IPAが不正アクセスの緊急点検を要請、特別相談窓口も開設｜ログ・アカウント・保有データの見直し、中小企業にとっての意味
IPA（情報処理推進機構）は2026年10月9日、国内で不正アクセスによる情報漏えいの公表が相次いでいることを受け、企業に外部に公開しているシステム・使っている外部サービス・保有データの点検を求める注意喚起を出しました。10月16日には「不正アクセス対策特設サイト」を開設し、被害を受けた、または受けた可能性がある企業向けの特別相談窓口も設けています。
⏱ 忙しい人向け 3行まとめ
- 事実：IPAが10月9日に注意喚起。外部公開のアプリ・外部サービス（クラウド・VPNなど）・保有データの3点を点検し、ログは直近1か月→3か月と段階的に確認するよう求めた。10月16日に特設サイトと不正アクセス特別相談窓口（事業者向け）を開設
- 意味：主な対象は大量の個人情報などを持つ組織だが、点検の中身（ログイン履歴・知らないアカウント・不要なデータ）は中小企業にもそのまま使える
- アクション：使っているクラウドサービスを書き出す／管理画面のログイン履歴と身に覚えのないアカウントを確認する／多要素認証を入れる／おかしな点があれば相談窓口へ
発表の事実
IPAが公表したのは、不正アクセスへの備えとして急いで点検してほしい項目をまとめた注意喚起です。IPAの注意喚起ページと特設サイトで確認できた内容は次のとおりです（出典：IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」、2026年10月22日確認）。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月9日（追記すべき情報があれば随時更新すると案内） |
| 背景 | 金融機関や通信事業者などを含む国内の事業者で、不正アクセスによる情報漏えいの公表が相次いでいる。IPAは、現段階では特定の製品やサービスの脆弱性を狙った攻撃とは断定されておらず、外部に公開しているシステムやアカウントの侵害が起点とみられる、としている |
| 主な対象 | 大量の情報や機微な情報を持つ組織の経営者。サイバーセキュリティのリスクを経営の重要課題として扱い、経営層が主導して対応するよう求めている |
| 点検1：外部公開のアプリ・サービス | 自社で構築・運用している外部公開のアプリやサービスを洗い出し、直近のログに異常（エラーの急増など）がないかを確認。未適用の修正プログラムがあれば早急に適用 |
| 点検2：使っている外部サービス | クラウドやVPNなど、会社・部署単位で使っている外部サービスをすべて洗い出す。ログイン失敗、見慣れない接続元、ふだんと違う時間帯のログインがないかを確認。作った覚えのないアカウントや、削除・無効にしたはずのアカウントが有効に戻っていないかも確認。ログの保存期間と、誰が見られるかも把握する |
| 点検3：保有データ | 持っているデータを見直し、必要なものだけを残し、保存場所を把握する |
| ログの確認範囲 | 直近1か月、その後3か月というように、段階的に範囲を広げて確認する |
| 異常が見つかったら | セキュリティ事故として直ちに対応し、詳しい調査は専門のセキュリティ事業者への依頼を強く推奨 |
| 異常がなくても | 多要素認証などの認証の強化、権限・外部連携・ログ設定の見直し、データの暗号化などを検討。委託先なども含めて対策を進める |
あわせてIPAは2026年10月16日に「不正アクセス対策特設サイト」を公開しました（10月20日にセミナー情報を更新）。特設サイトで案内されている相談窓口は次のとおりです（出典：IPA「不正アクセス対策特設サイト」、2026年10月22日確認）。
- 不正アクセス特別相談窓口（事業者向け）：不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織が対象。緊急の対応への助言や、事故対応ができる事業者の一覧の案内など。電話は平日9:30〜17:30（12:00〜13:00を除く）、メールも受け付け
- 特設サイトには「5分でできる！情報セキュリティ自社診断」など無料のチェックシートも掲載
中小企業にとっての意味
中小企業にとっての意味は、「大企業向けの話」と流さず、自社の規模に合わせた点検の手順として使えることです。ここからは、IPAの公表内容をもとにしたAI導入参謀の解釈です。
1つめは、点検の対象が「自社で作ったシステム」に限らない点です。社内にサーバーを置いていない会社でも、会計・勤怠・顧客管理・メール・ファイル共有などのクラウドサービスや、テレワーク用のVPN機器を使っていることは多いはずです。注意喚起の点検2は、まさにこのふだん使っているクラウドサービスのログインとアカウントを見直す内容で、情報システム担当がいない会社でも、管理画面から確認できる項目が中心です。
2つめは、「知らないアカウント」「消したはずのアカウント」を確認するよう求めている点です。退職した人のアカウントが残っていたり、外注先に一時的に渡したアカウントがそのままになっていたりするのは、少人数の会社ほど起きやすいことです。今回の点検は、アカウントの棚卸しをする良いきっかけになりそうです。
3つめは、「持っているデータを減らす」ことも対策に入っている点です。使わなくなった顧客リストなどは、持っていなければ漏れることもありません。
一方で、ログを細かく読み解くのは、専門の担当者がいない会社には負担が大きい作業です。完璧を目指して手が止まるより、まず管理画面のログイン履歴をざっと見る、おかしいと感じたら相談窓口に電話する、くらいの温度感で始めるのが現実的とみられます。
「うちは狙われない」とは言いにくい
今回の背景にあるのは大きな組織の公表事例ですが、侵入の起点とみられているのは「外部に公開しているシステムやアカウント」です。クラウドサービスやVPN機器は会社の規模に関係なくインターネットにつながっているため、点検の考え方は中小企業にもそのまま当てはまります。
今やるべきこと
今やることは、使っているサービスの洗い出し、ログインとアカウントの確認、多要素認証の設定の3つを、今月中に一度やってみることです。
- 会社で使っているクラウドサービス（メール・会計・勤怠・顧客管理・ファイル共有など）とVPN機器を一覧に書き出し、それぞれの管理者が誰かを決める
- 各サービスの管理画面で、直近1か月のログイン履歴に見慣れない場所・時間帯のログインがないか、作った覚えのないアカウントや退職者のアカウントが残っていないかを確認する
- 多要素認証（パスワードに加えてスマホの確認コードなどを使う仕組み）が使えるサービスは、管理者アカウントから順に設定する
- おかしな点が見つかったら、自己判断で消したり初期化したりする前に、IPAの不正アクセス特別相談窓口に相談する
何から手をつけるか迷う場合は、中小企業のセキュリティ対策ガイド｜まずやる5つと費用で、最初にやる対策と費用の目安を整理しています。点検や監視を外部に任せたい場合は、IPAが登録する「サイバーセキュリティお助け隊サービス」を補助金で導入する方法もあります（セキュリティ対策の補助金）。補助金の対象・上限・締切は公募回で変わるため、最新は事務局の公式サイトで確認してください。
出典
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
- IPA「不正アクセス対策特設サイト」（2026年10月16日公開・10月20日更新）
- IPA「企業組織向けサイバーセキュリティ相談窓口」
※本記事は2026年10月22日時点の公開情報にもとづきます。IPAの注意喚起は随時更新される予定です。相談窓口の受付時間・連絡先などの最新は、IPAの公式サイトで確認してください。