Sorabun

セキュリティ

サイトのハッキング対策、国の機関など9つの注意喚起を全部読んで数えた。8機関が挙げたのは「更新」【2026年】

公開 ・ 読了の目安 約15分 ・ Sorabun 編集部

サイトのハッキング対策、国の機関など9つの注意喚起を全部読んで数えた。8機関が挙げたのは「更新」【2026年】

相次ぐハッキングや情報漏えいを受けて、2026年10月、国の機関などが次々と注意喚起を出しました。国家サイバー統括室が10月14日に1つのページにまとめたものだけで、9つあります。

「対策はたくさんあるけれど、結局、何からやればいいの？」。そう思って、9つを全部読み、対策を10の種類に分けて、何機関が同じことを書いているかを数えてみました。

先に結論を書きます。

1. 10月、9つの機関が注意喚起を出した

10月7日の個人情報保護委員会から始まり、9日には国家サイバー統括室・IPA・JPCERT/CC・総務省・経済産業省・金融庁が同じ日に出しました。13日には NICT（情報通信研究機構）がアプリを出す事業者に向けて出し、14日に国家サイバー統括室が、警察庁の便り（10月8日）も含めた9つを1つのページにまとめています。

警察庁の「不正アクセスによる漏えい等事案を踏まえた注意喚起について」のページ。警察庁のサイバー警察局便りと、個人情報保護委員会・国家サイバー統括室・総務省・経済産業省・金融庁の注意喚起が並んでいる（行の間の空白は詰めた）
警察庁（2026年10月16日）
日付 機関
10月7日 個人情報保護委員会（事業者向け）
10月8日 警察庁（サイバー警察局便り。10月23日更新）
10月9日 国家サイバー統括室・IPA・JPCERT/CC・総務省・経済産業省・金融庁
10月13日 NICT（アプリを出す事業者向け）
10月14日 国家サイバー統括室が9つをまとめて掲載

2. いちばん詳しいのは、国家サイバー統括室の文書

中心になっているのは、内閣官房国家サイバー統括室の「不正アクセスによる漏えい等の事案を踏まえた対応について」です。ウェブシステムの管理、委託先などサプライチェーンの対策、データの管理の3つに分けて、対策の箇条が55項目並んでいます。

国家サイバー統括室の文書から、「（１）脆弱性の適切な管理」と「（２）アカウント管理・認証」の箇条。CMS を含むセキュリティパッチやアップデートを速やかに適用する、多要素認証を導入する、管理者アカウントの利用者・アクセス権を必要最小限にする、などが並ぶ（見出しの下の説明の段落は省いた）
国家サイバー統括室（2026年10月9日）

総務省・経済産業省・金融庁・警察庁の4機関は、自分の言葉で書いた対策は短く、この文書を読むように案内しています。たとえば総務省は、国家サイバー統括室から「迅速な脆弱性対応や、多要素認証等の認証機能の強化」などについて注意喚起が行われたと紹介し、同じ内容を所管の事業者に伝えたと書いています。

総務省の注意喚起。国家サイバー統括室から、迅速な脆弱性対応や多要素認証等の認証機能の強化、委託先も含めた対策の徹底について注意喚起が行われ、総務省も所管事業者と関係団体に同じ内容の注意喚起を行ったと書かれている
総務省（2026年10月9日）

3. 実際に数えた：8機関が書いていたのは「更新」

9機関の注意喚起の本文を残し、対策を10の種類に分けて、種類ごとに決めた言葉が1つでも出てくれば「書いている」と数えました。

9機関の注意喚起を数えた結果。更新して穴をふさぐ8機関、ログインを強くする6機関、起きたときの手順を決めておく6機関、ログを見る・委託先も見る・経営者が先頭に立つが5機関、権限を最小限に・外に出す範囲を減らす・要らないデータを持たないが4機関、暗号化が3機関
9機関の注意喚起（2026年10月）を Sorabun が数えた
機関の数 対策の種類 書いていた機関
8 更新して穴をふさぐ 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA・総務省・経済産業省・NICT・警察庁
6 ログインを強くする（多要素認証・パスワード） 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA・総務省・警察庁
6 起きたときの手順を決めておく 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA・経済産業省・金融庁
5 ログを見て、異常に早く気づく 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA・NICT
5 委託先・使っている外部サービスも見る 国家サイバー統括室・IPA・総務省・経済産業省・金融庁
5 経営者が先頭に立つ 国家サイバー統括室・IPA・総務省・経済産業省・金融庁
4 権限とアカウントを最小限にする 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA
4 外に出す範囲を減らす（使わない機能を止める） 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA
4 要らないデータを持たない 国家サイバー統括室・個人情報保護委員会・JPCERT/CC・IPA
3 暗号化する 国家サイバー統括室・個人情報保護委員会・IPA

