JPCERT/CC四半期レポート Web改ざんが2倍に

JPCERT/CCは2026年7月16日、2026年4月1日〜6月30日を対象とする「JPCERT/CC 四半期レポート」を公開しました。本四半期のインシデント報告は1万4056件、調整件数は3398件。全体では前四半期比8%減と落ち着いて見えますが、Webサイト改ざんだけが90件→181件と101%増（約2倍）に跳ね上がっています。

そしてもう一点、実務上見落とせない変更があります。従来別建てだった『インターネット定点観測レポート』が、本四半期分から本レポートに統合されました。定点観測レポートを定期的にチェックしていた方は、参照先の差し替えが必要です。

この記事でわかること

  • 本四半期のインシデント統計と、カテゴリ別で何が増減したか
  • Webサイト改ざんが2倍に増えた背景と、「自社のブラウザでは気づけない」改ざん手口
  • JPCERT/CCの対応事例3件から読み取れる、情シスの実務課題（特に契約と侵害調査の関係）
  • 定点観測（TSUBAME）で上位に浮上したポートと、探索元地域の変化
  • レポート統合・JVNアドバイザリ簡略化という、情報の受け取り方そのものの変更

そもそも何が公開されたのか

JPCERT/CC 四半期レポートとは、JPCERT/CCが3か月ごとに公表する、インシデント報告の統計・対応事例・脆弱性調整・観測データをまとめた活動報告書です。経済産業省および内閣官房の委託事業としての実施内容を報告する位置づけで、7月・10月・1月・4月に発行されます。

注目したいのは、このレポートが数年かけて「統合」を進めてきた点です。

時期 統合の内容
2025年度 『活動四半期レポート』＋『インシデント報告対応レポート』→『四半期レポート』へ統合
2026年度第1四半期（今回） 『インターネット定点観測レポート』を『四半期レポート』第2章へ統合

JPCERT/CCは統合の理由を「複数のレポートに内容が分散する、あるいは、内容や視点が曖昧になることを防ぎつつ（中略）分かりやすくお伝えすることを目的とした」と説明しています。なお、レポートに載せきれない分析はブログ「TSUBAMEレポート Overflow」で引き続き公開されます。

当サイトでも以前、TSUBAMEの定点観測レポート（2026年1〜3月）を取り上げましたが、そのシリーズは今回が最後の単独公開分ということになります。RSSやブックマークで単体レポートを追っていた組織は、監視対象の付け替えを忘れないようにしてください。地味ですが、こうした「情報源の引っ越し」を放置すると、半年後に「最近あのレポート出てないね」で情報が途切れます。

数字で見る2026年4〜6月

まず全体像です。

指標 4月 5月 6月 合計 前四半期 増減
報告件数 5,432 4,770 3,854 14,056 15,345 ▲8%
インシデント件数 3,691 2,201 3,413 9,305 10,262 ▲9%
調整件数 1,296 799 1,303 3,398 3,168 +7%

前年同期（報告1万4558件、調整3544件）と比べても、報告3%減・調整4%減とほぼ横ばいです。ただし報告は減っているのに調整は増えている点は押さえておきたいところ。調整件数は「サイト管理者などへ実際に対応を依頼した件数」なので、1件あたりの手離れが悪くなっている可能性を示唆します。

カテゴリ別の内訳は次のとおりです。

カテゴリ 合計 前四半期 増減
フィッシングサイト 8,313 9,293 ▲11%
その他 582 685 ▲15%
スキャン 190 156 +22%
Webサイト改ざん 181 90 +101%
マルウェアサイト 21 32 ▲34%
ランサムウェア 8 0 —
標的型攻撃 8 2 —
DoS/DDoS 1 4 —
制御システム関連 1 0 —

フィッシングサイトが全体の89.3%、スキャンが2.0%を占めます。件数の絶対値ではフィッシングが圧倒的ですが、伸び率で突出しているのはWebサイト改ざんです。なお、ランサムウェアや標的型攻撃の件数が1桁なのは「日本で数件しか起きていない」という意味ではありません。これはあくまでJPCERT/CCに報告が寄せられた件数であり、被害組織が直接ベンダーや警察に相談するケースは含まれない点に注意してください。

Webサイト改ざんが2倍——「見ても気づけない」改ざん

本四半期のWebサイト改ざん報告は181件で、前四半期の90件から101%増加しました。レポートは2つの事例を挙げています。

事例1：検索エンジンにだけ別のページを見せる

国内の複数の正規Webサイトが改ざんされ、検索エンジンが利用するユーザーエージェント（Googlebot）でアクセスした場合にだけ、海外オンラインカジノのコンテンツが表示される状態になっていました。JPCERT/CCは、カジノサイトを検索結果の上位に表示させることを狙ったSEOポイズニングと見ています。

