ではなく、公開情報を読むときの一般的な観点です。実際の帰属や動機は、公表した主体や捜査機関、専門機関の評価を確認する必要があります。

金銭目的のサイン：身代金の額と連絡先が示される、盗んだデータで脅す・売る・詐欺に使う、お金を払いそうな相手を選ぶ。割に合わなくなれば別の標的へ移ります。
政治・地政学目的のサイン：要求が無い、払っても戻らない、データが表に出ないまま集められる、政府やインフラなど象徴的な相手を選ぶ。費用対効果では止まりません。

IDCFクラウド東日本リージョン1の一部システムの障害、8月から確認されている個人情報を狙った攻撃、9月23日に北海道・九州を除くJ:COM NETの提供エリアなどで起きた広域障害（同社は外部からの大量アクセスによるDNSサーバの高負荷と説明し、攻撃かどうかは調査中）は、いずれも公表資料で動機が示されていません。金銭目的のサインが出てくるかどうかを見ていく必要があります。

動機が違えば、備えも変わります。金銭目的の攻撃には、強い認証や利用上限などで「割に合わなくする」対策が効きます。政治目的の攻撃は費用対効果では止まらないため、「止まっても困らない」備えが要ります。

本人が何もしていないのに取られる型

偽サイトへの入力や承認といった操作を、被害が起きる時点で本人がしていなくても、お金や情報を取られる型があります。ここでの「何もしていない」は、被害の時点で追加の操作をしていないという意味です。入口は主に、本人が使っていたサービスの側や、過去に漏れた本人の情報にあります。

カード番号の盗用：通販サイトなどからカード情報が漏れ、抜かれた番号で勝手に決済されます。日本クレジット協会の調査では、2026年4〜6月のクレジットカード不正利用被害額は107.7億円で、そのうち番号盗用が100.1億円でした。（参照：日本クレジット協会「クレジットカード不正利用被害の集計結果について」）
SIMスワップ：漏れた個人情報で携帯電話のSIMを再発行させ、SMSの認証を通ります。楽天証券（2026年4月）とイオン銀行（2026年10月5日）が、SIMスワップへの注意喚起を公表しています。
本人確認書類を使ったなりすまし：漏れた免許証などの画像で、本人名義の口座開設や携帯契約をされます。
漏れたパスワードの使い回し：あるサービスから漏れたIDとパスワードで、別のサービスにログインされます。
サービス側での不正操作：攻撃者がサービスの内部の機能を直接操作し、アカウントの権限を変えたり不正なアカウントを作ったりする手口を、JPCERT/CCが注意喚起しています。

サービス側からのカード情報の漏えいや、本人確認書類の悪用は、本人が認証を強くするだけでは防ぎにくい型です。被害の上限を下げ、早く気づき、預けるものを減らすことが個人の手段になり、根本の対策は法人の側にあります。一方、パスワードの使い回しはサービスごとに別のパスワードにすること、SIMスワップはSMSの認証に頼らないことで、SMS認証を通じた被害を抑えやすくなります。

認証方式は「コードの出どころ」で分けて考える

ワンタイムパスワードは、届き方によって強さが違います。

SMSで届くコード：SIMスワップで電話番号ごと奪われると、以後のコードがすべて攻撃者に届きます。止められるなら止めます。
メールで届くコード：メールアカウントを乗っ取られると奪われます。止められるなら止め、残すならメールアカウント自体を強く守ります。
認証アプリが作るコード：手元のスマートフォンの中で作られ、SMSやメールのように電話番号やメール経由で届く方式ではありません。そのため、電話番号やメールアカウントの乗っ取りによる被害は受けにくく、SMSやメールより強い方式です。継続的に奪うにはコードを生む「種」を盗む必要があるため、クラウド同期を切れる認証アプリを選び、スマートフォン自体と回復手段も守ります。

3つに共通する弱点は、偽サイトにコードを入力するとその場で中継されることで、いずれもフィッシングへの耐性はありません。証券口座の乗っ取りはこの手口で、日本証券業協会は2026年3月、パスキーなどへの切り替えを呼びかけました。パスキーは正規のサイトにひも付いた鍵で認証するため、偽サイトでは使えず、中継に強い方式です。ただし同期型のパスキーは、保管しているGoogleやAppleのアカウントを守ることが前提になります。（参照：日本証券業協会「不正アクセス等にご注意ください！」）

