FeliCa旧ICチップに脆弱性、社員証の点検を

2026年7月21日、JVNが非接触型ICカード技術「FeliCa」の一部ICチップに関する脆弱性（CVE-2026-59776／JVN#40509781）を公表しました。対象は2017年以前に出荷された一部のFeliCa ICチップで、暗号処理の不備によりチップ内データの読み取りや改ざんにつながるおそれがあります。シリコン（半導体）に起因するため、ソフトウェア更新では塞げません。

情シスにとっての要点は、報道で注目される交通系ICカードや電子マネーではありません。それらは各サービス事業者が対応する立場にある一方、自社で発行した社員証・入退室カードは手当てされていない可能性が高い点です。まずは「自社のカードがいつ発行されたか」「カード内のデータだけで認証が完結していないか」を確認してください。

この記事でわかること

• CVE-2026-59776 で何が起きたのか、影響範囲はどこまでか
• なぜパッチで直せないのか、CVSS 7.0 を実務でどう読むか
• 情シスの盲点になりやすい「社員証・入退室カード」の点検ポイント
• 公表が2段階（2025年8月／2026年7月）になった経緯と、そこから学べること

何が起きたのか

JVNの公表内容を整理すると次のとおりです。

暗号処理のプロセスに特定の操作を行うと、設計上想定された保安水準が低下する、という性質の問題です。ソニーは対象チップを利用する事業者向けに対策ガイドラインを発行し、対策を進めてきたとしています。現時点で、悪用による被害事例は公表されていません。

スマートフォンのモバイルFeliCaは対象なのか

報道によれば、スマートフォンのモバイルFeliCaは対象外とされています（NTTドコモの説明として報じられています）。影響は物理的なICカードに限られる、という整理です。ただし自社の利用形態は、カードの発行元やシステムベンダーに直接確認するのが確実です。

なぜパッチで直せないのか

原因がICチップのハードウェア設計そのものにあるため、サーバやPCの脆弱性のように「修正版を配って終わり」にはできません。取りうる対応は次の3つに絞られます。

• カードそのものを新しい世代のチップへ更改する（コストと期間がかかる）
• システム側（サーバ側）で吸収する：カード内の情報を鵜呑みにせず、都度サーバで照合する／異常な利用を検知する／失効リストで無効化する
• 運用で守る：カードの貸与・返却・紛失時の失効を確実に回す

パッチが提供されない脆弱性への向き合い方は、ゼロデイ対応と発想が近いものがあります（関連：ゼロデイの無断公開、パッチ待ちの空白に情シスは何をすべきか）。

CVSS 7.0 は「すぐ危ない」という意味か

いいえ、遠隔から一斉に狙われる類の脆弱性ではありません。CVSSベクタの先頭にある AV:P（Attack Vector: Physical）が、攻撃者がカードの現物に物理的に触れられることを前提にしていることを示しています。ネットワーク越しに社内へ攻め込まれるタイプの脆弱性とは、緊急度の性質が異なります。

裏を返せば、実務上のトリガーは技術的な難しさよりも運用の穴です。カードの紛失・置き忘れ・盗難、退職者からの未回収、来訪者カードの持ち帰り。こうした「現物が第三者の手元にしばらく置かれる」状況が、そのまま攻撃の前提条件になります。カードの回収と失効が甘い組織ほど、この脆弱性の実効的なリスクは上がります。退職時の権限整理という観点では退職者の情報持ち出し発覚｜あすか製薬に学ぶ内部不正対策の論点とも重なります。

情シスの盲点は「社員証・入退室カード」

交通系ICカードや電子マネーは、発行元の事業者が影響範囲を把握し対応を進める立場にあり、利用者側が個別に動く場面は多くありません。

問題は自社で発行しているFeliCaカードです。社員証、入退室管理カード、社内食堂やコピー機の認証、工場の作業端末のログイン。「10年前に導入してから、カードの中身を意識したことがない」という状態になりがちです。発行年が2017年以前なら、対象チップである可能性を検討する必要があります。

設計によって影響度は大きく変わる

同じFeliCaカードでも、システムの作りによって受ける影響は変わります。一般論として、次の観点で自社の設計を確認すると優先度を判断しやすくなります。

カード内のデータだけで判定が完結する設計ほど、「チップ内データの改ざん」という今回の影響が直撃します。逆に、カードは本人を指し示すだけでサーバ側が最終判断をする設計なら、影響は限定的に抑えられます。この違いは公式発表には書かれていないので、システムベンダーに投げる質問として持っておくと話が早いです。