現場目線で怖いのはここです。担当者が自分のブラウザでサイトを開いても、まったく正常に見えます。「毎朝トップページを目視確認しています」という運用は、この手口の前では機能しません。気づくきっかけは、Search Consoleの警告や、検索結果に見覚えのないページが並んでいるという外部からの指摘になりがちで、そのときには既に相当期間放置されている、という流れになります。

改ざん検知は、ファイルのハッシュ監視やWAFの導入といった「入れれば終わり」の話にされがちですが、実際にはUser-Agentを変えたクロールや、サイト検索結果の定点チェックといった地味な確認のほうが効くことがあります。改ざんが発覚したあとの初動についてはWebサイト改ざんで外部誘導、情シスの初動と対策も参考にしてください。

事例2：偽ログインページ＋遠隔操作ツール

国内の正規Webサイトが改ざんされ、不審なログインページが設置されていた事例です。当該サイトはボイスフィッシング（電話でだます手口）の誘導先として報告されており、インターネットバンキングの認証情報窃取が目的と見られています。あわせて遠隔操作ツールも設置されており、認証情報の窃取とは別にユーザーを遠隔操作しようとしていた可能性があるとされています。

自社サイトが改ざんされると、被害は「自社の信用が傷つく」だけでは終わりません。自社のドメインが他人をだますための道具として使われるという構図になります。ドメインの評判が落ちれば、自社から送るメールの到達率にも波及します。

フィッシングは減少、ただし国外ブランド詐称は21%増

フィッシングサイトは8,313件で前四半期比11%減。ただし前年同期（7,358件）比では13%増で、長期トレンドとしては増加基調です。内訳を見ると方向性の違いがはっきりします。

詐称ブランド 件数 割合 前四半期比
国内ブランド 5,974 72% ▲16%（7,112件から）
国外ブランド 1,088 13% +21%（899件から）
ブランド不明 1,251 15% —

業種別では、国内ブランドは金融関連が67.1%、国外ブランドはEコマースが50.7%と最多。具体名としては、国外がAmazon・Apple Account・VISA、国内がセゾンカード・マネックス証券・SBI証券・三井住友カード・楽天が多く報告されました。証券会社が2社入っている点は、不正アクセスによる株式の不正売買という近年の傾向と符合します。

もう一つ、運用者として知っておきたい数字があります。フィッシングサイトのテイクダウン調整先は、国外が93%・国内が7%でした。つまり日本のブランドを騙るサイトでも、実際に止めに行く相手はほぼ海外の事業者です。停止までに時間がかかる構造的な理由がここにあります。「通報したのになぜまだ生きているのか」という社内の問い合わせには、この数字が説明材料になります。

対応事例3件が突きつける実務課題

統計以上に読む価値があるのが、JPCERT/CCが実際に対応した事例の記述です。今回は3件が紹介されており、いずれも「パッチを当てましょう」で終わらない論点を含んでいます。

cPanel（CVE-2026-41940）——契約が侵害調査を止めた

2026年4月28日にWebPros Internationalが公表した、cPanel／WHMの認証バイパス脆弱性です。悪用されると攻撃者がroot権限を取得します。JPCERT/CCの調査では国内で約2,000台が稼働し、ホスティング事業者の管理下にあるホストの割合が高いことが確認されました。

展開が速く、公表翌日にはPoC（実証コード）を含む技術詳細がセキュリティ企業から公開され、翌々日以降にはSorryランサムウェアの展開やMirai亜種の配布に悪用されているとの観測が相次ぎました。さらに2026年2月以降ゼロデイとして悪用されていたことも報告されています。

本記事で最も強調したいのは、この事例に記された次の一節です。国内の被害組織はホスティング事業者のテナントとして当該製品を利用しており、事業者に痕跡調査への協力を求めたものの、「利用契約上の制約を理由に協力を得られず、十分な痕跡調査を実施するには至りませんでした」と記録されています。

これは技術の問題ではなく契約の問題です。共有ホスティングやSaaSでは、ログの保有主体も調査権限も事業者側にあります。インシデントが起きてから「ログを見せてください」と頼んでも、契約にその定めがなければ断られ得る。そして調査ができなければ、経営層や取引先に対して「何が漏れたか」を説明できません。

平時にやっておくべきことは明確です。ホスティング・SaaSの契約書やSLAに、インシデント時のログ提供・調査協力の条項があるかを確認すること。無ければ更新交渉のタイミングで持ち出す。新規調達なら選定要件に入れる。地味で後回しにされやすい作業ですが、有事の説明責任を果たせるかどうかがここで決まります。

GUARDIANWALL MailSuite（CVE-2026-32661）——守る製品が入口になる

キヤノンマーケティングジャパンが提供する企業向け統合メールセキュリティ製品の、スタックベースのバッファオーバーフロー脆弱性です。細工されたリクエストにより認証なしで任意コードを実行される可能性があります。

