タイムズカー：大規模な個人情報漏えい

2026年9月25日、タイムズモビリティ株式会社は、カーシェアリングサービス「タイムズカー」のWebシステムに対する不正アクセスと、個人情報漏えいの可能性を公表しました（第1報）。

9月28日の第2報では、調査の結果、約660万件のアカウントの情報が第三者に取得されたことを確認したと発表しています。対象となる項目は会員によって異なり、氏名や住所、生年月日、電話番号、メールアドレス、運転免許証の情報、本人確認書類の画像、復元できない形式で保存されたパスワードなどが含まれます。クレジットカード情報の漏えいはないとしています。

9月29日の第3報では、運転免許証画像などの本人確認書類が漏えいしたアカウントが約160万件であることを確認したと発表しました。対象となった書類は、運転免許証の画像のほか、公共料金の請求書などの現住所確認書類の画像、学生証の画像（学生プランの場合）、家族確認書類の画像（家族プランの場合）です。

同社は、不正アクセス経路や攻撃元との通信の遮断、外部専門機関による調査などを実施しています。利用者に対しては、同社を装ったメールやSMS、電話などに注意し、パスワードや認証コード、クレジットカード情報などを入力しないよう呼びかけています。

出典：タイムズモビリティ 第2報（2026年9月28日）／タイムズカー 第3報（2026年9月29日）

セイコーマート：アプリを経由した不正アクセス

2026年9月29日、株式会社セイコーマートは、スマートフォンアプリ「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーに第三者が不正にアクセスしたと公表しました。この時点では、約57万アカウントについて、姓名、性別、生年月日、住所、電話番号、メールアドレスなどが閲覧された可能性があるとし、パスワード情報は漏えいしていないとしています。

10月5日の第4報では、対象となるアカウントは、アプリに登録したことがあるセイコーマートクラブ会員のうち574,647人分であると発表しました。

同社は、対象となったかどうかをアプリのお知らせで通知しています。あわせて、アプリやWeb上での新規入会、会員情報の閲覧・変更、登録カードの変更の機能を終了し、今後は店舗やフォームで受け付けて同社が変更する方式に改めるとしています。

出典：セイコーマート 第1報（2026年9月29日）／セイコーマート 第4報（2026年10月5日・公式PDF）

デジタル庁 GSS：VPN機器の脆弱性と保守運用担当者のアカウント

2026年9月11日、デジタル庁は、同庁の「ガバメントソリューションサービス（GSS）」への不正アクセスにより、職員等の個人情報 約24.6万件が外部に漏えいした可能性があることを確認したと公表しました。内訳は、GSSを利用する機関の職員や、その業務に携わった公務員等が約18.9万件、業務に携わった事業者および個人が約5.7万件です。一般の方の個人情報は含まれておらず、マイナンバー、金融機関口座情報、年金番号等も含まれていないとしています。

同庁の発表によると、2026年6月25日に、保守運用担当者のアカウントを利用してサーバー上の大量のファイルにアクセスが行われたことを検知しました。その後の調査で、7月9日に、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入していたことが判明しました。検知から公表までには、約2か月半の調査期間がありました。

出典：デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日）

そのほかの主な公表事案（2026年9月）

2. 不正アクセスはどのように行われるのか

JPCERT/CCが2026年10月8日に公開した注意喚起（AT260030）は、継続的に発生しているランサムウェア攻撃等とは別に、大量の個人情報等の漏えいにつながり、今後増加するおそれがある不正アクセスを取り上げたものです。注意喚起では、技術情報の共有が十分ではなく、把握できている情報は限られているとも説明されています。

10月9日の更新では、ケースA・Bの不審な送信元IPアドレスと、ケースDが追加され、攻撃手法や痕跡が次の4つのケースに整理されました。なお、すべての事案で同じ攻撃手法が使われているわけではないとしています。

ケースA：既知の脆弱性の探索と悪用

特定のソフトウェアに絞るのではなく、標的ごとに複数のソフトウェアの既知の脆弱性を調べ、悪用を試みる手口です。

脆弱性そのものに限らず、管理不備によって外部から取得できる状態になっている設定ファイルやバックアップファイルなどを狙っている可能性も指摘されています。

ケースB：APIを経由した不正操作

API（Application Programming Interface）とは、アプリケーション同士が情報や機能をやり取りするための仕組みです。スマートフォンアプリの多くは、APIを通じてサーバーとデータをやり取りしています。

