内閣官房国家サイバー統括室は2026年11月5日、事業者向けの資料「個人情報の漏えい等につながる不正アクセスへの対策について～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～」を公表しました。
総務省は11月6日、同内容の注意喚起を所管事業者と関係団体に行ったことを、「事業者向け注意喚起」として公表しました。特に、ウェブサイトやモバイルアプリを使った事業を運用し、個人情報を取り扱う事業者に注意を求めています。
このページは、国家サイバー統括室と総務省が公表した内容と条文の文言をそのまま整理したものです。
公表の概要
| 項目 | 内容 |
|---|---|
| 資料の公表日 | 2026年（令和8年）11月5日 |
| 資料の作成者 | 内閣官房国家サイバー統括室 |
| 資料の名称 | 個人情報の漏えい等につながる不正アクセスへの対策について～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～ |
| 総務省の公表日 | 2026年（令和8年）11月6日（お知らせ「事業者向け注意喚起」） |
| 総務省の対応 | 所管事業者及び関係団体に対し、同内容の注意喚起を実施 |
| 主な対象 | ウェブサイトやモバイルアプリを使用した事業を運用し、個人情報を取り扱う事業者等 |
| 総務省の過去の注意喚起 | 2026年10月9日（注意喚起）、10月13日（公開アプリの解析情報を悪用した攻撃への注意喚起） |
資料が示した状況
資料は、昨今相次いで発生している不正アクセスによる情報漏えい事案について、次のような原因とみられる事例を複数確認したとしています。
- モバイルアプリ開発時のセキュリティ対策不足
- ウェブサイト等の設定不備
- サポートが終了しているソフトウェアや、既知の脆弱性が未対策のソフトウェアの継続使用
いずれも、自組織または委託先での基本的な対策が十分でなかったことが原因とみられる、と記載されています。
資料はまた、攻撃者がインターネット上に公開されている国内のウェブサイト等を標的に大規模な調査を行い、侵入方法が見つかったウェブサイト等に侵入して個人情報を窃取したとみられるとしています。標的の調査や侵害にAIを使用している可能性も高く、これまでの脆弱性診断では比較的低いと評価されたリスクが組み合わされて侵入の原因となった可能性のある事例もあるとしています。
そのうえで、攻撃の大規模化が容易になることで、事業規模の大小を問わず、幅広い事業者が攻撃対象となっていると考えられる、と記載しています。
対策の3つの柱
資料は、経営層を含む組織内の幅広い読み手に向けた考え方（柱書）と、ITシステム・サイバーセキュリティ担当者向けの「対策例」に分けて書かれています。柱と項目は次のとおりです。
| 柱 | 項目 | 対策例の主な内容 |
|---|---|---|
| 1. 運用・管理段階 | (1) デジタル資産の適切な把握及び脆弱性の解消 | ソフトウェア構成情報（製品名・バージョン・利用箇所）の把握・管理、SBOM・SCAの活用、脆弱性情報の継続的な収集、対処の優先順位と期限の決定、緩和策と是正状況の管理 |
| 1. 運用・管理段階 | (2) アタックサーフェスの継続的な棚卸し及び最小化 | 公開しているシステムの把握、不要な公開機能（管理画面・デバッグ用機能など）の停止・制限、外部露出の継続的な監視 |
| 1. 運用・管理段階 | (3) AIの活用等による継続的な脆弱性診断及び不審な挙動の監視 | 継続的な診断・点検、ログ等の監視・検知、インシデントの調査・対処の迅速化 |
| 2. 設計・開発段階 | (1) セキュリティ・バイ・デザインの適用 | 要件定義・設計段階でのセキュアなアーキテクチャの検討、実装段階のSAST・SCA、テスト段階のDAST・IASTの活用 |
| 2. 設計・開発段階 | (2) 利用するAPIのセキュリティ対策の強化 | 認可不備の排除、認証情報の安全な管理、APIのレート制限 |
| 2. 設計・開発段階 | (3) 公開前の脆弱性診断の実施 | セキュリティ基準の設定、適切な第三者ベンダーの選定 |
| 3. サプライチェーン | (1) 委託先のセキュリティ統制及び委託先からの接続経路の厳格化 | 委託先の接続経路への多要素認証、契約・調達でのセキュリティ要件の明確化、ゼロトラストの考え方に基づくアクセス制御 |
| 3. サプライチェーン | (2) OSSや外部ライブラリ等の適切な管理 | 深刻な脆弱性の公表時の初動対応手順の明確化、委託開発でのSBOMの提出と確認 |
運用・管理段階
資料は、ウェブアプリの中で使われているライブラリやフレームワーク等の脆弱性を悪用した攻撃が確認されているとしています。ソフトウェアの構成要素やバージョン、利用箇所を継続的に把握し、インターネットからアクセスできるサーバーやネットワーク機器を優先して対応する必要がある、と記載しています。
また、インターネットに公開されたシステム管理画面への不正アクセスや、本来は外部公開を想定していないデバッグ用機能等がアクセス可能だったことによる不正アクセスが確認されているとしています。公開前だけでなく、認証・認可、API、個人情報の取扱い等に関わる重要な変更時や運用開始後も、リスクに応じて継続的に診断、点検及び監査を行うことが必要だとしています。
