2026年10月、名の知れた企業が「不正アクセスで個人情報が漏えいした」と公表するニュースが毎日のように続きました。これを受けて、国の機関が相次いで注意喚起を出しています。
この記事では、個人情報保護委員会と国家サイバー統括室の注意喚起の原文をもとに、何が求められているのかを整理し、取引先から同じことを聞かれる立場にある中小企業が確認すべきことをまとめます。
2026年10月26日時点の情報です（出典は2026年11月12日に再確認）。
2026年10月に出た主な注意喚起
| 日付 | 発出元 | 認証についての記載 |
|---|---|---|
| 10月7日 | 個人情報保護委員会 | 組織外ネットワークからのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスに多要素認証を導入（ガイドライン見直し案の手法の例示） |
| 10月9日 | 内閣官房 国家サイバー統括室 | 多要素認証（MFA）を導入する／推測されやすいパスワードの使用を禁止する／管理者アカウントを必要最小限にする／不要なアカウントを速やかに無効化する |
このほかにも、JPCERT/CC、IPA、総務省、経済産業省、金融庁などが同じ時期に注意喚起を出しています。
個人情報保護委員会：ガイドラインの「手法の例示」に多要素認証
個人情報保護委員会は10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を出しました。大量の個人情報を扱う事業者が外部から不正アクセスを受け、大量の個人データが漏えいする事案が続いていることが背景です。
注目すべきは、個人情報保護法のガイドラインの見直し内容を確定前に先取りして示した点です。見直し案では、技術的安全管理措置の「アクセス者の識別と認証」の手法の例示として、次の内容が挙げられています。
見直し案の手法の例示（要約）
「手法の例示」は、そのとおりにしなければ直ちに法違反になるというものではありません。見直しの確定は2027年4月の予定です。ただ、国が「こういう手段が参考になる」と具体的に示したことで、取引先や監査で「社外からのアクセスと管理者のログインに多要素認証は入っていますか」と聞かれる場面は増えていくと考えられます。
同じ日に改訂された「WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜」でも、報告された事案を9つの類型に分けたうちの1つが「不正ログインの事例」です。推測されやすいIDとパスワードが使われていたことが原因に挙がり、対策として多要素認証などの強度の高い認証方式が示されています。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
国家サイバー統括室：「適切な認証対策でリスクを大幅に低減」
国家サイバー統括室は10月9日、「不正アクセスによる漏えい等の事案を踏まえた対応について」を出しました。ウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などで、個人情報が窃取される事案を複数確認したとしています。
対策のポイントの1つが「アカウント管理・認証」で、適切な認証対策により不正アクセスのリスクを大幅に低減できるとして、多要素認証の導入を最初に挙げています。また、委託先を含むサプライチェーン全体で対策を考えるよう求めています。
実例：盗まれた認証情報だけでクラウドに入られた（日経）
日本経済新聞社は10月16日、システム開発に使うクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏えいしたと公表しました。公表によると、クラウドサービスにアクセスするための認証情報が何らかの手段で窃取され、10月7日未明から朝にかけて不正アクセスを受けています。同社は使われた認証情報を無効にしました。
認証情報がどう盗まれたのか、多要素認証が設定されていたかどうかは公表されていません。ただ、この事例から分かるのは、正しい認証情報さえあれば、攻撃者は「正規の利用者」として入れてしまうということです。脆弱性の修正や監視をどれだけ固めても、本物の鍵を持っている相手は通ってしまいます。だから国の注意喚起は、鍵を2つにする多要素認証を挙げているのです。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
中小企業にとっての意味
今回の注意喚起の主な対象は、大量の個人情報を扱う事業者です。しかし、中小企業にも無関係ではありません。
- 委託先として聞かれる：国家サイバー統括室は委託先を含めた対策を求めています。大手の取引先から、セキュリティチェックシートで認証の方法を聞かれる場面は増えます（セキュリティチェックシートの答え方）
- 入口はPCとサーバーのログイン：警察庁の統計では、ランサムウェアの侵入経路の多くはVPNとリモートデスクトップで（同じく社内への入口になる社内Wi-Fiにも注意）、入った後は社内のPC・サーバーへのログインで広がります（侵入経路の統計）
- 管理者のログインは名指しされている：見直し案が「管理者権限でのアクセス」を挙げたのは、乗っ取られたときの影響が大きいためです
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
- 社外からつなぐ経路（VPN・リモートデスクトップ・クラウドの管理画面）に多要素認証が入っているか（リモートデスクトップの2要素認証）
- 管理者アカウントでのログインが、パスワードだけで通らないか（特権アカウントの管理）
- 個人情報を扱うPCのログインが、パスワードだけで通らないか（Windows OSログインの2要素認証）
- 退職者や使っていないアカウントが残っていないか（退職者アカウントの削除）
- 同じパスワードを複数のサービスやPCで使い回していないか
普段の管理が楽になると何が変わるか
このうち、管理者のログインや使っていないアカウントの確認は、全PC・サーバーのログイン記録を1か所で見られると、1台ずつ開かずに済みます。7日以上連絡のないPCも一覧で分かり、使っていないローカルアカウントはその場で無効にできます（アプリップリキー）。
取引先のチェックシートや監査で「管理者のログインをどう管理しているか」と聞かれても、ログイン記録をCSVでそのまま出せば説明できます。注意喚起が出るたびに全PCを確かめて回る必要がなくなり、担当者は答えを探す時間を減らせます。
出典
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）および「WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜」（2026年10月7日改訂）
- 内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）
- 日本経済新聞社「不正アクセスによる個人情報漏洩について」（2026年10月16日）
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月23日更新）
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
- 総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（注意喚起）」（2026年10月9日）
- 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（2026年10月9日）
記事中の事実関係は、上記の公表内容（2026年10月26日時点で確認、2026年11月12日に再確認）に基づきます。
いまの運用を棚卸ししてみる
社外からのアクセスや管理者のログインが、パスワードだけで通る状態になっていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。