ベンダーに確認したいこと

• 当社が発行しているカードのチップは、CVE-2026-59776 の対象に該当するか
• 該当する場合、ソニーが事業者向けに発行した対策ガイドラインに沿った対応は済んでいるか
• 認証はカード内の情報だけで完結しているか、サーバ照合か
• 紛失・退職時の失効は、どの経路で・どれくらいの時間で各機器に反映されるか
• カード更改が必要な場合、費用と期間の見積もりはどうなるか

現場目線の所感

正直なところ、社員証のチップ世代まで台帳で管理できている組織は多くないと思います。入退室管理システムは総務部門の所管で情シスは関与していない、というケースも珍しくありません。PCやサーバの台帳は整備されていても、「カード」という資産は台帳の外側に置かれがちです。今回のような話が来て初めて、発行年もチップの型も誰も答えられないと気づく——十分ありえる展開です。

また、この脆弱性は「すぐに全社のカードを刷り直せ」という性質のものではありません。物理的にカードを入手される前提がある以上、まず効くのは高価な更改ではなく、紛失時に確実に失効させる運用という地味な作業です。派手な対応より、退職者リストと入退室システムの突き合わせを月次で回すほうが、費用対効果はずっと高い。こういう判断を落ち着いてできるかどうかが、CVSSの数字だけを見て慌てるのとの差になります。

公表が2段階になった経緯

この件は、2025年8月にソニーが告知を出した後、2026年7月にJVNから正式公表されるという2段階の流れになりました。当時、IPAの「情報セキュリティ早期警戒パートナーシップ」に基づく調整が完了する前に報道が先行し、関係事業者との調整が整わないまま情報が広まったことが問題として指摘されています。回避策が示されないまま危険性だけが伝わると、利用者を不安にさせるだけになりかねません。

情シスとしての教訓はシンプルです。報道の第一報ではなく、JVN・IPA・ベンダー公式といった一次情報で影響範囲を確定してから動くこと。そして経営層や他部署から「うちは大丈夫か」と聞かれたときに、一次情報を根拠に落ち着いて答えられる状態を作っておくことです。

情シスはどうすべきか

自前で長いチェックリストを作る前に、公的機関の指針を土台にするのが早道です。物理カードの管理は情報資産管理と入退室管理の一部として整理でき、ISMSの管理策とも接続します（ISMSとは？ISO/IEC 27001認証の基礎を解説）。

• 中小企業の情報セキュリティ対策ガイドライン（IPA）：情報資産の洗い出しと管理の基本形。社員証・入退室カードも「資産」として台帳に載せる出発点になります。
• 対策のしおり（IPA）：カードの紛失・置き忘れを減らすための、エンドユーザ向け啓発資料として使えます。物理カードのリスクは最終的に「持ち歩く人」の行動で決まるため、地道な周知が効きます。

カードを「認証手段のひとつ」として捉え直すなら、単一要素での認証に依存しない考え方も有効です（多要素認証（MFA）とは？仕組みと突破手口を解説）。重要区画の入室にはカードに加えて別の要素を求める、といった設計は、チップの世代に関係なくリスクを下げます。身近な機器が見落とされがちという意味では、リコー複合機のSSHに脆弱性、内部への踏み台の恐れと同じ構図です。

まとめ

1. CVE-2026-59776 は2017年以前出荷の一部FeliCa ICチップの問題で、ハードウェア起因のためパッチでは直せない。対応はカード更改・サーバ側での吸収・運用のいずれかになります。
2. CVSSは7.0だが AV:P＝カードの現物への物理アクセスが前提。遠隔攻撃ではなく、紛失・未回収といった運用の穴が実質的なリスク要因です。
3. 点検すべきは交通系ICより自社発行の社員証・入退室カード。発行年と「カード内データだけで判定が完結していないか」をベンダーに確認しましょう。

出典

• JVN#40509781: 非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性（2026年7月21日）
• ソニー株式会社「FeliCa ICチップに関するお知らせ」
• FeliCaの一部ICチップの脆弱性をJVNが発表、ソニーは「引き続き安心してご利用ください」（INTERNET Watch）
• FeliCaの“脆弱性”報道はなにが問題なのか（Impress Watch）
• 情報セキュリティ早期警戒パートナーシップガイドライン（IPA）