Posts in category: ブログ

2026年5月16日から発生したKDDIの情報漏洩（以下、情報漏えい）のような被害を防ぐには、単一の情報セキュリティ製品に頼らず、運用の見直し・監視の強化・入口での防御を重ねる多層防御が必要です。

今回の不正アクセスは、ソフトウェアの提供元すら把握していなかった未知の脆弱性が悪用されたもので、ひとつの対策だけで防ぎ切ることは困難でした。

本記事では、何が起きたのかを整理したうえで、対象サービスや原因、利用者が今すぐ取るべき対応と企業の対策を解説します。

KDDIの情報漏えいとは？

KDDIの情報漏えいは、同社がインターネットサービスプロバイダー（ISP）事業者向けに提供するメールシステムが不正アクセスを受け、利用者のメールアドレスとパスワードが流出した事案です。2026年6月に第一報が公表され、7月に件数が確定しました。

不正アクセスの概要と経緯

被害を受けたのは、KDDIが開発し、ISP事業者向けに提供していたメール基盤で、au メールなど自社のメールサービスとは別の設備で運用されていました。

不正アクセスは一部のISP事業者において2026年5月16日から発生しており、KDDIが確認したのは6月17日です。同日中にシステムを改修して脆弱性へ対処し、6月23日には第一報として最大1,422万件の漏えいの可能性を公表しました。その後、総務省から電気通信事業法に基づく報告を求められ、7月6日に報告書を提出するとともに確定件数を明らかにしています。

再発防止策としては、6月21日に外部通信を制御する全サーバーへのEDR導入を完了し、6月23日には第三者機関の調査で当該脆弱性以外に不審な痕跡がないことを確認しています。今後はAI等も活用したプログラム分析や、より安全な通信規格への移行を進めるとしています。

漏えいが確認された情報と件数

2026年7月6日の公表による確定件数は次のとおりです。

• 電子メールアドレス：約1,223万件（のちに1,223万1,954名へ訂正） 
• パスワード：約762万件（7,61万6,173名） 
• 解約済みや休眠のアカウント、ハッシュ化・暗号化されたパスワードも含む

パスワードの漏えい人数はメールアドレスの漏えい人数に含まれる「内数」であり、両者を足した数が被害総数になるわけではありません。

情報漏えいの対象は？auメールが大丈夫な理由

自分が対象かどうかは、利用中のメールサービスの提供事業者で判断できます。対象はメール基盤を利用していた6社に限られます。

対象となるサービス

対象となったのは次の6社のメールサービスです。集計単位が事業者ごとに異なるため、単純な合算はできません。

※上記の数字には、すでに解約した方や休眠アカウントも対象に含まれるため、注意が必要です。

auメール・UQ mobileメールが影響を受けない理由

au メール、UQ mobile メール、au one net メールについては、今回の影響はないとされています。これらがISP事業者向けメール基盤とは異なる設備で運用されているためです。

社名が同じKDDIであることから混同されやすいものの、被害を受けたのは他社のISPへ提供していた共通のメールシステムであり、自社の契約者向けサービスとは切り分けられています。

情報漏えいの原因はゼロデイ脆弱性

原因はメールシステムに組み込まれていた第三者製ソフトウェアの脆弱性であり、発覚時点で提供元すら認識していなかった点が特徴です。

情報漏えいの原因について

KDDIの公表によれば、今回の不正アクセスはシステムの一部として導入していた第三者製ソフトウェアの脆弱性を悪用されたものです。この脆弱性は、確認時点の6月17日でベンダー自身も把握していない、いわゆるゼロデイの状態でした。

修正プログラムが存在しない未知の脆弱性は事前に完全に塞ぐことが難しく、この前提が対策の考え方を左右します。

ゼロデイ攻撃については、以下の記事で詳しく解説しています。あわせてお読みください。

ゼロデイ攻撃とは？最新の手口や事例・有効な対策を紹介

なぜ被害が複数事業者に広がったのか

被害が6社にまたがった背景には、複数のISPが一つの共通基盤を利用していた構造があります。基盤側の脆弱性が、その上でサービスを提供していた各社へ連鎖的に波及しました。

