IPAが経営者に「至急点検」を要請。相次ぐサイバー攻撃と情報流出から考える、中堅・中小企業の「守る順番」とSaaS戦略

2026年10月13日

タイムズカーの約660万アカウント流出。問われるのは、IT担当者の技術力だけではない。

2026年10月9日、独立行政法人情報処理推進機構（IPA）は、国内で不正アクセスによる情報漏えいの公表が相次いでいるとして、経営者のリーダーシップのもと、セキュリティ対策の点検・見直しを至急実施するよう呼びかけた。対象は自社で構築した外部公開システムだけではない。利用中のクラウドなどの外部サービス、アカウント、そして保有している個人情報まで、点検範囲は広い。[1]

これは情報システム部門だけへの注意喚起ではない。顧客情報が流出したとき、受注や出荷が停止したとき、その損失と説明責任を引き受けるのは経営だからである。企業規模を理由に「自社はサイバー攻撃の標的にならない」と考える余地は、急速に小さくなっている。

【タイムズカーで、運転免許証画像を含む本人確認書類が流出】

サイバー攻撃による被害の深刻さを象徴するのがタイムズカーの事例だ。パーク24は2026年9月28日、約660万アカウントの情報漏えいを確認したと公表。翌29日には、そのうち約160万アカウントで運転免許証画像などの本人確認書類が漏えいしたと明らかにした。会員情報には氏名、住所、生年月日などが含まれる。なお、同社は9月28日時点で本件によるサービス提供への影響は確認されていないと説明している。[2][3]

運転免許証の画像は、メールアドレスのように容易に変更できるものではない。漏えい時に生じ得る本人確認情報の悪用、偽装連絡への警戒、顧客対応の長期化を考えれば、「必要だから集めた」というだけでは不十分だ。そもそも、どの情報を、どの期間、どの場所に保管する必要があるのか。保有すること自体が経営上のリスクなのである。

同じ10月9日には、ブックオフが会員情報の最大約643万件に関する漏えいを公表した。この数字は「人の数」ではなく、会員番号等を単位とする件数として扱う必要がある。[4] 旅行予約サービス「skyticket」を運営するアドベンチャーは、約1,464万件の顧客情報が流出または流出したおそれがあると発表し、そのうち約413万件にはハッシュ化されたログインパスワードが含まれるとした。[5] またディップは「バイトル」等の利用者のメールアドレスについて、最大約389万件に漏えいの可能性があると発表している。[6]

このほか同日には、JR東日本とビューカードが計約609万件、第一興商が約872万件の利用者情報について流出のおそれを公表し、前日の8日にはローソンも約215万件の漏えいを公表している。[14][15]

被害は情報漏えいに限らない。アサヒグループは2025年のサイバー攻撃を受けて、受注・出荷に関わるシステムの停止と手作業対応を余儀なくされた。復旧過程では商品供給にも影響が生じた。[7] 顧客への信用と、事業を止めない能力。この二つを同時に守る必要がある。

【AIがサイバー攻撃を容易にする一方、現場で突かれるのは「管理のすき間」】

AIの悪用によってサイバー攻撃の準備や試行が容易になり、手口が巧妙化する懸念は確かにある。IPAの「情報セキュリティ10大脅威 2026」では「AIの利用をめぐるサイバーリスク」が組織編の3位に初めて選ばれた。ただし、この順位にはAI利用による意図しない情報漏えいなども含まれ、直近の各事件がAIによる攻撃だったと証明するものではない。[8]

実際に重要なのは、攻撃者が入り込める管理不備を減らすことだ。JPCERT/CCは2026年10月、公開サービスの既知の脆弱性や管理不備への攻撃、管理用APIの悪用などに注意を促した。[9] 狙われるのは大企業の特殊なシステムだけではない。自社開発のWebアプリケーション、パッケージソフトを自社サーバーに設置した仕組み、レンタルサーバー上の業務システム、外部公開された管理画面、更新が止まったWebサイトなど、実態は多様である。

ここで区別したいのは「クラウドに置いている」と「SaaSとして利用している」は同じではない、という点だ。レンタルサーバーやIaaS上に自社でアプリケーションを設置していれば、OS、ミドルウェア、アプリケーションの更新や設定の相当部分を自社側が担う。一方、一般的なSaaSでは、アプリケーションや基盤の運用の多くをサービス提供者が担う。危険なのは独自開発という言葉ではなく、保守・監視・更新の責任者と実施状況が曖昧な状態なのである。[10]

【経営者が決めるべきは、「何を守るか」ではなく「どこから守るか」】

限られた人員と予算で、すべてのシステムをサイバー攻撃から同じ深さで守ることは難しい。だからこそ経営者は、「漏れたら取り返せない情報」と「止まったら事業が回らない業務」を起点に優先順位を決めたい。

