Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-09-14

2026-09-14（月）配信

セキュリティ脅威情報

■ 脅威動向
特許庁を装った不審メールに注意、ドメイン確認を呼びかけ
特許庁のメールアドレスを騙る不審なメールが出回っている事案です。組織の信頼性を利用したなりすましメールにより、偽サイトへの誘導や添付ファイルを通じた脅威の持ち込みが懸念されます。
対象となる組織・利用者
特許庁とやり取りを行う可能性のある企業、および公的機関を装ったフィッシングやなりすましメールに警戒が必要な組織。
推奨される防御アクション
送信元メールアドレスのドメイン（jpo.go.jp）を厳格に確認する
心当たりのないメールに記載されたURLへのアクセスや添付ファイルの開封を行わない
不審なメールを受信した際は速やかに削除する
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56217.html
SHIRASAGIに複数の脆弱性、アップデート呼びかけ
📰 過去報告：9/11
オープンソースの自治体向けグループウェア「SHIRASAGI」に、クロスサイトスクリプティング（CVE-2026-81635）および認可処理の回避（CVE-2026-82582）の2件の脆弱性が存在します。悪用された場合、任意のスクリプト実行や不正なファイル取得が行われるおそれがあります。
IPAなどによるソフトウェア脆弱性の注意喚起が続いています。対象システムを利用中の場合は最新版へのアップデートを推奨します。
対象となる組織・利用者
SHIRASAGIを利用している自治体や組織。
推奨される防御アクション
開発者が提供する情報をもとに最新版（v1.21.0以降）へアップデートを実施する
該当製品のバージョンを確認し、対象範囲の場合は速やかに対策を講じる
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56215.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 注目事例
🔄 [続報] デジタル庁GSSに不正アクセス、約24.6万件漏えいか
📰 過去報告：9/13
デジタル庁は、運用するガバメントソリューションサービス（GSS）において外部からの不正アクセスを検知したと発表しました。ネットワーク接続機器（VPN）の脆弱性を突かれて侵入され、約24.6万件の個人情報ファイルが外部に漏えいした可能性があります。
9/13 報告分の続報です。
攻撃手法（確認済み）
第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、保守運用担当者のアカウントを悪用してサーバ上の大量のファイルにアクセスしたと報じられています。
攻撃手法（推測）
CVSS値が「中（Medium）」と評価されていた比較的深刻度の低いVPN機器の既知脆弱性や未修正の不具合が狙われた可能性や、保守アカウントの認証情報が何らかの経緯で窃取されていた可能性があります。
自組織チェックポイント
自社で利用しているVPN機器の脆弱性情報やパッチ適用状況を再点検しているか
VPN装置の脆弱性評価（CVSS値が中程度であっても）を軽視せず速やかに対応するフローになっているか
保守運用アカウントに対してMFAやアクセス元制限などの厳格な認証・認可が施されているか
サーバー上の大量ファイルへのアクセスや不審な挙動を検知できるログ監視体制が整っているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56223.html
Weverseサービスに脆弱性、顧客情報が外部流出
WEVERSE JAPANは、韓国インターネット振興院（KISA）からの指摘を受けて社内点検を実施し、Weverseサービスのセキュリティ脆弱性により一部顧客の内部識別情報や購入関連データなど約42万件が流出したと発表しました。同社は決済情報処理APIのアクセス制御強化や全数調査を進めています。
攻撃手法（確認済み）
公表文では決済情報処理APIに関連するセキュリティ脆弱性を突かれ、外部の行為者による不正アクセスによって情報が露出したとされていますが、具体的な攻撃手法の詳細は不明です。
攻撃手法（推測）
APIのエンドポイントに対する適切なアクセス制御や認証・認可が欠如しており、外部から不適切なパラメータ指定や直接アクセスによって不正にデータが取得された可能性があります。
自組織チェックポイント
自社で公開しているAPIのエンドポイントに適切なアクセス制御が実装されているか
APIリクエストに対する認証・認可が確実に行われているか
レスポンスデータに内部識別情報や過剰なデータが含まれていないか
外部向けAPIの全数点検やセキュリティテストを定期的に実施しているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56219.html