これは委託先や利用中のソフトウェアの弱点が突かれるサプライチェーンリスクの典型例です。IPAの「情報セキュリティ10大脅威2026」でも上位に挙げられており、委託しているから安全とは限らないという教訓を示しています。

情報漏えいで想定されるリスク

最も警戒すべきなのは、他サービスへの二次被害です。同じパスワードを使い回していると、流出情報をもとに別サービスへログインを試みるパスワードリスト攻撃（クレデンシャルスタッフィング）でアカウントを乗っ取られるおそれがあります。ネットショッピングや金融サービスに波及すれば、不正購入や金銭被害につながるケースも見られます。

また、こうした事案の後は混乱に便乗したフィッシングメールが増える傾向にあります。使い回しが残る状態こそが最大のリスクと言えます。

【利用者向け】今すぐやるべきこと

対象サービスを利用中の方、または過去に利用していた方は、次の対応を早めに実施してください。

• まず対象のメールサービスのパスワードを変更する（各ISPの案内と期限を確認）
• 同じパスワードを使い回している他のサービスもあわせて変更する
• パスワードはサービスごとに別のものを設定し、管理ツールの活用も検討する 
• 対応しているサービスでは二段階認証（多要素認証）を有効にする
• 「パスワード変更のお願い」等の偽メールに注意し、公式サイトを自分で開いてログインする

メールソフトに保存したパスワードの更新漏れにも注意してください。

【企業向け】情報漏えいを防ぐための対策とは

企業が同種の被害を防ぐには、運用の見直しを土台に、ITツールによる監視、WAFによる入口防御を段階的に重ねる多層防御が有効です。

対策① 運用の見直し

定期的な脆弱性診断で自社システムや委託先の弱点を把握し、パッチ管理によって公表済みの脆弱性を早期に塞ぐ体制を整えます。今回のように委託先が起点となる事案もあるため、サプライチェーン全体を対象とした管理も欠かせません。

ただし修正プログラムが未提供のゼロデイ脆弱性には、運用の徹底だけでは限界があります。

対策② ITツール活用による監視・検知の強化

運用で塞ぎきれない部分を補うのが、ログ監視やEDR等のITツールによる検知です。前述のとおりKDDIもEDR導入を完了していますが、EDRは侵入そのものを事前に防ぐ製品ではなく、侵入後の不審な挙動を検知して対応を早める仕組みである点は理解しておく必要があります。

今回は攻撃の発生から認識まで約1カ月の空白がありました。この「気づくまでの時間」の短縮が、被害規模を左右します。

対策③ WAFの活用

異常に「気づく」体制に加え、入口で攻撃を「止める」層を担うのがWAFです。既知の攻撃パターンを遮断できるほか、脆弱性の公表後に本体の修正を待たず、仮想パッチで暫定的に通信を遮断できる点も利点です。

その点、Cloudbric WAF+であれば、既知の攻撃や不正アクセス、DDoS攻撃、ボット検知に対応するWAAP型のサービスとして、脅威の判明から防御適用までの時間を短縮できます。

もっともWAFも万能ではなく、運用の見直しや監視と組み合わせてこそ効果を発揮する多層防御の一層として位置づけることが大切です。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

よくある質問

Q1．自分は今回の漏えいの対象ですか？

対象となるのは、KDDIのISP向けメール基盤を利用していた6社（BIGLOBE、@nifty、J:COM NET、コミュファ光、ピカラ、CPI）の利用者です。解約済みの方や長期間使っていない方も含まれる可能性があるため、各社の公式案内をご確認ください。

Q2．漏えいの原因は何ですか？

メールシステムに導入していた第三者製ソフトウェアの脆弱性が悪用されたことが原因です。この脆弱性は、KDDIが確認した2026年6月17日時点でベンダーも認識していないゼロデイの状態でした。不正アクセスは一部の事業者で同年5月16日から発生していたとされています。

Q3．auメール・UQ mobileメールは大丈夫ですか？

au メール、UQ mobile メール、au one net メールは、今回のISP向けメール基盤とは別の設備で運用されていたため、影響はないとされています。対象となったのはISP事業者向けの共通メールシステムであり、自社の契約者向けサービスとは切り分けられています。