報告されているのは、公開されているスマートフォンアプリを解析してAPIの接続先やキーを特定し、通常の画面操作では利用できない内部APIを不正に操作する手口です。

具体的には、ユーザー権限の変更、不正なアカウントの作成、認証トークンの有無や形式を変えたときの応答の違いの確認、NoSQLインジェクションによるアカウント情報の探索、別のシステムから盗まれたAPIキーの悪用などが挙げられています。

NoSQLインジェクションとは、NoSQLと呼ばれる種類のデータベースへの問い合わせに不正な入力を紛れ込ませ、意図しない検索や操作をさせる攻撃です。

用語参考：OWASP NoSQL Security Cheat Sheet

ケースC：MetabaseのSQLインジェクションの悪用

データの集計・可視化に使うBI（ビジネスインテリジェンス）ツール「Metabase」の既知の脆弱性（CVE-2026-72898）が悪用されたケースです。SQLインジェクションとは、不正な入力によって、データベースに意図しない操作を実行させる攻撃を指します。

ほかの3ケースと異なり、特定の製品の脆弱性です。対象バージョンや更新方法、侵害の確認手順は、JPCERT/CCが8月14日に公開した注意喚起（AT260023）にまとめられています。利用している組織は、同注意喚起に沿って更新と侵害の確認を行ってください。利用していない組織も、BIツールのような社内向けのツールがインターネットから到達できる状態になっていないかを確認しておくとよいでしょう。

ケースD：アプリケーションサーバーへのWebシェルの設置

10月9日の更新で追加されたケースです。公開Webサーバーからアクセス可能なアプリケーションサーバー上に、WARファイル（Javaで作られたWebアプリケーションを配置するためのファイル形式）が設置された事案が確認されています。このWARファイルに含まれるJSPファイルが、簡易的なWebシェルとして動作します。

Webシェルとは、外部からの指示を受けて、サーバー上でコマンドを実行する不正なプログラムです。注意喚起では、9月ごろに、このWebシェルへのリクエストが繰り返し行われていたことが示されています。

「社内向けだから安全」とは限らない

注意喚起では、一般向けのアプリだけでなく、BIツールや従業員向けの管理システムなど、不特定多数が使うことを想定していないシステムも被害を受けていると指摘されています。社内向けのシステムであっても、インターネットから到達できる状態であれば、攻撃の対象になり得ます。

注意喚起には、各ケースで観測された不審な送信元IPアドレスなども掲載されています。自組織のログを確認する際の手掛かりになりますが、記載されている注記もあわせて確認してください。

出典：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（AT260030・2026年10月8日公開、10月9日更新）

注意喚起の4ケース以外にも：ID・パスワードを悪用した不正ログイン

JPCERT/CCの注意喚起は、脆弱性やAPIの不備を突く攻撃を中心に取り上げています。盗まれたAPIキーの悪用（ケースB）を除くと、IDやパスワードの悪用は扱われていません。しかし、不正アクセスの手口として広く見られるのは、正規のIDとパスワードを何らかの方法で入手し、本人になりすましてログインする手口です。

警察庁・総務省・経済産業省が2026年3月に公表した報告によると、2025年に検挙された不正アクセス行為407件のうち399件が、他人のIDやパスワードなどを無断で入力して利用する「識別符号窃用型」でした。399件の手口の内訳は、次のとおりです。

※検挙された事件を対象とした内訳です。被害の全体（2025年の不正アクセス行為の認知件数は7,190件）について、手口の内訳は示されていません。

出典：国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2026年3月12日・警察庁掲載PDF）

IDとパスワードを悪用した攻撃には、主に次のような手口があります。

• パスワードの推測・総当たり： 「123456」や名前・誕生日など、推測されやすいパスワードや初期設定のままのパスワードを狙って、ログインを繰り返し試みます。
• パスワードリスト攻撃： 別のサービスから流出したIDとパスワードの組み合わせを使って、ログインを試みます。パスワードを使い回していると、ほかのサービスでも不正にログインされます。
• フィッシング： 実在の企業を装ったメールやSMSで偽のサイトに誘導し、IDやパスワード、認証コードを入力させて盗み取ります。
• 退職者や委託終了後のアカウントの悪用： 不要になったアカウントが削除されずに残っていると、以前の利用者などに悪用されるおそれがあります。