設計・開発段階
資料は、ウェブアプリやモバイルアプリが利用するAPI経由の不正な操作による情報漏えいが確認されているとし、国立研究開発法人情報通信研究機構（NICT）が注意喚起している「A2B（App-to-Backend）攻撃」に触れています。公開アプリの解析を通じてAPIの脆弱性や認可不備を特定し、バックエンドから機密情報を不正に窃取するインシデントが報告されているとしています。
公開前の脆弱性診断については、個人情報を取り扱うウェブアプリやウェブシステムで、リリース前に脆弱性診断やペネトレーションテストを行い、是正の結果を確認したうえで本番環境に公開することが重要だとしています。自社または委託先が開発したバックエンド機能に固有の設計・実装上の脆弱性も診断と是正の対象とする必要がある、と記載しています。
サプライチェーンを通じた侵害への対策
資料は、業務委託先や保守事業者の環境を足掛かりに発注元のシステムへ侵入される事案が確認されているとし、その場合でもサービス停止や情報漏えいに伴う影響は発注元である事業者自身が負うことになる、と記載しています。
契約・調達の対策例として、発注仕様書や業務委託契約書に、秘密保持義務に加えて次の要件を盛り込むことが挙げられています。
- 再委託の手続き
- インシデント発生時の通知義務・連絡先
- 契約終了時のデータ消去
委託先の選定時には、第三者認証や「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（2027年3月申請受付開始予定と記載）等の客観的な評価を活用するとしています。開発・改修を委託する際には、使用するソフトウェア部品の明示とSBOM（ソフトウェア部品表）の提出を契約・仕様に定め、検収時に確認する対策例も示されています。
資料は、委託先に対策を求める際は、費用負担や実施方法について十分に協議し、取引上の地位を利用した一方的な負担の押し付けとならないよう留意するよう求めています。
FREE CONSULTATION
企業法務のご相談は、初回30分無料です
- ・日本・ニューヨーク州の弁護士 阿部祐介が担当します
- ・オンライン（Zoom等）・来所（東京・大手町）どちらも可
- ・日本語・英語のどちらでもご相談いただけます
資料が触れている個人情報保護法の条文
資料は、個人情報の取扱いを委託する場合には、個人情報保護法第25条により、委託先に対する必要かつ適切な監督が求められているとしています。同条は次のとおり定めています。
> 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
関連する条文として、同法第23条（安全管理措置）は次のとおり定めています。
> 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
同法第26条1項は、個人データの漏えい等の事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、その旨を個人情報保護委員会に報告しなければならないと定めています。同条2項は、本人への通知を定めています（本人への通知が困難な場合で、これに代わるべき措置をとるときを除く）。
資料の結び
資料は、示した対策は昨今の一連の攻撃手口に焦点を当てたものであり、VPN等のネットワーク機器の脆弱性を狙った攻撃、標的型メール攻撃、DDoS攻撃などの手口や、AIの悪用の高度化も想定した対策を講じる必要があるとしています。
そのうえで、サイバー攻撃の影響が経営リスクへと発展する可能性も考慮し、経営トップの判断の下、システムの特徴や保有している情報の内容に基づくリスク評価を行ったうえで、必要な対策の強化を求めています。
出典
- 総務省「個人情報の漏えい等につながる不正アクセスへの対策について（事業者向け注意喚起）」（2026年11月6日） https://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000683.html
- 内閣官房国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～」（2026年11月5日） https://www.cyber.go.jp/pdf/press/261105_taiou.pdf
- 総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（公開アプリの解析情報を悪用した攻撃への注意喚起）」（2026年10月13日） https://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000680.html
- e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号） https://laws.e-gov.go.jp/law/415AC0000000057
本ページは、官公庁が公表した内容と条文の文言をもとに構成しています。個別の事案について判断が必要な場合は、弁護士にご相談ください。