社内管理システムへの攻撃｜JPCERT注意喚起と無料点検の実務

「社内だけで使う管理システムだから、外部から攻撃される心配は少ない」

そう考えていませんか。

2026年10月23日、JPCERT/CCは国内組織で相次ぐ不正アクセスに関する注意喚起を更新しました。

今回の更新では、AIを用いたペネトレーションテスト基盤を悪用した攻撃試行と、管理用APIへの不審なアクセスに関する情報が追加されています。

特に注目したいのは、一般利用者向けのサービスだけでなく、従業員向け管理システムやBIツールなども被害に遭っているという点です。

建設会社なら、工程管理、原価管理、顧客管理などのシステムが関係します。

ただし、これらの建設業向けシステムが今回の攻撃で被害を受けたと確認されたわけではありません。

この記事では公式発表の事実を整理し、社長が費用をかけずに始められる点検を紹介します。

1．JPCERT/CCが10月23日に更新した内容

JPCERT/CCは10月8日、国内組織で相次ぐ不正アクセスについて注意喚起を公開しました。

10月23日の更新では、主に次の情報が追加されています。

• AIを用いたペネトレーションテスト基盤を悪用した攻撃試行
• 管理用APIへの不審なアクセス元などの情報
• 関連する技術調査資料

ペネトレーションテストは、本来、システムの安全性を確認するための検証です。しかし、その仕組みが攻撃に悪用される場合があります。

JPCERT/CCは、複数の攻撃類型を紹介しています。すべての事故が同じ手法で発生しているわけではありません。

公式一次情報：JPCERT/CC｜国内組織における不正アクセスに関する注意喚起

2．社内管理システムも狙われる理由

社内管理システムには、顧客情報、従業員情報、売上、原価、取引先情報など、重要なデータが集まっています。

従業員しか使わない画面でも、インターネットからアクセスできる設定になっている場合があります。

管理画面の公開設定、アクセス制御の不備、古いソフトウェアなどが、攻撃につながる可能性があります。

「社内用」という名称だけでは、安全性は判断できません。

3．AIを悪用した攻撃試行とは

10月23日の更新では、Cairn、CyberStrikeAI、ARTEXなど、AIを用いたペネトレーションテスト基盤を悪用した攻撃試行が紹介されています。

主にインターネット上のWebアプリケーションに対して、既知の脆弱性や設定不備を探索する動きが確認されています。

公開されたWSUSサーバーへの攻撃試行も含まれます。

これはAIを利用するすべてのサービスが危険という意味ではありません。

また、攻撃試行が確認されたことと、侵入が成功したことは別です。

社長が確認したいのは、AIの仕組みそのものよりも、自社のシステムに不要な公開設定や未修正の脆弱性がないかという点です。

4．管理用APIへの不正アクセス

APIは、システム同士が情報をやり取りするための仕組みです。

JPCERT/CCは、管理用APIへの不正なリクエストによって、情報の書き換えなどが発生した事例を紹介しています。

一般公開されたアプリの解析、管理用機能への不正な操作、別の事故で盗まれたAPIキーの悪用などが挙げられています。

技術担当者は、APIごとのアクセス制御、利用権限、リクエスト回数制限、トークンの有効期限などを確認する必要があります。

専門知識がない社長は、まず管理会社に「管理用APIが外部から不必要に利用できる状態になっていないか」と確認しましょう。

5．建設会社で点検したいシステム

建設会社では、次のようなシステムを利用している場合があります。

これらは点検対象の例であり、今回の攻撃による被害が確認された製品の一覧ではありません。

6．無料点検① 外部公開の確認

最初に、社内管理システムへどこからアクセスできるか確認します。

• 会社の外からログインできるか
• 管理画面をインターネットへ公開する必要があるか
• 退職者や不要な利用者のアカウントが残っていないか
• アクセス元を制限する設定があるか

業務に不要な管理機能の公開は、停止や制限を検討する必要があります。

ただし、設定変更で業務が停止する場合があるため、管理担当者やサービス事業者と確認してから変更してください。

7．無料点検② アクセス権限の確認

次に、誰が重要な情報を閲覧・変更できるかを確認します。

全従業員に管理者権限が必要とは限りません。

• 管理者アカウントの人数
• 退職者・異動者のアカウント
• 協力会社へ付与した権限
• 多要素認証の利用状況
• 共有アカウントの有無

必要最小限の権限にすることは、JPCERT/CCが示す対策の基本にも沿っています。

8．無料点検③ ログの確認

ログは、システムにいつ、誰が、どのような操作をしたかを確認するための記録です。

不審なログインや操作を発見する手掛かりになります。

確認したい項目

• 通常利用しない時間帯のログイン
• 失敗したログインの急増
• 管理者権限の変更
• 知らないアカウントの作成
• 短時間に繰り返された大量のアクセス

JPCERT/CCは不審な送信元IPアドレスなどの情報も公開しています。

ただし、掲載されたIPアドレスとの通信だけで不正アクセスと断定することはできません。また、一覧にない通信でも不正な場合があります。

ログを確認できない場合は、サービス事業者に保存期間と確認手段を問い合わせましょう。

9．無料点検④ 更新とバックアップ

既知の脆弱性が修正されていないソフトウェアは、攻撃を受ける原因となる場合があります。

利用中のシステムがサポート対象か、更新が適用されているか確認してください。

同時に、バックアップの保存場所と復元手順も確認しましょう。

バックアップが存在していても、実際に復元できなければ業務再開に役立ちません。

更新作業や復元テストは、業務への影響を確認し、管理担当者と調整して実施することが重要です。

10．委託先のシステムはどう確認するか

工程管理や会計システムを外部の会社が運用している場合、自社で設定を変更できないことがあります。

その場合は、管理会社に次の三点を確認しましょう。

1. 管理画面の外部公開は必要最小限か
2. 管理者権限と多要素認証は適切か
3. ログの確認と事故時の連絡手順は整っているか

委託先に任せているからといって、利用企業が何も確認しなくてよいわけではありません。

関連記事：クラウド事業者に依存するリスクと企業の備え

11．不審なアクセスを見つけたら

身に覚えのない管理者アカウントや不審な操作を確認した場合は、記録を残し、管理担当者やサービス事業者へ速やかに連絡してください。

原因が不明なままログを削除したり、証拠となる端末を初期化したりすることは避けましょう。

被害拡大防止のためのアクセス遮断などは、状況を確認しながら担当者が判断します。

顧客情報の漏えいが疑われる場合は、法令上の報告や本人通知の要否についても確認が必要です。

関連記事：サイバー事故に備える緊急連絡先の準備

12．社長向け実務チェック表

すべてを一度に整える必要はありません。まず、重要な管理システム一つから確認しましょう。

13．今日の一歩とまとめ

JPCERT/CCの10月23日更新は、管理用APIへの攻撃やAIを悪用した攻撃試行に注意を促すものです。

社内専用のつもりで利用しているシステムも、公開設定やアクセス権限によっては攻撃を受ける可能性があります。

重要なのは、恐れることではなく、確認できる部分から点検することです。

関連記事：中小企業のサイバー保険と実務上の確認ポイント

※本記事はJPCERT/CCの2026年10月23日更新情報を基に作成しています。建設会社の各種管理システムは一般的な点検例であり、今回の攻撃で個別の被害が確認されたことを意味しません。