正規のIDとパスワードでログインされると、システムからは本人による通常の利用と見分けにくくなります。脆弱性対策やAPIのアクセス制御とあわせて、ログインそのものを守る対策が必要です。なお、前章で紹介した各事案について、これらの手口が使われたとは公表されていません。GSSの事案では保守運用担当者のアカウントが使われましたが、その認証情報がどのように入手されたかは、確認できた公表資料には記載されていません。

3. ＦＦＲＩセキュリティの視点：攻撃者に狙われる弱点を把握する

ＦＦＲＩセキュリティは、脆弱性研究やマルウェア解析、防御回避手法に関する知見を活用し、攻撃者の視点から侵入経路や重要情報への到達可能性を検証するサービスを提供しています。

その立場から見ると、今回のような不正アクセスへの備えで問うべきは「どの製品を導入しているか」よりも、「攻撃者がどの経路から、どの情報にアクセスできるか」です。

WebアプリケーションやAPIの弱点を確認する

利用者の画面に表示されない管理機能であっても、APIに適切な認証・認可が実装されていなければ、不正な操作を許すおそれがあります。

認証は「利用者が誰であるか」を確認する仕組み、認可は「その利用者にどの操作を許可するか」を判断する仕組みです。ログインできる利用者であっても、ほかの利用者の情報を読んだり、自分の権限を変えたりできてはいけません。認証が正しく実装されていても、認可に不備があれば不正な操作を防げません。

画面から操作できないことと、サーバー側で操作を禁止していることは同じではありません。 非公開APIも含め、接続先ごとにアクセス制御を実施する必要があります。スマートフォンアプリは利用者の手元で解析できるため、アプリの中に埋め込んだAPIキーや接続先の情報は、攻撃者にも見えるものとして設計しておくべきです。

VPN機器と保守用アカウントを見落とさない

GSSの事案で公表されたように、VPN機器などの外部との境界にある機器の脆弱性は、侵入の足掛かりになり得ます。また、保守運用のためのアカウントは一般に強い権限を持つことが多く、外部の委託先が利用する場合もあるため、利用状況が見えにくくなりがちです。境界機器の脆弱性への対応に加えて、こうしたアカウントの棚卸しや多要素認証、利用状況の監視も欠かせません。

脆弱性診断とペネトレーションテストで弱点を確かめる

ＦＦＲＩセキュリティでは、目的の異なる2つのサービスで、システムの弱点の確認を支援しています。

脆弱性診断は、対象システムに存在する脆弱性や設定不備を幅広く確認し、影響度と対応策を整理する検査です。当社では、WebアプリケーションやOS・ミドルウェア、サーバー、ネットワーク機器などを対象に、疑似攻撃による診断を提供しています。

ペネトレーションテストとは、攻撃者の視点で疑似的に攻撃を試み、システムへの侵入や重要情報への到達が可能かを検証するテストです。事前に定めた攻撃目標に対して、複数の脆弱性や設定不備を組み合わせ、重要な資産に到達できるかを確かめる点が、脆弱性診断との違いです。事前に合意した範囲とルールのもとで、WebアプリケーションやAPI、VPNなどのリモートアクセス環境、認証基盤などを対象に、侵入経路や権限昇格、重要情報への到達可能性を検証します。弱点を指摘して終わりにせず、事業への影響や改善の優先順位まで整理して報告します。

出典：ＦＦＲＩセキュリティ：脆弱性診断／ＦＦＲＩセキュリティ：ペネトレーションテスト

侵入後の被害拡大にも備える

侵害されたシステムを起点に、ほかの端末やサーバーへ攻撃が広がる「横展開」への備えも欠かせません。通信経路や権限の制限に加え、攻撃の過程でマルウェアが使われる場合には、エンドポイント（パソコンやサーバーなどの端末）での防御が有効な対策の一つになります。