機関ごとに見ると、10種類すべてを書いていたのは国家サイバー統括室と IPA。個人情報保護委員会が8種類、JPCERT/CC が7種類でした。「更新」を書いていなかったのは金融庁だけで、金融庁の注意喚起は、金融機関に向けて、点検と本人確認の徹底を求める内容でした。

機関ごとに、どの種類の対策を書いていたかの表。国家サイバー統括室と IPA が10種類、個人情報保護委員会が8、JPCERT/CC が7、総務省と経済産業省が4、金融庁が3、NICT と警察庁が2。総務省・経済産業省・金融庁・警察庁は国家サイバー統括室の文書を案内している
9機関の注意喚起（2026年10月）を Sorabun が数えた

数え方と、読み方の注意

機関 種類の数 書いていた種類（数えた言葉）
国家サイバー統括室 10 更新（「セキュリティパッチ」）・ログイン（「多要素認証」）・手順（「インシデントが起きた場合の対応態勢」）・ログ（「ログを適切に取得」）・委託先（「委託先」）・経営者（「経営層」）・権限（「アクセス権を必要最小限」）・公開（「利用していないシステムや機能は停止・削除」）・データ（「利用目的を終えた情報は速やかに削除」）・暗号化（「暗号化」）
個人情報保護委員会 8 更新（「セキュリティ対策用修正ソフトウェアの適用」）・ログイン（「多要素認証」）・手順（「被害が広がらないよう」）・ログ（「ログ等の定期的な分析」）・権限（「アクセス権限を最小化」）・公開（「特定のIPアドレスからのみ」）・データ（「不要となった個人データの消去」）・暗号化（「暗号化」）
JPCERT/CC 7 更新（「修正済みのアップデート」）・ログイン（「多要素認証」）・手順（「初動対応」）・ログ（「不正アクセス検知体制」）・権限（「必要最小限の権限」）・公開（「公開を停止」）・データ（「利用目的を終えたデータを残さない」）
IPA 10 更新（「脆弱性対応パッチ」）・ログイン（「多要素認証」）・手順（「インシデント対応を進めて」）・ログ（「ログに異常が記録されていないか」）・委託先（「委託先」）・経営者（「経営者」）・権限（「権限付与の見直し」）・公開（「外部公開範囲の見直し」）・データ（「不要な情報は持たない」）・暗号化（「暗号化」）
総務省 4 更新（「迅速な脆弱性対応」）・ログイン（「多要素認証」）・委託先（「委託先」）・経営者（「経営層」）
経済産業省 4 更新（「脆弱性情報の早期把握と対応」）・手順（「被害が発生した場合」）・委託先（「委託先」）・経営者（「組織のトップによる主導」）
金融庁 3 手順（「インシデントが起きた場合の対応態勢」）・委託先（「サードパーティリスク管理」）・経営者（「経営陣」）
NICT 2 更新（「脆弱性の点検」）・ログ（「侵害の確認」）
警察庁 2 更新（「ソフトウェア更新」）・ログイン（「パスワードの強度」）

4. 各機関は何と書いている？

IPA：まず「ログ」と「未適用の修正」を点検

IPA は「速やかに行うべき点検」として、外に公開しているアプリケーションやサービスの直近のログに異常が記録されていないか、未適用の脆弱性対応パッチがないかを確かめるよう求めています。異常なログやアカウントが見つかったら、速やかにセキュリティインシデントと判定し、対応を進めるよう書いています。