まとめ

KDDIの情報漏えいは、ISP事業者向けメール基盤の第三者製ソフトウェアに存在したゼロデイ脆弱性が悪用され、約1,223万件のメールアドレスと約762万件のパスワードが流出した事案です。対象は6社で、au メールなど自社サービスは影響を受けていません。

利用者はパスワード変更と使い回しの解消を、企業は運用の見直しから監視、入口防御へと重ねる多層防御を進めることが重要です。

入口対策として、Cloudbric WAF+の導入もあわせてご検討ください。

Webサイトやシステムを運営する企業にとって、WAF（Web Application Firewall）は欠かせないセキュリティ対策の1つです。WAFを導入することで、Webアプリケーションの脆弱性（セキュリティ上の弱点）を突く攻撃を検知・防御できます。

WAFの導入を検討する際、無視できないのがコスト面です。「どのWAF製品が自社に合っているのか」「料金はどのくらいかかるのか」といった疑問を抱える担当者は多いのではないでしょうか。

そこで本記事では、おすすめのWAF製品8選を料金や特徴とともに比較し、製品選びで押さえたいポイントを解説します。なお、WAFの仕組みや種類、導入メリットについて詳しく知りたい方は、次の記事もあわせてご覧ください。

WAF導入の方法は？メリット・デメリット・費用・注意点をわかりやすく解説

WAFのおすすめ8製品・料金比較表

本記事で紹介するおすすめWAF製品8選の料金や提供形態を一覧表でまとめました。まずは、自社の予算やシステム環境に合う製品の目星をつけるための参考にしてください。

※記載内容は2026年7月時点の公式サイト情報にもとづいています。

WAFのおすすめ8製品を紹介！

ここからは、比較表で挙げた各WAF製品の概要や強みを順番に解説します。料金だけでなく、導入のしやすさや運用負担も比較しながら、自社に適した製品を選びましょう。

①Cloudbric WAF+

「Cloudbric WAF+」は、特許取得のAI（人工知能）およびロジックベースの高精度な検知能力を持つクラウド型WAFです。WAF機能に加え、DDoS攻撃の対策やボット対策など、幅広いセキュリティ機能をオールインワンで提供します。

24時間365日体制の専門家による運用サポートが標準で付帯しているのが特長です。専任のセキュリティ担当者が不要となるため、運用にかかる見えない人件費を削減しやすいでしょう。

明快な料金体系を採用しています。初期費用は発生するものの、個別設定や環境構築、ポリシー作成といった導入支援サポートまで一貫して含まれる設計です。運用を含めたトータルコストを抑えたい企業におすすめです。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

②攻撃遮断くん

「攻撃遮断くん」は、国内で多くの導入実績を持つクラウド型WAFです。DNSの設定を切り替えるだけで、最短即日で導入を完了できるスピード感に定評があります。24時間365日の日本語サポートが用意されており、専門知識が少ない担当者でも安心です。

手軽な料金設定で、予算の限られた中小企業でも無理なくスタートできます。ただし、初期費用は導入する構成やプランによって変わってくるため、事前に確認しましょう。

③BLUE Sphere

「BLUE Sphere」は、多層的な防御をワンパッケージで提供するクラウド型WAFです。DDoS防御やWebサイトの改ざん検知までを1つのサービスでカバーしています。大きな特長は、万が一の事故に備えたサイバー保険が追加費用なしで自動付帯される点です。

料金体系は、サイバー攻撃を含む受信通信を含めず、送信（アウトバウンド）データ量のみを基準とします。過去3か月の合計データ量で費用を算出するため、突発的なアクセス増加による費用の増額が発生しません。1つの契約で20ドメインまで追加費用なしで保護できるため、複数のWebサイトを運営する企業におすすめです。

④AWS WAF

「AWS WAF」は、Amazon Web Services（AWS）環境に特化したクラウド型WAFです。あらかじめ用意された保護テンプレートなどを活用し、セキュリティ設定の手間を削減します。ボットの監視や制限をはじめ、APIやWebアプリケーションの保護に必要な機能を幅広くカバーしているのが特長です。