ＦＦＲＩセキュリティが提供する「FFRI yarai」は、パターンマッチングに依存しない「完全ふるまい検知型」のエンドポイントセキュリティ製品です。製品ページでは、「攻撃者の思考を先読みし、新たな攻撃から組織と資産を守ります」と説明しており、未知のマルウェアや、OS・アプリケーションの脆弱性を狙った攻撃への防御を支援します。

一方で、APIのアクセス制御の不備や、正規の機能を悪用した情報の閲覧などは、Webアプリケーションやサーバー側の設計・設定の問題です。エンドポイント製品を導入しても、これらの不備そのものは解消されません。今回のような不正アクセスに対しては、WebアプリケーションやAPI側の対策を土台とし、マルウェアが使われる場面への備えとしてエンドポイント防御を組み合わせる、という役割分担で考えてください。

出典：ＦＦＲＩセキュリティ：FFRI yarai 製品情報

4. 企業が優先して取り組みたいセキュリティ対策

JPCERT/CCの注意喚起、警察庁等の報告、OWASPのセキュリティ指針、今回紹介した事例を踏まえて、確認したい項目を整理しました。一般利用者向けのサービスに限らず、従業員向けシステムやBIツール、管理機能も対象に含めて点検しましょう。

これらの対策は、侵入の防止、攻撃の抑制、被害拡大の防止と、それぞれ役割が異なります。たとえばレート制限や地域制限は、大量の不正なリクエストや想定外の地域からのアクセスを減らす効果があります。ただし、アクセス制御の不備そのものを解消するものではありません。一方、アクセス制御を正しく実装しても、盗まれた正規の認証情報を使ったアクセスは防ぎきれない場合があり、監視やトークンの無効化がそれを補います。それぞれの役割と限界を理解して組み合わせることで、ある対策で防ぎきれない部分を別の対策で補い、全体の防御力を高められます。

点検や対策の進め方に迷ったら、IPAの特設サイトも活用する

IPAは2026年10月16日、不正アクセス対策特設サイトを公開しました。同サイトでは、外部公開アプリケーションの精査、利用している外部サービスの洗い出し、保有データの再点検を、速やかに行うべき点検として挙げています。すでに侵害されている可能性も踏まえ、調査すべき対象を把握できているか、調査できる状態にあるかを確認することが大切です。

また、自社の対策状況を確認する「5分でできる！情報セキュリティ自社診断」や、Webサイトの運用管理、クラウドサービスの安全利用、インシデント対応に関する手引きなども案内されています。前述の対策を具体的な点検や社内手順に落とし込む際の参考になります。

出典：IPA「不正アクセス対策特設サイト」（2026年10月16日公開）

5. 一般利用者が気を付けるべきこと

何が漏えいしたのかを確認する

利用しているサービスで漏えいが公表されたら、まず公式の発表で、どの情報が対象になったのかを確認しましょう。メールアドレスだけなのか、住所や電話番号、本人確認書類の画像まで含まれるのかで、注意すべきことが変わります。

本人確認書類の画像が漏えいした場合は、なりすましに悪用されるおそれがあります。身に覚えのない契約や請求の通知が届いていないか、しばらく注意してください。クレジットカードを登録しているサービスでは、利用明細も定期的に確認しましょう。

不審な連絡は、公式の案内と照合する

情報漏えいに関する通知や、その後に届くメール、SMS、電話には注意してください。実在する企業名や自分の情報が書かれていても、それだけで正規の連絡とは限りません。

メールやSMSのリンクは安易に開かず、普段利用している公式アプリやブックマークした公式サイトから、発表内容や対応方法を確かめましょう。

情報漏えいやその可能性の通知を受け取っていない場合でも、身に覚えのない連絡に対して、パスワードや認証コード、クレジットカード情報などを入力してはいけません。タイムズモビリティやセイコーマートも、パスワードやクレジットカード情報などを聞き出そうとする連絡への注意を呼びかけています。