IPA の注意喚起の「外部に公開しているアプリケーションの精査」。外部公開アプリケーションやサービスがあるかを確認、直近のログに異常が記録されていないか確認、未適用の脆弱性対応パッチがないか確認して速やかに適用する
IPA（2026年10月9日）

JPCERT/CC：汎用的な対策は7つ

JPCERT/CC は、報告されている攻撃の手口をもとに、API 経由のアクセスへの対策6つと、汎用的な対策7つ、合わせて13項目を挙げています。

JPCERT/CC の注意喚起の汎用的な対策7項目。アクセス元の地域を制限する、修正済みのアップデートを適用する、横展開対策を見直す、不正アクセス検知体制と初動対応を見直す、顧客への二次被害防止の呼びかけ、業務上必要のない管理機能などの公開を停止する、保存期間を過ぎたデータを残さない
JPCERT/CC（2026年10月23日更新）

個人情報保護委員会：多要素認証と、修正の適用

個人情報保護委員会は、ガイドラインで見直す予定の内容を先取りして示しました。管理者権限でのアクセスなどでは「多要素認証（フィッシングに耐性のあるものを含む。）を導入する」、サーバーなどの OS やアプリケーションには修正ソフトウェアを適用して最新の状態にする、などの例が並んでいます。

個人情報保護委員会の注意喚起の別紙から2つの例示。組織外ネットワークからのアクセスや管理者権限でのアクセスでは多要素認証（フィッシングに耐性のあるものを含む）を導入する、自動更新機能の活用やセキュリティ対策用修正ソフトウェアの適用でソフトウェア等を最新状態とする（2つの例示の間は省いた）
個人情報保護委員会（2026年10月7日）

警察庁：更新と、パスワードの強さ

警察庁のサイバー警察局便りは、企業や団体に向けて「ネットに接続する機器のソフトウェア更新」と「パスワードの強度確保」を挙げています。

警察庁のサイバー警察局便り Vol.19 の「企業や団体の皆様へ」。ネットに接続する機器のソフトウェア更新、パスワードの強度確保など。各機関による注意喚起が行われていると案内している
警察庁（2026年10月23日更新）

経済産業省は「①組織のトップによる主導、②脆弱性情報の早期把握と対応、③「ゼロトラスト」への移行」を、NICT は Android アプリを出す事業者に「侵害の確認」「脆弱性の点検」「暫定的な緩和策」の3種を、金融庁は金融機関に、サードパーティリスク管理やインシデントが起きた場合の対応態勢も含めた点検を求めています。

5. 10月の例①：PHP の穴は「更新」で直す

IPA は10月22日、PHP の2つの脆弱性（PHP2shell）について、悪用された場合「遠隔の第三者によって、任意のコード実行が実行される可能性があります」として、対策を呼びかけました。対策は、直された版（8.2.35・8.3.36・8.4.27・8.5.12）への更新です。WordPress のサイトなら、レンタルサーバーの会社のお知らせを見て、使っている PHP の版が直っているかを確かめてください。

IPA の PHP の脆弱性の注意。悪用された場合、遠隔の第三者によって任意のコード実行が実行される可能性があり、2つの脆弱性の組み合わせは PHP2shell と呼ばれている
IPA（2026年10月22日）

6. 10月の例②：UpdraftPlus の提供元に不正アクセス

WordPress のバックアップのプラグイン UpdraftPlus（WordPress.org の数字で300万以上のサイトで利用）の提供元 TeamUpdraft は、10月19日に自社のサイトへの不正アクセスを発表し、10月23日まで更新を続けています。発表によると、攻撃者はサイトを管理するための接続（UpdraftCentral）を使って、利用者のサイトに管理者のアカウントを作ったり、悪いプラグインを入れたりしました。どこまで広がったかは分からないとしています。

TeamUpdraft の発表。10月19日に出した UpdraftPlus の更新（1.26.13 と 2.26.13）は UpdraftCentral の接続の鍵を取り消して自動で切断する。攻撃者は利用者のサイトへの接続を使って管理者のアカウントを作り、悪いプラグインを入れるなどしたので、思いがけないプラグインや操作、ユーザーが無いか確かめてほしいと書かれている
TeamUpdraft（2026年10月19日・10月23日更新）