料金は初期費用なしの完全従量課金制で、設定したルール数や処理したリクエスト数に応じて細かく決まります。「Amazon CloudFront」など別のAWSサービス利用料に上乗せされるほか、ログの保存量でも費用が変動する仕組みです。料金体系がやや複雑な面があるため、導入時は自社のシステム構成に合わせた事前のコスト試算が欠かせません。

⑤Cloudflare WAF

「Cloudflare WAF」は、世界規模のネットワークから得られる脅威情報を活用したWAFです。機械学習を用いて、ゼロデイエクスプロイト（修正前の脆弱性を狙う攻撃）を自動で阻止します。複雑な専門知識がなくても、数回のクリックだけでスムーズに導入や設定を完了できる手軽さが特長です。

料金は月額20ドルから利用でき、Webサイトの規模や必要な機能に応じてプランを選択できます。上位プランでは、より高度なセキュリティ機能や細かなルール設定に対応可能です。ただし、大規模なシステムや高度な要件の場合は、個別見積もりのカスタムプランの利用が必要となります。

⑥SiteGuard

「SiteGuard」は、純国産のWAF製品です。クラウド型の「SiteGuard Cloud Edition」と、ソフトウェア型の「SiteGuard Server Edition」「SiteGuard Proxy Edition」から、環境に応じた導入形態を選べます。

クラウド型は通信量ごとの定額プラン、ソフトウェア型はOS単位の年間ライセンス契約です。クラウド型は、あらかじめ設定された通信量プランの中で定額利用する形で、超過通信量の扱いはプランごとに定められています。一方、ソフトウェア型は年額固定で、トラフィック量による課金はありません。

⑦Imperva WAF

「Imperva WAF」は、クラウド環境とオンプレミス環境の両方に対応するエンタープライズ向けのWAFです。自動ポリシー生成や脅威検知機能を備え、Cloud WAF（SaaS）とWAF Gateway（アプライアンス／ゲートウェイ）など、環境に応じた導入形態を選べます。

料金は要問い合わせとなり、導入規模や要件に応じた個別見積もりが前提です。本番環境で事前に検証済みの信頼できるルールが用意されているため、ブロッキングモード（不正な通信を自動で遮断する設定）でも安心して運用を始められます。大規模システムや厳しいセキュリティ要件を持つ環境に適した製品です。

⑧F5 Advanced WAF

「F5 Advanced WAF」は、主に専用ハードウェアを設置して運用するアプライアンス型WAFです。従来の機能に機械学習を用いたデータ分析を取り入れ、DDoS攻撃や悪質なボット通信を自動で防御します。通信の負荷を分散する機能やSSL処理（通信の暗号化）も標準装備した、オールインワンのパッケージが特長です。

料金は導入規模や要件に応じた個別見積もりが基本です。ガイド付きの設定や学習エンジンを備えているため、複雑な要件を持つシステムでも運用設計を進めやすい製品といえます。

WAF製品の料金を比較するときの2ポイント

WAF製品を選ぶ際は、目先の価格だけで判断しないことが大切です。ここでは、自社に合った製品を見つけるために、料金を比較する際のポイント2つについて解説します。

• ①料金体系（月額固定・従量課金・買い切り）を確認する
• ②目に見える料金だけでなく運用コストも確認する

①料金体系（月額固定・従量課金・買い切り）を確認する

WAFの料金体系は、大まかに「月額固定」「従量課金」「買い切り」の3種類に分けられます。それぞれ特徴が異なるため、自社の利用環境に合ったものを選びましょう。

たとえば、従量課金制は小規模な運用で費用を抑えやすい反面、アクセス数が増えると料金も高くなります。一方、月額固定制は毎月のコストを予測しやすく、急な出費を防げるのがメリットです。

また、買い切り型は初期費用が高くなりやすいものの、長期間利用する場合はトータルコストを抑えられます。導入時の金額だけでなく、数年単位の運用を見据えて比較すると判断しやすくなるでしょう。

②目に見える料金だけでなく運用コストも確認する

WAFの導入では、初期費用や月額料金にばかり意識が向きがちです。しかし、導入後に発生する「見えない運用コスト」も計算に入れなければなりません。日々のルール更新や誤検知への対応には、担当者の人件費がかかるためです。料金が安く見える製品でも、運用負担の大きさによっては結果としてトータルコストが高くなるケースがあります。