特筆すべきは発見の経緯で、製品利用者の環境で発生したインシデントを調査する過程で発見されたものでした。つまり報告時点で既に悪用されていたということです。JVNアドバイザリは表題に「緊急」と表示され、2026年5月13日にJPCERT/CCから注意喚起も公開されました。注意喚起では、パッチ適用だけでなくすでに侵害を受けている可能性を考慮した侵害有無の確認・ログ保全・回避策の実施が呼びかけられています。

レポートは同製品が「公的機関や重要インフラの運用を担う企業などを含む、国内の多くの組織で利用されている」と記しています。メールセキュリティ製品はメール本文と添付ファイルの全量が通過する場所です。そこが乗っ取られたときの影響範囲は、通常のサーバー1台とは比べものになりません。セキュリティ製品こそ、脆弱性管理の優先度を上げるべき資産だという当たり前の事実を、あらためて突きつけられます。

Cisco Catalyst SD-WAN（CVE-2026-20182 ほか）——ログでは見抜けない

2026年5月14日にCiscoが公表した認証バイパス脆弱性で、公表時点で既に悪用が観測されていました。この事例には、検知側にとって厄介な性質が2つ記されています。

  • ログで見分けられない：攻撃者が認証を回避して接続を確立した際の認証完了ログが、正規のピアによるものと同一の形式で記録されるため、ログ確認だけでは侵害の検知が困難。
  • 外部スキャンで見つけられない：対象サービスはSD-WAN機器間の制御接続用で、Web応答やバナーのような特徴的な応答が得られにくい。JPCERT/CCも「スキャンサービスでは網羅的に捕捉できず、実態の把握には限界がある」としてCiscoと連携して国内利用状況を補完しています。

JPCERT/CCが日本のナショナルCSIRTとして調査してなお網羅できないのですから、一般企業が外部スキャン頼みで資産を把握しきれるはずもありません。外からの見え方（EASM）だけに頼らず、購買記録・構成管理台帳といった内側の情報と突き合わせる——原始的ですが、この二本立てが必要だという実例です。

さらにCiscoは6月4日にCatalyst SD-WAN Managerの権限昇格脆弱性（CVE-2026-20245）を公表し、複数脆弱性の連鎖により未認証の攻撃者が特権を得るシナリオを示唆しました。JPCERT/CCは国内組織の侵害事案を支援し、分析の結果、2026年4月時点のログにCVE-2026-20245悪用の可能性がうかがわれる痕跡を確認。攻撃者は管理者権限アカウントを追加し、それを使って内部ネットワークのルーターのWebUIにログインし設定変更まで行っていました。ネットワーク機器を起点とした典型的な横展開（ラテラルムーブメント）です。

定点観測（TSUBAME）：sshとrdpが上位に浮上

統合された第2章から、国内センサーの観測結果です。

順位 宛先ポート 前四半期の順位
1 Telnet（23/TCP） 1
2 https（443/TCP） 3
3 http（80/TCP） 2
4 ssh（22/TCP） 5
5 rdp（3389/TCP） 6

最多は引き続き23/TCP（Telnet）で、2026年5月上旬にMiraiの特徴を持つパケットの突発的な増加が見られたのち、少しずつ減少しています。注目は22/TCPが5位→4位、3389/TCPが6位→5位へ上がったことです。sshとrdpは、Telnetと違って「うちには関係ない」と切り捨てられません。保守用に開けた踏み台や、リモートワーク対応で暫定的に公開したまま忘れられたRDPは、多くの組織に心当たりがあるはずです。

探索元地域も動いています。

順位 探索元地域 前四半期の順位
1 米国（US） 1
2 オランダ（NL） 4
3 英国（GB） 8
4 ドイツ（DE） 6
5 ルーマニア（RO） 7

2位以下がすべて前四半期のトップ5圏外から入れ替わり、欧州の比率が高まりました。ここから読み取れる実務的な含意は、地理的IPブロックの費用対効果が下がっているということです。「怪しい国からのアクセスを遮断する」という発想は、探索元が米国・オランダ・英国・ドイツといった、業務上の正当な通信も多い地域に移ると成立しにくくなります。なおJPCERT/CCはRIR（地域インターネットレジストリ）の割り当て情報で地域を判定しており、これは攻撃者の所在地ではなく踏み台の所在地である点にも留意が必要です。

LLM関連フレームワークへの探索が始まっている

ハニーポットの観測結果として、見逃せない記述があります。2026年4月下旬ごろから、LLMと連携するフレームワーク・ライブラリの脆弱性を狙う攻撃パケットやスキャンパケットが散発的に観測されているというものです。名指しされているのは次の3件です。

