不正アクセス事件まとめ2026年11月｜手口と企業の初動対応

不正アクセスへの初動で最初に決めるのは、端末をネットワークから切り離すこと、証拠を保全すること、報告期限の時計がいつ動き出したかを確かめることの3つです。2026年11月2日時点では、11月に発生・公表された事案は件数も詳細もまだ出そろっていません。そこで、確かな情報源の見方、主な手口、企業の初動、AX推進で増えるリスクを、公的機関の資料と実務の判断基準からまとめます。前月までの事案は2026年10月の国内セキュリティ事件まとめで確認できます。

2026年11月の不正アクセス事件はどこで確認すべき？

月次の事案は、被害企業の公式発表と公的機関の注意喚起という一次情報で確認するのが基本です。SNSや報道で知った事案も、一次情報に戻って事実を確かめてから社内に共有します。事例を読む前に、AXの全体像をAXとは？DXとの違いと5層の構成要素で確認できます。

一次情報として優先する情報源は？

優先するのは、被害企業の適時開示・公式発表と、JPCERT/CC・IPA・個人情報保護委員会の公表資料です。リークサイトへの掲載やSNSの投稿は、出所がはっきりしない「報道/推測」として扱います。

社内向けの月次レポートを作る際には、事案ごとに「公表日」「公表主体」「確定している被害」「調査中の項目」を分けて記録することを勧めます。初報の段階では「調査中」とされる項目が多く、後から続報で被害範囲が広がることがよくあるためです。

月次まとめを読むときの注意点は？

月次まとめで見るべきなのは件数ではなく、自社にも同じ侵入経路があるかどうかです。業種や企業規模が違っていても、使っている機器や委託先が同じなら影響を受けるおそれがあります。

確認するときは、次の順番で照らし合わせると漏れが少なくなります。

1. 事案で悪用された製品・サービス（VPN機器、クラウドストレージ、SaaS等）を自社で使っているか
2. 被害企業が自社の委託先や取引先ではないか（サプライチェーン経由の影響）
3. 公表された侵入経路への対策が、自社でも実際に運用されているか

2025年秋には、国内の大手企業がランサムウェア被害による受注・出荷の停止を相次いで公表しました（アサヒグループホールディングス、アスクルなど）。物流や受発注のシステムが止まると、被害企業と取引のある会社の業務まで止まります。月次まとめは、取引先リストと突き合わせて読むのが実務的です。

不正アクセスの主な侵入経路と手口は？

侵入経路として多いのは、VPN機器などの脆弱性、窃取された認証情報、委託先・サプライチェーン経由の3つです。最初の侵入口を特定できれば、優先して対策すべき箇所も決まります。

公的機関の資料で上位に挙がる脅威は？

IPA「情報セキュリティ10大脅威 2025（組織編）」では、1位がランサムウェア、2位がサプライチェーンや委託先を狙った攻撃でした。上位の脅威は、どれも外部からの侵入をきっかけに広がります。

出典：IPA「情報セキュリティ10大脅威 2025」（2025年1月公表、組織編）。この順位はIPAの選考会による評価で、被害件数の多い順ではありません。

警察庁の公表資料によると、2024年（令和6年）に全国の警察が把握したランサムウェアの被害報告は222件でした。感染経路は、VPN機器とリモートデスクトップが多くを占める傾向が続いています。ただし、これは警察に報告された件数なので、報告されなかった被害は含まれていません。

最近目立つ手口の特徴は？

最近の手口では、侵入してから暗号化するまでの間に、データを窃取して二重に脅迫するのが一般的です。バックアップから復旧できても、窃取されたデータの漏えいリスクは残ります。

• 認証情報の悪用：フィッシングや情報窃取型マルウェアで盗まれたID・パスワードで、正規の利用者になりすまして侵入する
• 境界機器の脆弱性：パッチを当てていないVPN機器やファイアウォールが入口になる
• 正規ツールの悪用：遠隔管理ツールなど、正規のソフトウェアを使って社内を横に移動し、検知を逃れる
• 二重恐喝：暗号化の前にデータを持ち出し、「公開する」と脅して身代金を要求する

運用の現場でよく聞くのは、境界機器をいつ更新するかが、保守ベンダーとの契約や停止できる時間帯の調整に引きずられて遅れるという話です。「脆弱性情報が出てから当てるまでの期間」を、ベンダー任せにせず自社のKPIとして持つことが、最初の改善策になりやすいと考えます。

不正アクセスが発覚したとき企業は何をすべき？

発覚したときは、被害の拡大を止める封じ込め、証拠の保全、法令に基づく報告の3つを同時に進めます。手順をあらかじめ決めておかないと、判断が遅れて被害が広がります。

発覚から72時間の初動手順は？

最初の72時間では、端末を切り離すこと、ログを保全すること、関係者に連絡することを優先します。端末の電源をすぐに切ると、メモリ上の証拠まで失われることがあるため注意が必要です。

1. 検知・一次判断（〜数時間）：アラートや通報の内容を確かめ、インシデント対応の責任者に連絡する
2. 封じ込め：感染が疑われる端末をネットワークから切り離す（電源は切らない）。侵害されたアカウントを停止し、認証情報をリセットする
3. 証拠保全：各種ログ・メモリ・ディスクのイメージを保全し、作業した内容を時系列で記録する
4. 影響範囲の調査：漏えいしたおそれのあるデータの種類・件数・本人の範囲を絞り込む
5. 外部への連絡：フォレンジック事業者、警察（都道府県警察のサイバー犯罪相談窓口）、契約しているサイバー保険会社に連絡する
6. 報告・公表の判断：個人情報保護委員会への速報、取引先・本人への通知、適時開示が必要かを判断する