専門知識を持つエンジニアを自社で確保すると、かえって高くつくケースも少なくありません。そのため、初めから専門家の運用サポートが含まれている製品を選ぶことをおすすめします。表面的な料金だけでなく、運用負担を含めた総コストで判断することが大切です。

料金を抑えて無理なく導入するなら「Cloudbric WAF+」

WAFの選定では、初期費用や月額料金だけでなく、運用負担を含めたトータルコストの比較が重要になります。その点「Cloudbric WAF+」は、管理の手間を抑えながら幅広い攻撃へ対応できるクラウド型WAFです。AIを活用した高精度な攻撃検知をはじめ、次のような特長を備えています。

• WAFやDDoS対策など6つの機能を標準搭載
• AIを活用した高精度な攻撃検知と無料で自動更新されるSSL証明書
• 脅威情報に基づく悪性ボット遮断と専門家による24時間の運用サポート
• 初期費用と月額料金のプラン制で利用規模に合わせて導入しやすい
• DNS設定の変更のみで短期間で運用を開始しやすい

複数のセキュリティ製品を個別に契約すると、管理の負担が増えるだけでなくトータルコストも高くなりがちです。Cloudbric WAF+であれば、必要なセキュリティ機能をまとめて導入できるため、予算と運用効率の両立を目指す企業に適しています。

コストを抑えながら堅実にセキュリティを強化したい場合は、ぜひ導入をご検討ください。

▼Cloudbric WAF+の資料はこちら

▼お問い合わせはこちら

まとめ

Webサイトやシステムをサイバー攻撃から守るため、WAFの導入は不可欠なセキュリティ対策です。しかし、自社の環境に合わない製品を選んでしまうと、運用に手間取ったり無駄なコストが発生したりしかねません。

WAFの製品を比較する際は、初期費用や月額料金といった目に見える金額だけで判断しないことが大切です。日々のセキュリティ設定にかかる運用負担や、専任の担当者を配置する人件費なども計算に含めましょう。

運用負担を減らしつつ高い防御力を維持するためには、「Cloudbric WAF+」のようなサポート一体型の製品が向いています。自社の予算や体制に合ったWAFを選び、安全なWebサイト運用を実現しましょう。

APIセキュリティ対策には、認証・認可、通信の暗号化、脆弱性診断、WAF/WAAPによる入口防御を組み合わせた多層的な対策が必要です。APIは外部システムやアプリとデータをやり取りする「入口」であり、攻撃者に狙われやすい領域です。

その点、ペンタセキュリティのCloudbric WAF+であれば、DDoS攻撃遮断、API保護、ボット対策、悪性IP遮断により、APIを含むWebサービス全体の防御を強化できます。

本記事では、APIセキュリティの基礎、主なリスク、対策を解説します。 

APIセキュリティとは

APIセキュリティとは、APIを経由した不正アクセス、情報漏えい、サービス停止、データ改ざんなどを防ぐための対策です。APIは便利な連携口である一方、認証や権限管理が不十分だと攻撃者の侵入口になります。安全なAPI運用には、設計段階からの対策と運用中の監視が欠かせません。 

APIとは

APIとは、異なるソフトウェアやサービスをつなぎ、機能やデータをやり取りするための仕組みです。たとえば、地図情報の表示やECサイトの決済、SNSアカウントを使ったログインなどに利用されています。

人間社会に例えると、必要な情報や機能を受け渡す「受付窓口」のような役割を担います。一方で、利用者の本人確認やアクセス権限の設定が不十分な場合、第三者に情報を取得されるおそれがあるため、適切なセキュリティ対策が必要です。

APIセキュリティとは

APIセキュリティは、APIの「誰が、何に、どこまでアクセスできるか」を制御する考え方です。具体的には、認証、認可、通信の暗号化、レート制限、ログ監視、WAFによる攻撃遮断などを組み合わせます。APIはWeb画面の裏側で動きますが、攻撃者は直接APIを狙えます。

そのため、API単位の保護が必要です。Cloudbric WAF+は、API保護やDDoS攻撃遮断などを備えたクラウド型WAFサービスです。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

