IPA緊急注意喚起とは？中小企業が今週やる不正アクセス点検

この記事のポイント

• IPAは10月9日に不正アクセス対策の注意喚起を公表
• 開発しない会社も、クラウド・アカウント・データを点検
• AIに渡した鍵も対象。被害が疑われたら特別相談窓口へ

2026年9月ごろから、不正アクセスによる個人情報の漏えいが国内で相次いでいます。ニュースを見て「うちも危ないのでは」と感じても、自社でシステムを開発していない中小企業では、何から手を付ければよいか分かりにくいものです。

この記事では、IPA(情報処理推進機構)の注意喚起にある「すぐやる点検」と「取り組む対策」を、情報システム担当が1人しかいない会社でも1週間で進められる作業に置き換えて解説します。生成AIやAIエージェントに渡しているアカウントや鍵の点検も扱います。

10月に相次いだ不正アクセスと各省庁の注意喚起

相次ぐ漏えい事案を受けて、IPAと複数の省庁が10月上旬にそろって注意喚起を出しました。IPAは2026年10月9日に「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公表し、10月14日に周知を行っています。

同じ週には、国家サイバー統括室、経済産業省、金融庁、個人情報保護委員会なども注意喚起を出しました(セキュリティ対策ラボの整理)。複数の機関が同時に動いたことは、特定の業種だけでなく幅広い企業が対象だという合図と受け止めるのが妥当です。大企業だけの話ではなく、取引先として個人情報や顧客データを預かる中小企業も当事者です。

IPAの注意喚起で押さえる「点検」と「対策」

注意喚起は、すぐに確認する「点検」と、続けて整える「対策」の2段構えで読むと整理しやすくなります。点検は今の状態を把握する作業、対策は弱いところを直して維持する作業です。

具体的な項目や表現はIPAの原文で必ず確認してください。この記事では、自社開発をしない会社が手を動かしやすいように、次の3つの作業に置き換えます。

中小企業向けには、IPAが自社の取り組みを自己宣言する「SECURITY ACTION」も用意しています。今回の点検を、その取り組みの第一歩にするのも一つの方法です。

今週やること①利用中のクラウドサービスの洗い出し

最初にやるべきは、会社で使っているクラウドサービス(SaaS:インターネット経由で使うソフト)をすべて一覧にすることです。存在を知らないサービスは、点検もパスワード変更もできないからです。

• 経理の支払い明細やクレジットカード明細から、月額課金のサービスを拾う
• 各部署に「業務で使っているツール」を聞き取る(無料プランも含める)
• サービス名、管理者、契約者、扱うデータ、ログイン方法を表にまとめる

部署が独自に契約したツールや、個人が勝手に使っているAIサービスもここで見つかります。この問題はシャドーAIとは？中小企業に潜むリスクと今すぐできる5つの対策でも詳しく扱っています。

今週やること②アカウント・権限の棚卸し

次に、一覧にした各サービスで「誰がどの権限でログインできるか」を確かめ、不要なものを止めます。不正アクセスは、退職者のアカウントや使い回しのパスワードなど、管理の隙を入口にすることが多いからです。

確認するポイント

• 退職者・異動者・終了した委託先のアカウントが残っていないか
• 管理者権限を持つ人が必要以上に多くないか
• 複数人で1つのIDとパスワードを共有していないか
• 多要素認証(パスワードに加えスマホ等で本人確認する仕組み)が有効か

判断に迷うアカウントは、いきなり削除せず一時停止にして、業務に支障がないか数日様子を見ると安全です。作業内容は日付とともに記録に残しましょう。

今週やること③持っているデータの見直し

3つ目は、「どこに、どんな個人情報や重要データを、なぜ持っているか」を確認し、不要なものを減らすことです。持っていないデータは漏れようがないため、データを減らすことはもっとも確実な対策の一つです。

• 顧客名簿や問い合わせ履歴が、共有フォルダや個人のPCに散らばっていないか
• 終了したキャンペーンの応募者リストなど、目的を終えたデータが残っていないか
• 誰でも閲覧できる共有リンクが公開されたままになっていないか

あわせて、万一のときに戻せるバックアップがあるかも確認しておきます。考え方はクラウドがランサムウェアで停止したら？IDCF事案に学ぶバックアップと復旧を参考にしてください。