直された版（無料版 1.26.13・プレミアム版 2.26.13）は10月19日に出ていて、古い接続の鍵を自動で無効にします。提供元は、WordPress.org から利用者のサイトに自動で配られたとしています。また、思いがけない「編集者」のユーザーが増える傾向があるとも書いています（10月22日の追記）。日本では、ロリポップが10月21日に注意喚起を出しました。

ロリポップの注意喚起。UpdraftPlus の運営元 TeamUpdraft の Web サイトへの不正アクセスで UpdraftCentral の接続キー（秘密鍵情報）が流出したインシデントが公表され、漏洩した接続キーで不正なプラグインをインストールされる可能性があるため、UpdraftCentral 機能を使っている人に対策を求めている
ロリポップ！（2026年10月21日）

「攻撃者が AI を使って攻撃を速めた」という記述もありますが、提供元の推測として書かれています。

2つの例を、9機関の対策の種類で読み直すと、次のようになります。

対策の種類 10月の例では
更新 PHP もプラグインも、直された版へ
委託先 プラグインの提供元のお知らせも見る
権限 知らない管理者・編集者がいないか
ログ 入れた覚えのないプラグインや、知らないログインがないか

7. あなたの WordPress で、今日やること

9機関の注意喚起の対策を、WordPress のサイトに置きかえると、今日やることは次の6つです。

  1. WordPress 本体・プラグイン・テーマ・PHP を最新にする（更新・8機関）
  2. 管理画面に2段階認証を入れ、パスワードを強くする（ログイン・6機関）
  3. ユーザーの一覧を開き、知らない管理者や使っていないアカウントを消す（権限・4機関）
  4. 使っていないプラグインは、止めるだけでなく消す（外に出す範囲・4機関）
  5. ログインの記録を見る（ログ・5機関）
  6. 何かあったときに、サイトを止める手順と、サーバー会社・制作会社への連絡先を決めておく（起きたときの手順・6機関）

会社のサイトなら、さらに3つ。問い合わせや会員の古いデータなど要らない顧客データを消す（4機関）、サーバー会社・制作会社・プラグインの提供元といった委託先も確かめる（5機関）、だれが決めて、だれが直すかを決める（経営者が先頭に立つ・5機関）。

よくある質問

対策が多すぎて、どれからやればいいか分かりません。

9機関のうち8機関が書いていたのは「更新」でした。まず WordPress 本体・プラグイン・テーマ・PHP を最新にし、次に管理画面の2段階認証と、起きたときの手順を決めることから始めてください。

小さなサイトでも、国の機関の注意喚起は関係ありますか？

注意喚起は主に、大量の個人情報を扱う事業者に向けたものです。ただ、更新・ログインの強化・使わない機能を止めるといった対策は、サイトの大きさに関係なく効きます。10月の PHP の穴や UpdraftPlus の件のように、小さなサイトも同じソフトウェアを使っています。

数えた結果は、どこまで正確ですか？

種類ごとに決めた言葉が本文に出てくるかで数えたので、同じ意味でも言い方が違えば数えていません。数えた言葉は3章の表に、前後の文は shots/measure.json に残しています。

まとめ

出典（2026年10月26日に確認）

対策の種類ごとの機関の数は、各機関の注意喚起の本文を私たちが数えたものです（数え方は コンテンツ/hacking-measures-2026/shots/measure.py）。

関連するコラム

セキュリティ 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。 セキュリティ 【2026年】WordPressの保守・セキュリティ対策を徹底解説！ 2026年はWordPress本体の重大な脆弱性（wp2shell・CVE-2026-87902）が続きました。数字で見るいまの状況、まず5分でできる確認、今日からの基本の対策、保守のスケジュール、乗っ取りのサインと初動まで、一次情報をもとに解説します。 セキュリティ AIが自動でハッキング、3時間で管理者権限まで？ マイクロソフトの発表と日本の注意喚起で確かめ、対策30項目を数えた【2026年】 マイクロソフトは、中国の国家と連携する攻撃者がAIツールARTEXで攻撃を自動化し、数百の組織を狙ったと発表。日本でもJPCERT/CCが注意喚起。すすめられた対策30項目を数えると、AIの名前が出るのは2つだけでした。今日やることまで。

コラムの一覧へ