すべての記事

徳丸浩氏に聞く、PHP脆弱性への緊急対応から考える企業の備え 危険度の見…

2026年10月21日、プログラミング言語「PHP」の開発元であるThe PHP Groupは、認証なしで遠隔からコードが実行されるおそれのある深刻な脆弱性2件を修正したセキュリティリリースを公開しました 1。いずれの脆弱性も深刻度はCVSS4.0において「9.2」のCriticalと評価されています 2。 PHPはWebサイトの約7割で使われているとされ、本件は世界的な影響を及ぼしました 3。国内では、省庁や金融機関、SaaSの提供企業をはじめ数多くの組織が、セキュリティ被害の予防や修正版の適用作業のために、サービスを一時停止しました 4。また、高市 早苗総理大臣もXで、修正版の速やかな適用が難しい場合はサイトの一時停止もリスクを下げる有効な手段だとして対応を呼びかけるなど、異例の事態となりました 5。 あるソフトウェアに重大な脆弱性が見つかったとき、それが自社のどこで動いているのかを把握し、サービスを止めるかどうかを迅速に判断できる体制を整える重要性が、本件により改めて顕在化しました。今回の脆弱性の危険度と、本件を踏まえて企業が平時から備えておくべき対策について、Webセキュリティの第一人者である徳丸 浩氏に聞きました。

2026/10/29

IDCFクラウドのランサムウェア被害を弁護士解説、「データが戻らない」「…

IDCフロンティアのクラウドサービス「IDCFクラウド」が10月7日にランサムウェア攻撃を受け、495の企業や自治体に影響が出ています。10月14日の第5報ではスナップショット機能を利用していた194の顧客 1、加えて10月27日の第7報では206の顧客のバックアップデータを取り出せることが明かされました 2。しかし、それ以外の顧客は自前のバックアップがなければデータが戻らないおそれがあります。 自社で直接契約していない企業にも、影響が出ています。たとえば、株式会社高島屋は、メールマガジン配信業務の委託先がIDCFクラウドを利用しており、当面のあいだ同業務を停止するとしています 3。 データが戻らない企業は、損害賠償をどこまで請求できるのか。また、「うちは使っていない」と考える企業でも把握しておくべきことはあるのか。牛島総合法律事務所 影島 広泰弁護士に聞きました。

2026/10/28

タイムズ、日経、佐川急便も 相次ぐ大規模漏えいによる関係機関の注意喚起…

2026年9月下旬から、国内企業による大規模な個人情報漏えいの公表が相次いでいます。9月末にはタイムズカーで約660万アカウント分の個人情報が第三者に取得されたと公表され 1、その後も日本経済新聞社 2、大和証券 3、焼肉きんぐ 4、バーガーキング 5 などから発表が続きました。10月下旬に入っても、カプコン 6や佐川急便 7など、公表が続いています。 こうした状況を受け、10月7日から9日にかけて、個人情報保護委員会 8、JPCERT/CC 9、内閣官房国家サイバー統括室 10、IPA 11などの各機関が、相次ぐ不正アクセスによる情報漏えいを受けた注意喚起を公表しています。なかでも個人情報保護委員会は、2027年4月に確定予定のガイドラインの見直しを待たずに、その柱の1つである「技術的安全管理措置」を現時点の案として前倒しで示しました。 各機関の注意喚起を受けて、企業のセキュリティ担当者はどんな対策を、どの順番で点検すればよいのか。また、対外的な説明の可能性も念頭に、点検結果をどのように残し、委託先に何を確認すべきか。弁護士法人長瀬総合法律事務所 長瀨 佑志弁護士に聞きました。

2026/10/28

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

SOC・CSIRT担当者必見の体制構築ガイド「セキュリティ対応組織の教科書」…

本連載では、企業や組織におけるセキュリティ体制を構築・運用するヒントを紹介してきました。その指針として、日本発の知見でありながら国際標準である「ITU-T勧告X.1060 1」と、そのベースにもなった、日本セキュリティオペレーション事業者協議会の「セキュリティ対応組織の教科書 2」を題材に解説をしました。ドキュメントの成り立ちから、実際に組織で利用するためにはどうするかまで、日本で議論を進めている同協議会のセキュリティオペレーション連携ワーキンググループのメンバーを中心に執筆してきました。 前回（第6回）は、日本ネットワークセキュリティ協会のX.1060マップ活用ワーキンググループから、それぞれのサービスに対応してどんなサービスが各社から提供されているのか、考え方や成果物を紹介しました。最終回である今回は、各ドキュメントの最新動向と、今後の展望についてお伝えします。