APIセキュリティが重要な理由

APIセキュリティが重要な理由は、APIが企業システムの接続点として急速に増えているためです。ここではその理由について細かく解説します。

① APIの普及で攻撃対象領域が拡大している

APIが増えると、攻撃者が狙える範囲も広がります。特に注意したいのが、開発中に作られたまま放置されたAPI、古いバージョンのAPI、管理台帳に載っていない「シャドーAPI」です。これらは認証設定やアクセス制御が古いまま残りやすく、攻撃の入口になります。

OWASP API Security Top 10 2023でも、APIは従来のWebアプリより多くのエンドポイントを公開しやすいため、適切な棚卸しと文書管理が重要だと示されています。

② API攻撃による被害と代表的な事例

API攻撃が成功すると、個人情報や顧客データの漏えい、不正ログイン、サービス停止、クラウドコストの増加などが発生します。海外では、T-Mobileが2023年にAPI経由で約3,700万人分の顧客情報に影響する侵害を公表しました。

国内でも、パーソルキャリアの「doda」において、求人広告の販売代理店向けシステムの不備により、採用担当者情報などが閲覧可能となった事例が公表されています。APIやシステム連携の不備は、企業の信用低下に直結する問題です。

サイバー攻撃を受けた企業については、以下の記事で詳しく解説しています。あわせてお読みください。

サイバー攻撃を受けた企業の事例11選【2024～2025年版】

APIに対する主なセキュリティリスク

APIセキュリティでは、OWASP API Security Top 10 2023を参考に、自社のリスクを整理することが有効です。ここではその代表的なリスクについて紹介します。

① 認証・認可の不備（BOLA・BFLA）

APIで特に重要なのが、認証と認可です。認証は「本人確認」、認可は「権限確認」です。BOLAは、URLやリクエスト内のIDを変更するだけで他人のデータにアクセスできてしまう不備です。BFLAは、本来使えない管理者機能などを一般利用者が実行できてしまう不備を指します。これらは正規のリクエストに見えるため、WAFだけでは防ぎにくく、サーバー側で都度権限を確認する設計が必要です。

② 過剰なデータ露出・情報漏えい

APIが必要以上の情報を返す設計も危険です。たとえば、画面には氏名だけを表示していても、APIレスポンスに住所や権限情報が含まれていれば、攻撃者に取得される可能性があります。レスポンスの中身を最小限にすることが重要です。Cloudbric WAF+による入口防御とあわせて、API側では「必要な項目だけ返す」設計を徹底します。 

③ リソースの過剰消費（DoS・DDoS攻撃）

レート制限のないAPIは、大量のリクエストにより、サーバー負荷の増加、サービス停止、クラウド利用料の増大を招きます。APIリクエストはサーバー資源を消費するため、攻撃を受けると運用コストにも影響します。Cloudbric WAF+は、L3/L4およびL7のDDoS攻撃遮断に対応しており、APIを含むサービス停止リスクの低減に役立ちます。

DDos攻撃への対策については、以下の記事で詳しく解説しています。あわせてお読みください。

DDoS攻撃への対策とは？攻撃手法や実際の被害事例も紹介

④ インジェクション攻撃・設定不備

SQLインジェクションやコマンドインジェクションは、APIに不正な入力を送り込み、データベース操作やサーバー上の命令実行を狙う攻撃です。また、詳細すぎるエラーメッセージや古いAPIの放置もリスクです。これらは既知の攻撃パターンとして検知しやすいため、WAF／WAAPの導入が有効です。

Cloudbric WAF+はWeb攻撃遮断に加え、API保護や悪性IP遮断を組み合わせて防御できます。

SQLインジェクションについては、以下の記事で詳しく解説しています。あわせてお読みください。

SQLインジェクションとは? 攻撃の仕組みや被害例、対策方法を解説

APIセキュリティの対策・ベストプラクティス

APIセキュリティ対策は、1つの製品だけで完結しません。認証・認可、暗号化、脆弱性診断、WAF/WAAPを組み合わせる多層防御が基本です。ここでは推奨されるベストプラクティスについて4つ紹介します。

