警視庁が事業者向けに情報漏えい対策の資料を公開｜EC運営者にとっての意味と点検の順番

警視庁は2026年10月21日、Webサイトの「個人情報漏えい『犯罪被害事例と被害防止対策』」のページを更新し、事業者向けの資料「会社の情報、狙われています。」を公開しました。点検の項目を「確認すべき3つの事項」「実施すべき5つの対策」にまとめ、被害が疑われたときは証拠を残して早めに警察へ相談するよう呼びかけています。会員情報や外部サービスのアカウントを多く抱えるネットショップにも当てはまる内容です。

発表の事実：資料の中身

警視庁の資料は、サイバー攻撃の状況、確認すべき3つの事項、実施すべき5つの対策、被害が疑われたときの動き方、警察への通報、相談窓口の7つの柱で構成されています。資料の冒頭では、事業者が警戒したい主な脅威として、ランサムウェア、委託先・取引先を経由した攻撃、システムの脆弱性を悪用した攻撃、標的型のメール攻撃の4つを挙げています。

1. 確認すべき3つの事項（担当者と期限を決めて点検）

   ①公開しているアプリケーションに関わるサーバ（アクセスやエラーのログの急増、不審な通信）②外部サービス（クラウド、VPNなど。いつもと違うログインや時刻、覚えのない新規アカウントや権限の変更）③資産管理（不要な個人情報の削除、情報の保管場所とアクセス権の確認）。

2. 実施すべき5つの対策（点検だけで終わらせず仕組みを改善）

   ①多要素認証などの導入と、権限を必要最小限にする見直し ②OSやアプリケーションへの最新の修正の適用、不要なポート・サービスの停止 ③API経由のアクセスへの対策（回数の制限、急増への注意、権限の都度確認）④被害への備え（ログの保存、緊急時の連絡先、保守業者との対応手順、事業継続計画）⑤業務委託先のセキュリティ対策の確認。

3. 被害が疑われたら（初動へ切り替え）

   ①記録を残す（ネットワークから切り離し、ログ・端末を保全し、時系列を記録）②拡大を止める（専門家と相談して侵入経路を遮断）③適切に報告・連絡する（保守業者・経営層・関係機関へ）。

資料はさらに、警察への通報について「すべて判明してからでは遅い」とし、分からない点があっても判明した事実を先に伝えるよう求めています。伝える情報の例として、発見日時と経緯、狙われた端末やアカウント、通信や認証のログ、保存した画面やメールなどを挙げ、証拠を消したり書き換えたりせず、復旧と保全は専門家と調整するよう注意しています。相談先として、警察庁の全国統一のオンライン窓口と、最寄りの警察署（緊急時は110番）が案内されています。

なお、資料には状況を示す数字として、警察庁の集計で令和7年に全国の警察のセンサーが検知した不審な通信が「約9秒に1回」、令和8年上半期のランサムウェアの被害報告が123件（半期として過去最多）と記載されています。資料の内容は、内閣官房 国家サイバー統括室、IPA、個人情報保護委員会、警察庁の公開資料をもとに警視庁が作成したものと明記されています。

EC運営者にとっての意味

ネットショップにとっては、新しい義務が加わったわけではなく、10月上旬から続く注意喚起を「誰が・いつまでに」点検するかに落とし込むきっかけと受け止めるのが現実的だとみています。ここからはEC参謀としての解釈です。

①「外部サービス」はネットショップでは数が多い。資料の「外部サービス（クラウド、VPN等）」は、ネットショップに置き換えると、カートの管理画面、モールの出店者画面、決済代行の管理画面、メール配信、受注管理、在庫連携、広告のアカウントなどが当たるとみられます。担当者の退職や運営代行の切り替えで、使われていないアカウントが残っていることもあります。

②API連携の点検は見落としやすい。受注管理や在庫連携のツールは、APIのキーやアクセス権でカートとつながっています。資料が挙げる「API経由のアクセスへの対策」は、店舗の側ではどのツールにどの権限を渡しているかの棚卸しから始めるのが目安です。使っていない連携アプリは外しておくと、確認する範囲を減らせます。

③委託先の確認も対策に入っている。カート事業者やシステム会社、運営代行会社など、ネットショップは多くの委託先と一緒に運営されています。今年はカートや配送会社のサービスで不正アクセスの公表が続いており、委託先に何かあったときの連絡の受け方と、お客さまへの案内の手順を決めておくことが、自店の対策の一部になると考えています。

今やるべきこと

規模の小さい店舗でも、次の4つは管理画面の確認と一覧づくりで始められます。

• 2段階認証の確認……カート・モール・決済代行・メール配信の管理画面で、2段階認証（多要素認証）が全員分有効になっているかを見る。
• アカウントと連携の棚卸し……退職者や以前の委託先のアカウント、使っていない連携アプリ・APIキーを止める。
• 不要なデータの整理……手元のパソコンや共有フォルダに残っている顧客リストのCSVなど、使い終わった個人情報を削除する。
• 連絡先の一覧……カート事業者・決済代行・保守業者の緊急連絡先と、警察の相談窓口を1枚にまとめておく。

店舗の運営形態ごとにやることはECサイトのセキュリティ対策ガイドで、これまでに公表されたEC関連の事案は事例台帳で整理しています。10月上旬のIPA・経済産業省の注意喚起はこちらの速報をご覧ください。

出典

• 警視庁「個人情報漏えい「犯罪被害事例と被害防止対策（都民・事業者向け）」」（2026年10月21日更新）
• 警視庁「事業者向けデジタルコンテンツ（会社の情報、狙われています。）」（PDF）