大阪市職員、税務システム悪用し還付金詐取で懲戒免職
大阪市あべの市税事務所の職員が、税務事務システムの入力権限を悪用して課税台帳の改ざんや自身の税情報の不正書き換えを行い、不正に還付金を得ていたことが判明しました。同市はこの職員を懲戒免職処分としています。
攻撃手法（確認済み）
職員が保有していた税務事務システムの入力権限を悪用し、自身の税情報の不正な取り消しや書き換え、送付先情報の変更を行って課税台帳を改ざんし、過誤納金還付請求書を行使して不正に還付金を得た。
攻撃手法（推測）
内部不正の典型的な手口として、単一の担当者が入力から承認・還付請求までの全プロセスを単独で完結できる権限構造や、セグメント化されていないシステム設計が背景にあった可能性があります。
自組織チェックポイント
業務システムにおいて、データの登録から承認・変更までを1人で完結できる過剰な権限が与えられていないか
担当者自身の情報や近親者の情報を対象とした変更・閲覧操作に対する監査ログの監視や自動検知の仕組みがあるか
重要なマスターデータや還付・出金に関わる処理に複数人による承認プロセス（4眼原則）が義務付けられているか
業務上必要のない他人の情報へのアクセスを制限するアクセス制御が適切に機能しているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56221.html
ファンくる、リスト型攻撃で不正ログインとポイント交換
株式会社ファンくるが運営する「ファンくる」に対し、外部から約500万回のリスト型攻撃とみられる不正ログインが実行されました。一部会員のマイページが閲覧され、2アカウントで不正なポイント交換が確認されたと第二報で発表されています。
攻撃手法（確認済み）
外部の第三者によるリスト型攻撃（パスワードリスト攻撃）により、約500万回の不正ログイン試行が行われました。
攻撃手法（推測）
他社サービス等から流出したIDとパスワードの組み合わせを自動化ツールで大量に流し込み、認証を突破したと考えられます。
自組織チェックポイント
自社のWebサービスやログイン画面にクレカ・パスワードリスト攻撃対策（ボット対策やCAPTCHA等）が導入されているか
多要素認証（MFA）や二段階認証が実装されているか
連続したログイン失敗を検知して一時ロックする仕組みがあるか
従業員に対し、他サイトとのパスワードの使い回しを禁止する指導を行っているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56222.html
サンメッセのWEB発注システムにサイバー攻撃、一部情報漏えいの可能性
📰 過去報告：9/13
サンメッセ株式会社が利用する購買発注システム「WEB 発注システム」においてサイバー攻撃が判明しました。同社はシステムの利用を一時停止し、一部ユーザー情報の外部流出の可能性があるとして調査を進めています。なお、その後システムは再開されています。
9/13 報告の他社事例と同様、発注に関わるシステムへの攻撃が確認されています。業務に直結する外部公開システムのセキュリティ確認を推奨します。
攻撃手法（確認済み）
公表文ではサーバへのサイバー攻撃とされていますが、具体的な侵入経路や手口の詳細は非公開です。
攻撃手法（推測）
Webアプリケーションや公開サーバーの既知の脆弱性悪用、あるいは認証情報の不正利用などを介して侵入された可能性があります。
自組織チェックポイント
自社で運用または外部委託しているWEB発注システムの脆弱性管理が適切に行われているか
外部公開システムに対するアクセス権限や認証方式（多要素認証など）が強化されているか
委託先のシステム運用管理体制やインシデント発生時の連絡・連携フローが確認されているか
システム異常を早期に検知できるモニタリング体制が整っているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56220.html
■ レポート・解説
個人情報保護委、令和8年Q1の監督状況公表 民間98件指導
個人情報保護委員会は、第367回会合において令和8年度第1四半期の監視・監督状況を公表しました。民間事業者に対しては不正アクセス対策の不備や報告遅延など98件の指導・助言が行われたことが示されています。
発行元：個人情報保護委員会
注目理由：民間事業者がどのようなセキュリティ上の不備で指導を受けているか、また漏えい報告遅延の実態を把握することで、自社の安全管理措置の見直しやインシデント発生時の初動体制の参考になるため。
入手方法：個人情報保護委員会の公式サイト（第367回会合の配付資料）より閲覧可能。URL: https://www.ppc.go.jp/aboutus/minutes/2026/20260902/
出典：https://scan.netsecurity.ne.jp/article/2026/09/14/56211.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-09-14 に配信されました。