扉と窓に印をつける——入り口を知ることから始める（イメージ）
「不正アクセス」と一括りにされる被害も、入り口を分ければ打つ手が見える。公的機関の注意喚起と各社の公式発表に書かれた事実だけで、五つの入り口を地図にした。
「不正アクセス」と一言で呼ばれる被害も、入り口を分けると打つ手が見えてくる。本稿は、JPCERT/CCの注意喚起（10月8日公開・23日更新）、個人情報保護委員会が改訂した事例集「WARNING」、そして各社の公式発表に書かれている事実だけを使い、侵入の入り口を五つに分けた。どの入り口が自社に当てはまるかを確かめる地図として使ってほしい。
メール配信サービス「アララメッセージ」の事案では、提供元が第2報で、第三者がサービスのサーバーに不正にアクセスし、そこを経由して契約企業の環境の多数のサーバーに侵入したと説明している（11月2日）。契約企業の側は、自社システムに手を入れられていなくても、預けていたメールアドレスを失った。
個人情報保護委員会の「WARNING」（2026年10月7日改訂）も、9つの事例のうち「グループ会社への監督が不十分な事例」「利用するクラウドサービスからの漏えい事例」を挙げている。親会社やクラウド事業者であっても、預け先は入り口になりうる。
同じアララの事案で、第1報で公表した共用環境については、第三者が管理画面に不正にログインし、データの出力機能などを悪用してデータを持ち出したとされる。壊して入るのではなく、ログインして「正規の機能」で持ち出す形だ。
JPCERT/CCは、アプリの管理用APIへの不正な操作の手口の一つとして、他のシステムの侵害で窃取したAPIキーを使うものを挙げている。WARNINGにも「不正ログインの事例」がある。パスワードやAPIキーが一度どこかで漏れれば、それ自体が鍵になる。
JPCERT/CCは、一連の攻撃が一つの共通するソフトウェアの脆弱性を狙ったものではなく、標的ごとにさまざまな既知の脆弱性の有無をスキャンし、見つけた穴の悪用を試みている可能性があるとしている（ケースA）。BIツール「Metabase」のSQLインジェクションの脆弱性が、APIへの不正なリクエストを通じて悪用された事例（ケースC）や、公開Webサーバーからアクセスできるアプリケーションサーバー上にWebシェルが置かれた事例（ケースD）も挙げられている。
WARNINGの最初の二つの事例も「脆弱性が放置された事例」「脆弱性への対応が遅れた事例」である。アララも第2報で、原因について、既報の「Webサーバーの脆弱性」に加え「システム環境における問題」も関係していたことが判明したと説明している。
JPCERT/CCがケースBとして示した手口は、中小企業にとっても他人事ではない。一般公開しているスマートフォンアプリを解析してAPIの接続先やキーを特定し、本来は画面操作では実行できない内部のAPIを攻撃する。ユーザー権限の変更や、不正なアカウントの作成といった操作が報告されている。WARNINGにも「APIが悪用される事例」が加わった。
自社でアプリを作っていなくても、制作会社に依頼した予約アプリや会員アプリがあれば、同じ構造の上に乗っている。確認する相手は制作会社である。
JPCERT/CCは、脆弱性ではないものの機器の管理不備などを突く攻撃として、環境設定ファイルやバックアップファイルの窃取を挙げている。対策として、業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合は公開を停止すること、保存期間を過ぎたデータや利用目的を終えたデータを残さないことを推奨している。
五つの入り口を、中小企業でよくある場面に置き換えると次のようになる。
| 入り口 | 公的資料・公式発表での記述 | 自社で当てはまりやすい場所 | 最初に確かめること |
|---|---|---|---|
| ① 委託先経由 | 配信サービスを経由した多数のサーバーへの侵入（アララ第2報）／WARNING 事例7・8 | メール配信、予約・会員システム、クラウド | どの委託先に、何件の個人データを預けているか |
| ② 認証情報の悪用 | 管理画面への不正ログイン（アララ第2報）／窃取したAPIキーの使用（JPCERT ケースB） | 各サービスの管理者アカウント、共有パスワード | 管理者アカウントに多要素認証がかかっているか |
| ③ 脆弱性の悪用 | 既知の脆弱性の探索と悪用（JPCERT ケースA・C・D） | 自社サイトのCMS、VPN機器、業務システム | 未適用の修正プログラムがないか |
| ④ アプリ・APIの解析 | アプリ解析による内部APIの攻撃（JPCERT ケースB）／WARNING 事例9 | 外注で作った予約・会員アプリ | 制作会社に、APIのアクセス制御と回数制限を確認 |
| ⑤ 管理の不備 | 設定ファイル・バックアップの窃取（JPCERT ケースA） | 古いテストサイト、公開されたままの管理画面 | 使っていない公開機能・古いデータが残っていないか |
入り口は一つとは限らない。管理画面への不正ログインと、委託先を経由した侵入が同じ事案の中で起きることもある。表の右端の列を、次の記事のチェックリストの出発点にしてほしい。