① 認証・認可とアクセス制御を徹底する

まずは、APIにアクセスする利用者やシステムを正しく識別し、必要な権限だけを与えることが重要です。主な対策は以下のとおりです。

• OAuth 2.0やOpenID Connectなど標準的な認証方式を採用する
• APIキーやトークンに有効期限を設定する
• 最小権限の原則に基づき、必要な操作だけを許可する
• サーバー側で毎回、対象データへのアクセス権限を確認する
• 管理者向けAPIと一般利用者向けAPIを明確に分離する

特にBOLAやBFLAは、仕様や業務ロジックに関わるため、設計段階からの確認が欠かせません。

② 通信の暗号化とレスポンスの最小化

API通信では、HTTPS、つまりTLSによる暗号化を必須にするべきです。通信が暗号化されていないと、ネットワーク上でAPIキーやトークン、個人情報を盗聴される恐れがあります。また、APIのレスポンスは必要最小限に抑え、画面表示に使わない情報を返さない設計が重要です。

エラーメッセージにも注意が必要で、内部のテーブル名、サーバー情報、スタックトレースなどを出すと、攻撃者にヒントを与えてしまいます。

③ 脆弱性診断で潜在リスクを可視化する

API固有のリスクは、通常の画面操作だけでは見つけにくい場合があります。特にBOLAのような認可不備は、リクエスト内のIDやパラメータを変更し、権限外の情報にアクセスできるかを確認しなければ発見できません。

そのため、公開前や大きな仕様変更時には、APIに対応した脆弱性診断を行うことが有効です。WAFは入口で攻撃を遮断する対策ですが、設計上の不備をなくすには、診断による可視化と改修が必要です。

Cloudbric脆弱性診断については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric 脆弱性診断とは？6つの診断メニューと選ばれる理由を解説

④ WAF・WAAPを導入して多層防御を実現する

APIの入口対策として有効なのが、WAFやWAAPの導入です。WAFはWebアプリケーションへの不正な通信を検知・遮断する仕組みで、SQLインジェクション、XSS、既知の攻撃パターンへの対策に役立ちます。WAAPは、WAFに加えてAPI保護、DDoS対策、ボット対策などを含む考え方です。

Cloudbric WAF+は、WAF、DDoS攻撃遮断、API保護、ボット対策、悪性IP遮断を備えたクラウド型サービスです。また、導入時・運用時にセキュリティエキスパートによるマネージドセキュリティサービスを提供し、ダッシュボードや自動レポートによる可視化にも対応しています。

さらにAWS環境では、Cloudbric WMSによりAWS WAFのルール作成、ログ分析、新規脆弱性対応、24時間365日のサポートを受けられます。Cloudbric WMSは、OWASP Top 10対応のセキュリティポリシーやMalicious IP Reputationも提供しており、AWS WAFの運用負荷を抑えたい企業に適しています。

WAAPについては、以下の記事で詳しく解説しています。あわせてお読みください。

WAAPとは？次世代Web防御の仕組みとWAFからの進化を徹底解説

APIセキュリティに関するよくある質問

Q：WAFを導入すればAPIは完全に守れますか？

A：WAFはインジェクション、DDoS、悪性ボット、不審なアクセスの遮断に有効ですが、BOLAのような認可不備を完全に防ぐものではありません。認証・認可設計、脆弱性診断、Cloudbric WAF+による入口防御を組み合わせることが重要です。

Q：OWASP API Security Top 10とは何ですか？

A：OWASP API Security Top 10は、APIに特化した重大なセキュリティリスクを整理した一覧です。2023年版では、BOLA、認証不備、リソースの無制限消費、設定不備、API管理不備などが挙げられています。

Q：APIキーやトークンを安全に管理するには？

A：APIキーやトークンは、ソースコードに直接書かず、環境変数や秘密情報管理サービスで保管します。また、有効期限の設定、定期的なローテーション、不要キーの削除、利用状況の監視を行うことが重要です。

まとめ

APIセキュリティ対策では、認証・認可、通信の暗号化、レスポンスの最小化、脆弱性診断、WAF/WAAPによる入口防御を組み合わせる必要があります。APIは便利な連携口である一方、攻撃者にとっても狙いやすい入口です。特にBOLAやBFLAのような認可不備、過剰なデータ露出、リソースの過剰消費、インジェクション攻撃には注意が必要です。