より深刻な事態の前兆を見分ける視点

サイバー攻撃は、国家間の対立が深まる局面で先行して現れることがあります。英国の国家サイバーセキュリティセンター（NCSC）の整理によると、2022年のロシアによるウクライナ侵攻では、侵攻の約1か月前にデータを壊すマルウェアが使われ、侵攻が近づくにつれて政府や銀行へのDDoS攻撃が起き、侵攻の直前には衛星通信サービスへの攻撃がありました。

類似する要素があるだけで、国家の関与や軍事衝突を予測できるものではありません。そのうえで、2026年10月8日時点の国内の状況をこの型に照らすと、次のとおりです。

観測されていること：親ロシア派のハクティビスト集団NoName057(16)が、2026年2月と8月に日本の政府・自治体・企業へのDDoS攻撃を主張しています。セキュリティ企業のCheck Pointは、データの窃取や改ざんは確認されていないとしています。また、2026年版の外交青書は、中国軍の日本周辺での活動の拡大・活発化や、東シナ海・南シナ海での威圧的な活動を記しています。
起きたが、原因や性質が確定していないこと：J:COMの広域障害は、攻撃かどうかが調査中です。IDCFクラウドの障害は、金銭目的のランサムウェアなのか、データを壊すことが目的なのか、公表された情報からは判断できません。
確認できなかったこと：サイバー攻撃による電力や金融システムの停止、日本周辺での人為的な海底ケーブルの切断は、本記事で確認した公表資料・報道の範囲では見当たりませんでした。

現時点で、より深刻な事態の前兆と判断できる材料はそろっていません。ただし、調査中の事案の続報によって見方が変わる可能性はあります。どちらの場合でも、次に挙げる「止まっても困らない」備えは同じように役立ちます。

法人が今やること

インターネットに出ているVPN、BIツール、管理画面を一覧にし、不要なものは公開を止める。
悪用が確認された脆弱性を修正し、そのうえで機器の管理者・VPNのパスワードを変える。
自社のアプリとAPIを点検する。アプリにキーを埋め込んでいないか、内部の機能にもアクセス制御があるか、リクエスト数に上限があるか。
送金や振込先の変更は、メールやチャットとは別の経路で確認してから実行する。
使っているクラウドやSaaSが止まったら何の業務が止まるかを書き出し、バックアップを別の事業者の基盤にも置いて、実際に戻せるかを試す。
個人情報が漏れたときの報告手順と、顧客向けの案内を平時に用意し、不要になったデータは消す。

個人が今やること

SMSで認証しているサービスを、利用できる場合は認証アプリかパスキーに切り替え、切り替えた後の回復手段も確認する。携帯会社でSIM再発行時の追加確認を設定する。
証券・銀行は、利用できる場合はパスキーにし、振込限度額を普段の額まで下げ、取引とログインの通知をオンにする。
パスキーを保管しているGoogleやAppleのアカウント自体を、パスキーか物理セキュリティキーで守る。「新しい端末が追加されました」などの通知は必ず確認する。
漏えいを公表したサービスを使っていたら、そのパスワードと、使い回していた先のパスワードを変える。
カードの利用通知を即時にし、利用上限を下げる。使わないサービスに登録したカードを外す。
本物の注文や予約の情報が書いてあっても、届いたリンクは開かず、公式アプリか自分のブックマークから確かめる。
写真や書類は、別の会社のクラウドと手元の外付けディスクの2か所以上に置く。
家族、特に親の世代と、警察を名乗る詐欺や投資詐欺の手口を共有する。警察はSNSやビデオ通話で連絡せず、送金も求めません。

まとめ

いま起きているのは、個人情報を大量に抜く攻撃と、業務やクラウド基盤を止める攻撃の並行です。動機が分かっていない事案が多く、金銭目的か政治目的かで必要な備えが変わります。法人は外に出ている入口を減らし、止まっても戻せる状態を作ること。個人は、認証方式をコードの出どころで選び直し、取られても被害が小さく済むようにしておくこと。どちらも、今週から始められます。