国家サイバー統括室、Web・アプリの基本対策を要請―API認可と継続診断、AI評価は人が確認

国家サイバー統括室は2026年11月5日、個人情報を扱うWebサイト・モバイルアプリの事業者向けに注意喚起を発出しました。設定不備、未修正・サポート終了ソフトウェアの利用など、基本対策の不足が原因とみられる漏えい事例を複数確認したとしています。

標的の調査や侵害にAIが使われた可能性が高く、従来の診断で低く評価されたリスクの組み合わせが侵入につながった可能性も指摘しました。個別事件でAI利用が確定したとの発表ではありません。

対策例は、不要な管理画面や開発環境の公開停止、サーバー側でのAPI利用者の権限検証、ソースへの秘密情報の埋め込み防止などです。部品の既知の脆弱性だけでなく、自社・委託先が開発したバックエンド固有の設計・実装も診断対象とします。

公開前、重要な変更時、運用中の継続診断と修正後の確認を求めています。AIによる攻撃経路の探索や評価支援も挙げる一方、根拠・妥当性を確認し、最終的な対応判断は人が行うと明記しました。