  • n8n におけるコード実行の脆弱性（CVE-2026-21858）
  • llama-cpp-python におけるコード実行の脆弱性（CVE-2024-34359）
  • SGLang におけるコード実行の脆弱性（CVE-2026-5760）

JPCERT/CCは「LLMと連携する開発基盤はインターネットとの通信経路を持つことが比較的多い」と指摘し、修正適用だけでなく通信制御を含む多層防御を促しています。

正直なところ、ここが今いちばん把握しづらい領域です。生成AI活用の号令のもと、事業部門やエンジニアが検証用に立てたワークフロー基盤やLLMサーバーは、情シスの資産台帳に載らないまま外向きの口を持っていることがあります。しかも「PoCだから」という理由で認証が甘い。攻撃者はもうそこをスキャンし始めています。生成AI関連の申請ルールを整えるより先に、まずすでに何が動いているかの棚卸しが要ります。

あわせて、前四半期から継続してReact Server Componentsの脆弱性（CVE-2025-55182）を狙う攻撃も観測されており、ペイロードには複数のバリエーションが見られ「攻撃者による改良が続けられている状況がうかがえる」と記されています。一過性ではなく、当面続く前提で構えるべき脅威です。

脆弱性調整の動きと、JVNアドバイザリの形式変更

本四半期にJVNで公表された脆弱性情報は111件（累積6,095件）。内訳はパートナーシップ経由が44件、国際調整・独自調整が67件でした。

運用面で影響が大きいのがJVNVUアドバイザリの簡略化です。JPCERT/CCはこれまでIntel・Siemens・Apache・米国CERT/CC・CISA ICSなどの情報を邦訳して公表してきましたが、自動翻訳の普及を理由に詳細の邦訳記載をやめ、公開・更新の通知に重点を置く簡略形式へ変更しました。2026年3月から順次適用され、5月公表のIntelアドバイザリで採用されています。

これは合理的な判断だと思いますが、現場の手間は確実に増えます。これまでJVNの日本語ページだけで判断できていた案件も、今後は原文のベンダーアドバイザリに当たる必要があります。社内の脆弱性トリアージ手順が「JVNを見る」で終わっている組織は、参照先の追記を検討してください。脆弱性管理のプロセスを見直すよい機会でもあります。

なお標的型攻撃については、正規クラウドサービス（Proton Drive、GitHub、GitLab）を悪用した攻撃グループAPT-C-60関与の可能性がある攻撃メールの報告が複数寄せられたと記されています。正規サービス経由のためURLフィルタでは弾きにくく、スピアフィッシング対策の難所です。

情シスはどこから手をつけるべきか

今回のレポートから、自組織で確認すべき点を絞るなら次の3つです。

  1. 改ざん検知が「目視」に依存していないか——Googlebotにだけ別ページを見せる手口は、通常のブラウザ確認をすり抜けます。Search Consoleの警告受信先が退職者のアドレスになっていないか、という初歩的な確認も含めて見直してください。
  2. ホスティング・SaaSの契約に、インシデント時の調査協力条項があるか——cPanelの事例が示すとおり、無ければ有事に調査そのものができません。
  3. ssh・rdpの外部公開と、AI関連基盤の棚卸し——探索は既に来ています。外部スキャンだけでなく、購買・構成管理の記録と突き合わせて確認してください。

対策の具体化にあたっては、自前でチェックリストを作り込む前に公的機関の指針を土台にするのが近道です。

特に3つ目の机上演習は相性がよいと思います。今回の対応事例は、そのまま演習シナリオとして使える具体性があります。そして忘れがちですが、フィッシングが報告全体の9割を占める以上、技術対策と同じだけ、地道な利用者啓発が効きます。証券口座を狙う手口が増えている今、業務外の話題として社内で共有するだけでも意味があります。

まとめ

  1. Webサイト改ざんが前四半期の2倍（90→181件）に急増。Googlebotにだけ別コンテンツを見せるSEOポイズニング型は、担当者のブラウザ確認では気づけません。全体の報告件数は1万4056件で8%減、フィッシングは9割弱を占めるものの11%減でした。
  2. 対応事例が示す最大の教訓は「契約」。cPanel（CVE-2026-41940）の国内被害組織は、利用契約上の制約からホスティング事業者の調査協力を得られず、十分な痕跡調査ができませんでした。平時にログ提供・調査協力の条項を確認しておくことが、有事の説明責任を左右します。
  3. 観測面では、ssh（22/TCP）とrdp（3389/TCP）が上位に浮上し、LLM関連フレームワークへの探索も4月下旬から始まっています。探索元は欧州の比率が高まり、地理的IPブロックの有効性は下がりつつあります。あわせて『インターネット定点観測レポート』は本四半期分から四半期レポートへ統合されたため、情報源の参照先を差し替えてください。

出典

タイトルとURLをコピーしました