武井 滋紀

SCSKセキュリティ株式会社 エバンジェリスト

2026/10/27

【随時更新】情報漏えい・サイバー被害の解説記事まとめ 弁護士・専門家の…

情報漏えいやサイバー攻撃被害の公表が後を絶ちません。原因も、外部からの不正アクセスやランサムウェアから、委託先、SaaS事業者に起因する事案まで多岐にわたります。 UNITISでこれまでに掲載した、弁護士・専門家による事案・動向の解説記事や、被害企業の担当者による講演のレポート、企業の有事対応・セキュリティ対策を見直すうえで参考になる記事等を、公開日順にまとめました。 ※今後、新たな事案の解説記事も随時追加します。

2026/10/29

武田一城の「経営層に必要なセキュリティの心得」

セキュリティインシデントはなぜ多発するのか？ RPGの王様と勇者の関係で…

2026年秋、多くの企業で不正アクセスや個人情報漏えいのインシデントが公表されています。これだけ聞くとこれまでとさほど変わらないように見えますが、違うのはその数です。信じられない数のサイバー被害が発生しています。 このようなインシデントが発生する理由として、マスコミやSNSではAIの進化などが取り沙汰されています。背景や市場環境として、それは確実にあるでしょう。しかし、実際には企業ごとに状況は異なります。 今回は、このインシデントの発生理由を、ロールプレイングゲーム（RPG）に例えて説明を試みました。このような例えを荒唐無稽と思う方もいるかもしれませんが、地球の裏側にいる攻撃者がサイバー空間を伝って攻撃してくるという状況は、一般の方からするとゲームの世界にしか思えないという意見もあります。10月9日には、政府からの注意喚起も出ました 1。この例え話で少しでも自分事として捉えていただければと思っています。 また、この連載のタイトルは「経営層に必要なセキュリティの心得」としています。統計によると経営者の30％は50代ということです。その世代なら、ちょうどRPGが流行した時代を過ごした方が多いでしょう。そのため筆者としても、突拍子もないという印象を与えるかもしれないと思いながら、セキュリティやインシデントの本質の理解のために、今回のテーマとしました。

武田 一城

株式会社ベリサーブ

2026/10/23

徳丸浩氏に聞く、タイムズカー事案から考えるユーザーデータ管理 保管場所…

タイムズモビリティ株式会社は9月25日、同社が運営するカーシェアリングサービス「タイムズカー」のWebシステムが第三者による不正アクセスを受けたことを公表しました 1。漏えいしたアカウント数は約660万件であり、対象には現会員のほか、退会済みの会員や、入会を申し込んだものの完了していない人も含まれるとしています 2。 また9月29日には、運転免許証や公共料金の請求書などの本人確認書類の画像が漏えいしたアカウントが約160万件にのぼることも明らかにしました 3。 会員向けサービスでは、入会時にさまざまなデータをユーザーから預かることが一般的です。こうしたデータを性質に応じてどう分け、どう守り、不要になったデータをどう消去すべきなのか。データ管理の考え方と具体策を、Webセキュリティの第一人者である徳丸 浩氏に聞きました。

2026/10/16

Monthly Incident Report

2026年9月 セキュリティインシデントニュースまとめ

2026年9月に公表された主なセキュリティインシデント45件について、企業の発信内容をもとに紹介します。

2026/10/16

RIZAPで私用生成AIに個人情報を誤入力、企業の責任は　自己申告という発覚…

RIZAP株式会社は9月3日、同社の従業員が個人で使用する外部の生成AIサービスに、特定保健指導対象者の情報を誤ってアップロードしたと公表しました 1。氏名や保険証記号番号のほか、疾患情報などの要配慮個人情報も含まれていたとしています。 本件では、RIZAPに加えて委託元である各健康保険組合・共済組合も、事案の概要や対象人数などを公表しています。たとえば、IHIグループ健康保険組合 2は、漏えいの可能性のある対象者を210人、地方職員共済組合 3 は726人としています。また、全国土木建築国民健康保険組合は、委託先であるRIZAP全体で1万9,996人分のデータが対象になったと公表しており、各組合が公表している人数はその内数にあたります 4。一方で、組合ごとに説明している事項やその粒度には差異が見られます。 従業員が私用の生成AIを利用することによる、いわゆる「シャドーAI」経由の情報漏えいは、委託・受託関係にある多くの企業にとって他人事ではありません。本件の行為の法的な性質や、委託元・委託先のそれぞれが負う責任、実効性ある再発防止策について、弁護士法人三宅法律事務所 渡邉 雅之弁護士に聞きました。

