経産省・IPAが不正アクセスによる情報漏えいで注意喚起｜EC運営者にとっての意味と点検の順番

経済産業省（以下、経産省）と独立行政法人情報処理推進機構（以下、IPA）は2026年10月9日、国内で不正アクセスによる情報漏えいの公表が相次いでいることを受けて、事業者に向けた注意喚起を出しました。同じ日に内閣官房（国家サイバー統括室）とJPCERTコーディネーションセンター（以下、JPCERT/CC）も関連の文書を公表しています。IPAは、大量の個人情報を扱う事業者の経営者に向けて「速やかに実施すべき点検」を3つ挙げています。

発表の事実：注意喚起の内容

経産省とIPAは2026年10月9日、不正アクセスによる情報漏えいの事案を踏まえて、事業者に点検と対策を求める文書を公表しました。主な内容を、発表元の記載に沿って整理します。

IPAの文書によると、国内の金融機関や通信事業者などで不正アクセスによる情報漏えいの公表が相次いでおり、オンラインサービスやアカウントサービスのシステムへの侵入で個人情報が盗まれる事案が続いているとされています。現時点では特定製品の脆弱性を狙った攻撃とは断定されていないものの、外部に公開しているアプリケーションやアカウントの侵害が起点になっているとみられるとしています。

IPAが挙げた「速やかに行うべき点検」は次の3つです。

• 外部に公開しているアプリケーションの精査……自社で構築・運用している公開アプリケーションを確認し、直近のログに異常（エラーの急増や平時との違いなど）がないかを、直近1か月、その後3か月と範囲を広げて確かめる。未適用の修正プログラムがあれば速やかに適用する。
• 自組織が利用している外部サービスの洗い出し……クラウドサービスやVPNなど、部署単位で使っているものも含めて把握し、ログイン失敗の数、ログイン元、時間帯などに異常がないかを確かめる。作成した覚えのないアカウントや、無効にしたはずのアカウントが有効になっていないかも確認する。
• 保有データの再点検……「不要な情報は持たない」という原則のもと、持っている情報を正確に把握し、必要最小限にする。

異常なログやアカウントが見つかった場合は、速やかにセキュリティインシデントとして対応を進め、専門のセキュリティベンダーに詳細な調査を依頼することを強く勧めています。異常がなかった場合も、多要素認証などの認証の強化、権限の見直し、アカウントの棚卸し、API連携の管理の見直し、ログの保持期間の見直し、データの暗号化などを検討するよう求めています。

経産省は、被害にあった場合や被害が疑われる場合に、発生と発覚の時期、被害の状況、攻撃の種類などを担当課へ速やかに伝えるよう協力を依頼しています。あわせて警察への通報・相談も積極的に検討するよう呼びかけています。

EC運営者にとっての意味

ここからはEC参謀としての解釈です。今回の注意喚起は大量の個人情報を扱う事業者の経営者に向けたものですが、会員情報を持つネットショップにもそのまま当てはまる内容だとみています。

①「自社で作ったシステム」を持たない店でも、点検の対象はある。楽天市場やShopifyなどを使い、自社でアプリケーションを作っていない店舗は、1つ目の点検に当てはまる部分は少ないかもしれません。一方で2つ目の「外部サービスの洗い出し」は、ほぼすべての店に関係します。カートやモールの管理画面に加えて、受注管理、在庫連携、メール配信、レビュー、広告、アクセス解析など、1つの店舗で多くの外部サービスにログインできる状態になっていることが多いと感じています。

②残りやすいのは「人が替わったあとのアカウント」。担当者の退職や異動、制作会社や運営代行との契約終了のあとに、アカウントや権限がそのまま残っていることがあります。IPAが挙げた「作成した覚えのないアカウント」「無効にしたはずのアカウント」の確認は、外部の人と一緒に運営している店ほど効いてくる点検だと考えられます。

③APIの連携も見直しの対象に。JPCERT/CCの注意喚起では、APIを通じた不正な操作や、他のシステムから盗まれたAPIキーが使われる手口が挙げられています。対策として、APIの利用者やトークンには必要最小限の権限だけを与えること、長期間有効なトークンを避けること、不要になったトークンをすぐ無効にできるようにしておくことが示されています。ネットショップでは、アプリや外部ツールを入れるたびに連携が増えていくため、使っていないアプリの連携が残っていないかを確かめるきっかけになりそうです。

④データは「持たない」ことも対策になる。注文や会員の情報は、売上の分析やCRMに使えるため残しておきたくなります。ただ、使っていないCSVの書き出しファイルが共有フォルダやメールに残っていると、それ自体が漏えいのリスクになります。保存期間を決めて消すことも、点検の1つと考えるのが現実的です。

今やるべきこと

ネットショップが少ない人数でも手を付けやすい順に、4つにまとめます。

1. 外部サービスの一覧を作る……モール・カートの管理画面、受注管理、在庫連携、メール配信、広告、アクセス解析、ファイル共有など、店の運営でログインするサービスを1枚の表に書き出す。部署や担当者が個別に契約しているものも含める。
2. ログインできる人と権限を確かめる……サービスごとに、誰がどの権限でログインできるかを確認する。退職者・異動者・契約が終わった委託先のアカウントが残っていれば止める。管理者の権限を持つ人が多すぎないかも見ておく。
3. 2段階認証とパスワードの使い回しを見直す……2段階認証（多要素認証）が使えるサービスは有効にし、複数の人で1つのIDとパスワードを共有している運用があれば、担当者ごとのアカウントに分ける。
4. 使っていない連携とデータを減らす……今は使っていないアプリやツールの連携を外し、古い注文・会員データの書き出しファイルなど、持っておく必要のないデータを削除する。

出典

• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（IPA・2026年10月9日）
• 不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼（経済産業省・2026年10月9日・PDF）
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC・2026年10月8日公開、9日更新）
• 不正アクセスによる漏えい等の事案を踏まえた対応について（内閣官房 国家サイバー統括室・PDF）

※本記事は2026年10月13日時点の公開情報に基づく速報解説です。最新かつ正確な情報は発表元の公式発表をご確認ください。