総務省、事業者に不正アクセス対策の徹底を要請　AI悪用の侵入も指摘

今回の注意喚起の宛先は事業者で、利用者個人に求める手続きは示されていません。個人情報を扱うウェブサイトやモバイルアプリを運営していない人にとって、今の契約や手続きが変わることもありません。

総務省の発表によると、内閣官房国家サイバー統括室が事業者向けに出した注意喚起と同じ内容を、総務省も所管事業者と関係団体に伝えました。不正アクセスによる情報漏えいが相次いでいることを受けた対応です。

基本的な対策が足りなかったとみられる事例が複数

総務省によると、漏えい事案の中には、基本的な対策が不十分だったことが原因とみられる例が複数あります。具体的には次の3点です。

• モバイルアプリの開発時のセキュリティ対策の不足
• ウェブサイトなどの設定の不備
• 既知の脆弱性（すでに知られているシステムの弱点）への未対応

どの事案でどれだけの情報が漏れたかといった個別の件数は、今回の発表には含まれていません。

AIの使用と、低リスクとされた弱点の組み合わせ

発表は、攻撃者が標的の調査や侵入にAIを使っている可能性も高いとしています。これまで比較的リスクが低いと評価されていた脆弱性を組み合わせて侵入した可能性も指摘されています。

さらに、攻撃の大規模化が容易になったことで、事業規模の大小を問わず幅広い事業者が標的になっていると考えられています。小さな事業者でも「狙われにくい」とは限らないという見方です。

国家サイバー統括室が求める3つの徹底事項

注意喚起で求められているのは、ウェブサイトやモバイルアプリの基本的な対策を改めて徹底することです。内容は次のとおりです。

• 脆弱性や設定不備への適切な対処と、継続的なセキュリティ診断・監視の強化
• 設計・開発段階からのセキュリティ対策の徹底
• 委託先を含むサプライチェーン（取引や業務委託のつながり）全体の対策強化

総務省は事業者に対し、経営層のリーダーシップの下でサイバーセキュリティ対策を強めるよう求めています。特に、ウェブサイトやモバイルアプリを使った事業を運用し、個人情報を取り扱う事業者には十分な注意を呼びかけました。

日本の利用者は何を確認できるか

利用者向けの具体的な手順は、今回の発表には示されていません。個人情報が漏えいした場合の二次被害への備えは、IPAが公開した対処法の整理が参考になります（IPA、個人情報漏えい時の二次被害対策を公開）。

総務省は、10月9日と10月13日にも関連する注意喚起を出しています。10月13日の分は、公開アプリの解析情報を悪用した攻撃への注意喚起です。