2026/10/06

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

必要なセキュリティ対策を「言語化」して「実装」する方法 判明した課題と…

本連載では、日本セキュリティオペレーション事業者協議会が作成した「セキュリティ対応組織の教科書 1」と、それを基に国際標準化された「ITU-T勧告X.1060 2」を取り上げてきました。 本稿では、これらを実際に活用すべく立ち上がった取組みと、その先に目指している姿を紹介します。なお、本稿において意見にわたる部分は、いずれも筆者の私見であり、筆者が所属する組織の見解を代表するものではありません。

小坂 和哉

日本ネットワークセキュリティ協会 調査研究部会 X.1060マップ活用ワーキンググループ リーダー／株式会社NTTデータ テクノロジーセグメント インフラストラクチャ事業本部 エンジニアリング事業部

2026/09/30

従業員のシャドーIT・シャドーAIにどう備える？ 事例に学ぶ法的リスクと規…

長瀨 佑志

弁護士法人長瀬総合法律事務所 弁護士

2026/09/17

Monthly Incident Report

2026年8月 セキュリティインシデントニュースまとめ

2026年8月に公表された主なセキュリティインシデントについて、企業の発信内容をもとに紹介します。

2026/09/14

正規権限を狙う偽警察官型ソーシャルエンジニアリング 企業の資金流出・情…

相次いで発生した2つの事案。いずれも、攻撃者は認証を突破しておらず、システムの脆弱性も悪用していませんでした。それでも、被害組織からは資金が流出し、機密情報が漏えいしてしまったのです。 近時、警察官や捜査機関を名乗る者が、対象者に「あなたに嫌疑がかかっている」「潔白を証明するために協力が必要である」といった虚偽の捜査協力要請を告げ、電話や通信アプリを悪用し、偽造された公的書類等の画像を用いて信頼させ、業務権限を行使させる事案が散見されます。このような方法は技術的な攻撃ではなく、権限を有する者の意思決定過程そのものを標的としており、本稿では「偽警察官型ソーシャルエンジニアリング」と呼ぶこととします。 偽警察官型ソーシャルエンジニアリングの本質は、対象者の意思決定を利用した「正規権限の悪用」です。攻撃者はシステムを突破するのではなく、権限を有する者にその権限を行使させます。そのため、認証強化や教育だけでは十分ではなく、技術統制、業務統制および人的統制を組み合わせた統制設計が求められます。また、そのような統制を有効に機能させるためには、経営陣による監督やリスク管理を含むガバナンスの整備も不可欠です。 本稿では、2026年に発生した2つの事案を素材として、「正規権限の悪用」という観点から、その課題ととるべき対策を検討します。

北條 孝佳

西村あさひ法律事務所・外国法共同事業 弁護士

2026/09/09

日本企業がとるべきサイバーレジリエンス法の対応実務

サイバーレジリエンス法における製造業者の報告義務への対応（実践編）　…

EUのサイバーレジリエンス法（Cyber Resilience Act、以下「CRA」といいます）のうち、製造業者が脆弱性または重大なインシデントを認識した場合の当局への報告義務に関しては、2026年9月11日から適用が開始されました 1。 報告義務の概要については、本連載の第2回「サイバーレジリエンス法における報告義務の内容と具体策」で解説しましたが、同記事の公開後、欧州委員会より、新たにCRAに関するガイダンス 2 およびFAQ 3 が公開されたことに加え、ENISA 4 より報告義務に関連するFAQ 5 が公開されています。 そこで本稿では、これらの内容を踏まえ、製造業者が「実際に悪用されている脆弱性」または「対象製品のセキュリティに影響を及ぼす重大なインシデント」を認識した場合に負う報告義務と、より具体的な実務対応について詳説します 6。 なお、CRAに関連するドキュメントは、今後、新たに公開されたり、アップデートされたりすることが予定されています。そのため、今後、本稿で引用すべきドキュメントの公表や、アップデート等があった場合には、順次記事内容に反映します。

寺門 峻佑

TMI総合法律事務所 弁護士

2026/09/11

さくらインターネット不正アクセスから考える「クラウド例外」の判断と実…

さくらインターネット株式会社は8月17日、同社が展開するレンタルサーバーサービス「さくらのレンタルサーバ」の一部顧客環境に対し、第三者による不正なアクセスとログインを確認したと発表しました 1。不正ログインの対象は583アカウントで、一部のサーバーにマルウェアが設置されていたこと、顧客領域内に保存された情報を第三者が閲覧または取得した可能性があることなどを伝えています。 その2日後の第二報では、同社が顧客の契約情報等を管理するために運用する「販売管理システム」への不正アクセスの可能性も発表 2。さくらのレンタルサーバに対する不正アクセスの調査過程で確認されたといい、対象となる可能性のある会員情報は最大約136万アカウントとしています。 本件のような事案が発生した場合、サービスの利用企業にはどのような法的責任が生じ、どう対応すべきか。事案のポイントや、クラウド例外と委託との区別、利用するクラウドサービスへの不正アクセスや情報漏えいが発覚した際の対応、平時からの備えなどを弁護士法人三宅法律事務所 渡邉 雅之弁護士に聞きました。