第一に、顧客・従業員などの機微な情報。本人確認書類、決済関連情報、顧客名簿、給与・人事情報、取引条件などを棚卸しし、不要な保有や複製を減らす。顧客情報を扱うCRM（顧客関係管理）、会員管理、問い合わせ管理は優先対象となる。

第二に、止まれば売上・資金繰りが止まる業務。受発注、在庫、請求、会計、支払い、配送、生産といった基幹業務の復旧時間を定め、バックアップだけでなく復元訓練と代替手順を整える。

第三に、侵入口になり得る外部公開システム。コーポレートサイト、採用サイト、ECサイト、WordPressなどのCMS、会員サイト、予約システム、VPN、管理画面、APIを点検する。Webサイト経由で必ず社内全体に侵入されるわけではないが、構成・認証・ネットワークのつながり次第では影響が広がる。更新されていないプラグインや不要な公開機能は早急に見直したい。

優先順位は固定のランキングではない。外部公開システムに重大な脆弱性が見つかれば、顧客データや基幹業務の保護と並行して即時に封じる。その判断を可能にする「資産一覧・責任者・緊急時の意思決定ルート」が必要だ。

図1　サイバー攻撃に備える「守る順番」の3つの起点（筆者作成）

【「すべて自社で守る」から、「守る責任を設計する」へ】

中堅・中小企業にとって、信頼できるSaaSへの移行は有力な選択肢である。サービス提供者がアプリケーションの更新、基盤の保守、監視などを広く担うため、自社の担当者が個別サーバーの管理に割く工数を減らせる場合がある。IPAも、自前のサーバー管理からクラウドサービスへ移り、管理負担の軽減につなげた実践事例を紹介している。[11]

ただし、SaaSならサイバー攻撃で侵入されない、必ず安くなる、という意味ではない。実際の効果は、提供者の管理水準、利用料金、移行費用、カスタマイズや連携の要件による。加えて、ID・多要素認証、利用者権限、外部共有設定、API連携、データの保存期間、障害時の対応などは利用企業側に責任が残る。IPAのSaaS調査も、設定ミスや委託先のリスクを明確に指摘している。[12]

移行先の候補は、特定の製品ではなく業務領域から考えたい。顧客情報ならCRM・会員管理、受発注や在庫なら販売管理・ERP、支払いならクラウド会計・請求管理、人事情報なら勤怠・給与・人事労務、重要文書なら文書・契約管理、認証と権限ならID管理（IDaaS）。会社のWebサイトも、更新頻度が低ければ静的サイト、頻繁な更新が必要なら適切に保守できるCMSやマネージドサービスなど、実際の運用能力に合った方式を選べる。

選定時には、セキュリティ認証や第三者監査資料、障害時の連絡体制、多要素認証、操作ログ、データのエクスポート、バックアップと復元、サービス終了時の移行手段まで確認する。クラウド事業者自身もサイバー攻撃や障害に遭い得る。2026年10月にはIDCフロンティアが、同社のクラウドサービスに対する不正アクセスによる障害を公表している。[13] 外部に任せるのは「運用の一部」であり、事業継続の責任まで手放すことではない。

【まず72時間、次の30日、そして90日で何を変えるか】

経営者が今日から着手すべきことは、技術製品を一斉購入することではない。最初の72時間で、公開システムと利用SaaSの一覧、管理者アカウント、重大な未更新箇所、保有する重要データ、バックアップの所在を確認する。緊急性の高い脆弱性や不審なアクセスが見つかれば、専門家とともに封じ込め・調査を先行させる。

30日以内には、重要システムの多要素認証と権限を整理し、不要な公開機能や古いアカウントを閉じ、バックアップが実際に復元できるかを試す。サイバー攻撃で受発注や請求が止まった際の手作業手順も決める。90日を目安に、保守負担が大きく停止・漏えい時の損失が大きいシステムから、SaaS化・マネージド化・再構築の選択肢を比較し、予算と担当者を付けた移行計画に落とし込む。

図2　まず72時間、次の30日、90日で着手すること（筆者作成）

サイバー攻撃への備えは、もはやIT担当者だけの課題ではない。経営者が決めるべきことは明快だ。顧客に預かった情報を最小限にし、事業が止まらない仕組みを作り、専門性が必要な運用を適切に外部へ委ねる。すべてを自社で守ろうとするのではなく、何を優先し、誰がどう守るかを設計する。その意思決定こそが、いま求められる経営戦略なのである。

＞＞サイバー攻撃対策・SaaS活用のご相談はこちらから