パスワードの使い回しを避け、認証を強化する

パスワードは、名前や誕生日、単純な文字の並びなど推測されやすいものを避け、長く複雑なものにしましょう。また、複数のサービスで同じパスワードを使い回さないでください。あるサービスから流出したIDとパスワードが、別のサービスへの不正ログインに使われる「パスワードリスト攻撃」の被害を受けやすくなります。長く複雑なパスワードは覚えられませんし、サービスごとに異なるパスワードを管理するのも大変です。その場合には、パスワード管理ツールの利用も有効な選択肢です。

多要素認証が利用できる場合は、有効にしておきましょう。多要素認証とは、パスワードに加えて、スマートフォンに届く確認コードや生体認証など、別の要素を組み合わせて本人を確認する仕組みです。

パスキーに対応しているサービスでは、パスキーへの切り替えも選択肢になります。パスキーは、指紋や顔などの生体認証やPINを使ってログインする仕組みで、パスワードを入力する必要がありません。IPAの「安心相談窓口だより」（2025年8月28日）でも、パスキーの利用を含めた不正ログイン対策が案内されています。

不審なログイン履歴や身に覚えのない操作に気付いたら、サービス提供元の案内に従って、パスワードの変更やアカウントの保護を進めてください。また、使っていないサービスは退会して、登録している情報を減らしておくことも有効です。

もっとも、サービス提供者側のシステムに起因する漏えいは、利用者の努力では防げません。利用者側の対策は、企業側の対策に代わるものではなく、不正ログインや二次被害を抑えるための備えと位置付けるのが適切です。

6. 不正アクセスが疑われた場合の対応

不正アクセスが疑われる場合は、被害の拡大防止と原因調査を並行して進めます。影響が疑われるシステムやアカウントを特定し、社内のセキュリティ担当者や専門機関と連携して、通信制限やアクセス停止の要否を判断します。

その際、原因調査に必要なログや証拠を不用意に消さないでください。 復旧を急ぐあまり、調査前にデータを削除したりシステムを初期化したりすると、侵入経路や影響範囲を特定できなくなるおそれがあります。証拠保全を考慮した初動手順は、平時のうちに決めておきましょう。

復旧にあたっては、脆弱性の修正や設定変更、漏えいが疑われる認証情報の無効化などを行い、原因と再侵入のリスクを確認します。Webシェルなどの不正なプログラムが設置されている可能性もあるため、サービスが再開できたからといって、対応が完了したことにはなりません。

現行の個人情報保護法では、個人データの漏えい、またはそのおそれがある場合には、事案の内容に応じて、個人情報保護委員会への報告や本人への通知が求められます。個人情報保護委員会によると、民間事業者では、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合のいずれかに該当する漏えい等（またはそのおそれ）で、報告が義務付けられています。報告は、発覚日から3$301C5日以内の速報と、原則30日以内（不正の目的によるおそれがある場合は60日以内）の確報の2段階です。行政機関等では要件が一部異なります。調査の全容が判明するのを待たず、初期段階から報告・通知の要否と期限を確認してください。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」

こうした対応を迅速に進めるには、経営層、情報システム部門、法務・広報、委託先などの役割と連絡体制を、技術的な対応のみに終始しないことに留意してあらかじめ明確にしておく必要があります。

判断や初動対応に迷った場合の相談先

IPAは2026年10月16日、不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織を対象に、「不正アクセス特別相談窓口」を開設しました。被害が確定していない段階でも、初動対応について相談できます。

同窓口では、発生している事象を聞き取り、被害発生の可能性や有効な応急処置案について助言するほか、インシデント対応を行う専門業者一覧や、必要な相談・報告先等を紹介します。自社だけでは状況を判断しにくい場合には、こうした窓口を活用し、必要な対応につなげましょう。

※メールへの回答は、翌営業日以降になる場合があります。受付時間などの最新情報は、IPAの特設サイトで確認してください。

不正アクセス以外のインシデントや平時の予防対策などは「企業組織向けサイバーセキュリティ相談窓口」、情報漏えいの被害に遭った個人の対処や対策などは「情報セキュリティ安心相談窓口」で相談を受け付けています。IPAの特設サイトから、相談内容に合う窓口を確認できます。