2026/09/03

会社で禁止しているフリーWi-Fiを従業員が利用していたら？ 初動対応・報…

長瀨 佑志

弁護士法人長瀬総合法律事務所 弁護士

2026/09/01

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

セキュリティ対応組織の「線引き」基準 教科書を基に優先順位を付け、役割…

本連載ではこれまで、SOC/CSIRTといったセキュリティ対応組織を組織という「箱」として捉えるのではなく、企業全体のセキュリティ対応能力として設計する視点を整理してきました。前回（第4回）は、自社に合ったセキュリティ組織の業務範囲をどのように定めるかを「リスクの軸」という観点から整理しました。 第5回となる本稿では、その実務への落とし込みとして、「ITU-T勧告X.1060 1」と「セキュリティ対応組織の教科書 2」が示すフレームワークを使い、機能設計・評価・優先順位付けをどのように進めるべきかを解説します。

角田 玄司

SCSKセキュリティ株式会社 サービスデリバリ事業本部 セキュリティアーキテクト部 セキュリティデリバリ課

2026/08/31

ランサムウェア対策としてのバックアップの最適解と落とし穴 目的設定から…

ランサムウェア攻撃が多発する中、被害を受けた際にいかに早くビジネスを立て直せるかは、バックアップからの復元可否が大きく左右します。一方で、バックアップを取っていた企業の約8割が有事に「復元できなかった」とする調査結果もあります 1。有事に、バックアップから確実に復元できるようにするためには、どのような対策が必要になるのでしょうか。 本記事では、近年のランサムウェア攻撃の手口や、バックアップを有効に機能させるための「3-2-1-1-0ルール」、有事の復元手順、平時から実施すべき訓練と体制づくりについて、AWS Backup、Google Cloud Backup and DRをはじめ、クラウドサービスによる提供機能を活用したバックアップソリューションの導入・支援を行うKDDIアイレット株式会社のシニアセキュリティエンジニア 中村 昌登（しろうさ）氏に聞きました。

2026/08/24

ニチレイ事案から考える、漏えい時の情報共有・公表の境界線 サイバー攻撃…

冷凍食品大手の株式会社ニチレイで、不正アクセスによるシステム障害が発生しました 1。サーバーがサイバー攻撃を受け、個人情報が漏えいした可能性があると公表しています。 本件では、システム障害により同社グループ会社の冷蔵倉庫における入出庫業務や冷凍食品の出荷業務が一時停止し、取引先にも影響が出ています。同社が7月22日に公表した第4報では、被害を受けたサーバーに保管されていた個人情報の対象者への通知を進めていることを明らかにした一方、「警察および関係機関と連携し、対応を進めているため、サイバー攻撃の詳細は情報開示を差し控える」としています 2。 サイバー攻撃を受けた際の手口や被害の詳細について、法令・実務の観点を踏まえると、何を、どこまで開示すべきか。サイバー被害が企業で発生した場合の考え方や判断基準について、牛島総合法律事務所 影島 広泰弁護士に聞きました。

2026/08/21

委託先ベンダーに起因するサイバー被害の損害回復 損害賠償請求における実…

サイバー攻撃の脅威がかつてないほど高まるなか、企業にとっては、「被害を受けないこと」だけではなく、「受けた損害をどの程度回復できるか」が、重要なテーマとなっています。 他方で、サイバー攻撃によって、システム開発・運用・保守の不備に起因する損害が発生した場合であっても、必ずしもその損害を、システム開発・運用・保守等の委託先ベンダーへ転嫁できるわけではありません。委託先ベンダーへの責任追及が一定の範囲で認められた裁判例においても、請求額のすべてが認められたわけではなく、認められた金額や費目は事案ごとに大きく異なります。 本稿では、実際の裁判例を題材として、サイバー攻撃が企業にもたらし得る損害の類型とその回復可能性、委託先ベンダーへの損害賠償請求を見据えた実務対応、セキュリティ担当者が果たすべき役割、さらにはサイバー保険を活用する場合の留意点について、実務の観点から解説します。

小坂 光矢

牛島総合法律事務所 弁護士

2026/08/19