生成AI・AIエージェントのアカウントや鍵も点検

生成AIやAIエージェント(人の代わりに作業を自動で進めるAI)に渡したアカウントやAPIキー(システム同士をつなぐ合言葉)も、人のアカウントと同じく棚卸しの対象です。業務効率化のためにAIへメールや顧客管理ツールへの接続を許可していると、その鍵が漏れたときの影響は人のアカウントと変わりません。

• どのAIツールに、どのサービスへの接続を許可しているか一覧にする
• APIキーが資料やチャット、共有ファイルに書かれたままになっていないか探す
• 使っていない連携は解除し、必要な連携も権限を最小限にする
• 試しに作ったキーや、担当者個人名義のキーを整理する

AIエージェントの運用ルールづくりはAIエージェント導入のリスクと社内ルール｜政府の新基準から学ぶで解説しています。

被害が疑われたらIPA特別相談窓口へ

点検の途中で不審なログインや情報の流出が疑われたら、社内だけで抱え込まず、専門の窓口に相談してください。IPAは2026年10月16日、被害を受けた企業向けに「不正アクセス特別相談窓口」を開設しています(解説記事)。受付方法や対象はIPAのページで最新情報を確認しましょう。

疑いが出たときは、ログの削除やPCの初期化など証拠を消す行動は避け、いつ・何に気付いたかを記録しておくことが大切です。個人情報の漏えいが関わる場合は、個人情報保護委員会への報告が必要になることもあるため、早めに専門家へ確認してください。

点検結果をAXとシステム刷新につなげる

今週の点検で作った一覧表は、守りの資料であると同時に、業務とシステムを見直すための材料になります。同じ用途のツールが重複していたり、顧客データが複数の場所に散らばっていたりすれば、それは業務の非効率のサインでもあります。

点検で見えた課題を、ツールの統合やデータの一元化、AIを安全に使える仕組みづくりにつなげると、セキュリティ対策が「コスト」から「業務改革の起点」に変わります。

axflow の視点：axflow は AI 駆動開発と AX 支援を行う会社として、点検で見えた課題をいきなり大きなシステム刷新にせず、既存システムを残したまま進める業務改革から始めることを勧めています。たとえば「データの置き場所を一つにまとめたい」「AIに渡す権限を絞った業務の仕組みを作りたい」といった要望を、動くモックを最短1〜2週間で無料で作る「モック先行」の進め方で形にし、使い勝手を確かめてから要件を固めて開発します。

よくある質問

IPAの不正アクセスに関する注意喚起はいつ出ましたか？

2026年10月9日に公表され、10月14日に周知されました。同じ週に国家サイバー統括室、経済産業省、金融庁、個人情報保護委員会なども注意喚起を出しています。

自社でシステムを開発していない会社も対象ですか？

対象と考えるべきです。クラウドサービスやAIツールのアカウント、保有する個人情報の管理は、開発の有無に関係なくどの会社にも必要な点検です。

情報システム担当が1人でも1週間で終わりますか？

クラウドの洗い出し、アカウント棚卸し、データ見直しの3つに絞れば進めやすくなります。完璧を目指さず、一覧表を作り不要なものを止めるところまでを目標にしてください。

不正アクセス特別相談窓口はいつから利用できますか？

IPAが2026年10月16日に開設しました。受付方法や対象などの詳細は、IPAの公式ページで最新情報を確認してください。

生成AIのAPIキーはどう管理すればよいですか？

使っているキーを一覧にし、不要なものは削除、必要なものは権限を最小限にします。資料やチャットにキーを書き残さず、担当者個人名義のキーも整理しましょう。

まとめ

IPAと複数の省庁による10月の注意喚起は、規模を問わず多くの企業に点検を求めるものです。まずは今週、クラウドサービスの洗い出し、アカウント・権限の棚卸し、データの見直し、そしてAIに渡した鍵の点検から始めましょう。被害が疑われたらIPAの特別相談窓口に相談してください。

axflow では、点検で見えた課題を業務システムの改善やAXにつなげるご相談を受け付けています。既存システムを残したままの改善や、動くモックでの検討も可能です。お気軽に無料相談・資料請求からお問い合わせください。

参考

• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (IPA 情報処理推進機構)
• SECURITY ACTION (IPA 情報処理推進機構)
• IPAの不正アクセス注意喚起と特別相談窓口に関する解説 (note)
• IPA緊急セキュリティチェックリストと複数省庁の注意喚起 (セキュリティ対策ラボ)