出典：IPA「不正アクセス対策特設サイト」（2026年10月16日公開）／IPA「不正アクセス特別相談窓口の開設について」（2026年10月16日）

7. まとめ：攻撃経路を把握し、対策の不足を埋める

現代のビジネスにおいて、サイバーセキュリティ対策は単なるリスク回避のための費用ではなく、事業継続と企業の信頼を守るための重要な経営資産（経営資源）そのものです。

2026年9月以降の一連の事例やJPCERT/CCの注意喚起を踏まえると、外部公開システムやAPI、VPN機器、保守用アカウントの弱点を点検することが重要です。見直すべきは、セキュリティ製品の導入状況だけではありません。重要情報に到達するまでの経路にどのような弱点があり、どの対策が欠けているかを確認することが出発点になります。

そのうえで、脆弱性やアクセス制御の不備を解消し、侵害時の被害拡大を抑え、不審な活動を早期に発見できる体制を整えていくことが求められます。

ＦＦＲＩセキュリティは、脆弱性診断やペネトレーションテスト、エンドポイントセキュリティ製品「FFRI yarai」などを通じて、企業のセキュリティ対策を支援しています。自社のシステムを攻撃者の視点で点検し、事業への影響を踏まえて優先順位を付けた改善を進めていきましょう。

関連情報

ＦＦＲＩセキュリティ：脆弱性診断
ＦＦＲＩセキュリティ：ペネトレーションテスト
ＦＦＲＩセキュリティ：FFRI yarai 製品情報

主な参考資料

不正アクセスの事例・注意喚起

JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起（AT260030・2026年10月8日公開、10月9日更新）
JPCERT/CC：MetabaseのSQLインジェクションの脆弱性に関する注意喚起（AT260023・2026年8月14日）
タイムズモビリティ：不正アクセスに関する第2報（2026年9月28日）
タイムズカー：不正アクセスに関する第3報（2026年9月29日）
セイコーマート：「セイコーマートアプリ」への不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ（2026年9月29日）
セイコーマート：「セイコーマートアプリ」への不正アクセスによる個人情報の閲覧に関するお詫びとお知らせ（第四報・2026年10月5日・公式PDF）
デジタル庁：ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について（2026年9月11日）
ムラウチドットコム：弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告（第二報・2026年9月15日・公式PDF）
ScanNetSecurity：ムラウチドットコムに不正アクセス、7,716,811件の個人情報が漏えい
Helpfeel：「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報・2026年9月25日）
東京メトロ：メトポ会員向けサービスにおける不正アクセス事案の発生について（お詫び）（2026年9月27日・公式PDF）
ScanNetSecurity：京王電鉄にランサムウェア攻撃
国家公安委員会・総務大臣・経済産業大臣：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（2026年3月12日・警察庁掲載PDF）
ITmedia ビジネスオンライン：不正アクセス、9月末で600件に（産経新聞配信・2026年10月7日／トレンドマイクロ集計を紹介）

Web/APIの安全性

OWASP：REST Security Cheat Sheet（APIの認証・認可、アクセス制御等）
OWASP：NoSQL Security Cheat Sheet（NoSQLインジェクション等）
OWASP：Credential Stuffing Prevention Cheat Sheet（パスワードリスト攻撃への対策）
Metabase 公式サイト

一般利用者の不正ログイン対策

IPA：不正ログイン対策特集ページ
IPA：安心相談窓口だより「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日／パスキーの利用等）

インシデント対応・報告

IPA：不正アクセス対策特設サイト（2026年10月16日公開）
IPA：不正アクセス特別相談窓口の開設について（2026年10月16日）
IPA：サイバーセキュリティ経営ガイドライン実践のためのプラクティス・ナビ「指示7 インシデント発生時の緊急対応体制の整備」
IPA：プラクティス7-2「従業員の初動対応の規定」
個人情報保護委員会：漏えい等の対応とお役立ち資料
個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン（通則編）

本記事の事例・攻撃手法は2026年10月9日時点の公開情報を基に整理しています。2026年10月16日に、IPAの不正アクセス対策特設サイトと相談窓口に関する情報を追記しました。JPCERT/CCの注意喚起（AT260030）は、2026年10月9日更新版を参照しています。個別事案の調査状況や公表内容は、今後更新される可能性があります。