身代金に応じるかどうかの判断や、脅迫を受けたときの対応は、ランサムウェア・脅迫を受けた企業の対応プレイブックで詳しく整理しています。

法令上の報告期限は？

個人情報保護法では、報告対象となる漏えい等を知ってから、概ね3〜5日以内に速報、30日以内に確報を個人情報保護委員会へ出す必要があります。不正アクセスのように不正な目的によるおそれがある事案では、確報の期限は60日以内です。

報告が必要になるのは、要配慮個人情報、財産的被害のおそれがあるもの、不正な目的によるおそれがあるもの、1,000人を超えるものの漏えい等（おそれを含む）です（個人情報保護法施行規則第7条）。「確定してから報告する」と考えていると、期限を過ぎてしまいがちです。「おそれ」の段階で報告対象になるかどうかを判断する、と社内規程に書いておくべきです。

AX推進で増える不正アクセスリスクは？

AX推進で生成AIやAIエージェントを導入すると、外部とつながる接続点と、権限を持つ「人ではないID」が増えます。その結果、従来の境界防御では見えにくい侵入経路が生まれます。

生成AI・AIエージェント特有の攻撃面は？

代表的な攻撃面は、プロンプトインジェクション、機密情報の出力、AIエージェントへの過剰な権限付与の3つです。OWASPは、いずれもLLMアプリケーションの主要リスクに挙げています。

AX推進の現場で起きやすいのは、PoCの段階で「とりあえず管理者権限のAPIキー」を発行し、本番に移ってもそのまま使い続けてしまうことです。APIキーやサービスアカウントは、利用者が退職しても無効化されません。そのため、棚卸しの対象から外れやすいと感じています。詳しい対策は生成AIのセキュリティリスクと対策を参照してください。

AX導入時に確認すべき項目は？

導入を判断する前に、AIに渡すデータの範囲、AIエージェントに与える権限、ログを残すことと監視の3点を書面で確定させます。この3点が決まらないまま全社に展開するのは避けるべきです。

1. データの範囲：RAGやAIエージェントがアクセスできるデータに、個人情報・機密情報が含まれるか。元データを更新する責任者は誰か
2. 権限：読み取りだけか、書き込み・外部送信まで許すか。どの操作で人の承認を必要とするか
3. ログと監視：プロンプト・ツールの呼び出し・出力を保存しているか。異常を検知したときに誰へエスカレーションするか
4. 委託先：ベンダー（OpenAI、Anthropic、Microsoft、Google等）の法人向けプランで、データの保存期間と学習に使われるかどうかを契約上確認したか

AIエージェントの権限設計とガバナンスの考え方は、AIエージェントガバナンスで比較・整理しています。

再発防止で経営層が判断すべきことは？

経営層が判断すべきなのは、技術的な対策の細かい中身ではありません。止めてよい業務の範囲、投資の優先順位、公表方針の3つです。これらは現場には決められないため、経営判断としてあらかじめ決めておく必要があります。

投資の優先順位はどう決める？

投資は、侵入口を減らす対策、侵入されたときの被害を限定する対策、復旧を速める対策の順に優先するのが基本です。ただし、事業が止まったときの損失が大きい企業は、復旧への投資を前倒しする判断もありえます。

中小企業では、専任のセキュリティ人材を置くのが難しい場合が多いです。その場合、EDRを導入しても検知を見る人がいなければ機能しません。製品を買うことより、監視を外部に委託する（MDR等）ことや、復旧訓練を優先したほうが実効性が高い場合もあります。

経営層が平時に決めておくべきことは？

平時に決めておくのは、システム停止を判断する権限者、公表の基準、身代金への対応方針の3つです。有事にこれらを議論し始めると、初動が数日単位で遅れます。

• 停止判断：どの業務システムを、誰の判断で、どの条件で止めるか（夜間・休日の代理者も含む）
• 公表基準：適時開示・本人通知・取引先への連絡をどの段階で行うか。何を「事実」として発表し、何を「調査中」とするかの書き分け方
• 身代金方針：支払いの可否と、判断に関わる部門（法務・経営・保険会社）
• AX案件の審査：新しいAI導入案件を、セキュリティ審査を経ずに本番へ移さないルール

向かないケースもあります。ここで挙げた対策は、自社でシステムを持っている企業を前提にしています。業務のほとんどをSaaSで完結させている企業では、責任分界点の確認とID管理が対策の中心になり、ネットワーク分割の優先度は下がります。自社の構成に合わせて読み替えてください。AIを悪用する攻撃への備えを検証する方法は、AIレッドチーミングの進め方で解説しています。

出典

• IPA「情報セキュリティ10大脅威 2025」（2025年1月公表）
• 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、個人情報保護法施行規則第7条
• OWASP「Top 10 for LLM Applications 2025」
• JPCERT/CC 注意喚起、各社適時開示（TDnet）

情報は2026年11月2日時点で確認できたものです。11月に新たに公表された事案は、一次情報を確認したうえで追記します。

姉妹メディアの関連記事