その点、Cloudbric WAF+は、WAFに加えてDDoS攻撃遮断、API保護、ボット対策、悪性IP遮断を備えており、APIを含むWebサービス全体の入口防御を強化できます。AWS環境であれば、Cloudbric WMSによってAWS WAFの導入・運用負荷を抑えながら、高度な攻撃検知やログ分析、専門家によるサポートを活用できます。APIを安全に活用するには、開発時の設計対策と、Cloudbricによる運用中の防御を両立させることが重要です。

▼お問い合わせはこちら

▼Cloudbric WAF+の資料はこちら

WAF導入後に「正常な通信が止まる」「アラート対応が追いつかない」と悩む担当者は多いものです。その原因の多くは「過検知（過剰検知）」または「誤検知」にあり、適切なチューニングによって改善できる傾向にあります。これらの課題を効率よく解決するには、AI検知機能とマネージドサービスを備えたペンタセキュリティの「Cloudbric WAF+」の活用が有効です。

本記事では、過検知・誤検知の定義から原因、具体的なチューニング方法までを順に解説します。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

「セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介」

過検知・誤検知とは？

ここでは過検知と誤検知の違いについて紹介します。

過検知（False Positive）とは

過検知（False Positive）とは、正常な通信をWAFが攻撃と誤認してブロックする状態で、「フォルスポジティブ」や「過剰検知」「誤遮断」とも呼ばれます。

WAFのシグネチャーが正規リクエストの特定パターンと合致した際に発生しやすく、フォームへの特殊文字入力や大容量ファイルのアップロードなどが引き金になる傾向にあります。多発するとユーザーがサービスを正常に利用できなくなり、機会損失や顧客離れにつながる恐れがあります。

誤検知（False Negative）とは

誤検知（False Negative）とは、攻撃通信を正常と誤認して通過させてしまう状態で、「フォルスネガティブ」や「検知漏れ」とも呼ばれます。

未知の攻撃手法や、エンコード・分割送信といった回避テクニックを使った攻撃に対して発生しやすい傾向にあります。誤検知は気づかないうちに攻撃を通過させてしまうため、情報漏えいや不正アクセスといった直接的な被害につながる点で、より深刻な問題と言えます。

過検知と誤検知の違い

過検知と誤検知は対になる概念であり、WAFのセキュリティ強度を上げると過検知が増え、緩めると誤検知が増えるというトレードオフの関係にあります。これを最小化するために行うのが「チューニング」であり、WAF運用の核心となる作業です。

両者の違いを下表にまとめます。

WAFのシグネチャーの仕組みについては、以下の記事で詳しく解説しています。あわせてお読みください。

WAFのシグネチャーとは？仕組みや種類、設定・更新方法をわかりやすく解説

WAFで過検知・誤検知が発生する主な原因

WAFで過検知・誤検知が発生する原因には、以下の3つがあります。

原因①シグネチャー設定が厳格すぎる

ブラックリスト方式のWAFでは、広範な攻撃をカバーするために定義（シグネチャー）を厳しく設定しがちです。その結果、たとえばSQLインジェクション対策のルールが、通常のフォーム入力に含まれる記号を誤って捕捉してしまいます。そのため、自社サービスの通信仕様に即したカスタマイズが不可欠です。

原因②自社アプリの通信パターンをWAFが把握できていない

WAF導入直後やWebアプリのアップデート後は、新しい機能やパラメータをWAFが「未知の通信」として警戒し、過検知を引き起こします。本番環境に適用する前に、十分な学習期間や段階的な運用移行が必要です。

原因③マネージドルールの更新が意図せず影響する

クラウド型WAFのマネージドルールは自動更新で運用を簡略化しますが、予告なくルールが追加・変更されるため、昨日まで通過していたリクエストが突如ブロックされる場合があります。逆に新種攻撃への対応が遅れ、誤検知を招くリスクもあります。

過検知・誤検知がもたらすデメリット

過検知・誤検知を放置するとさまざまな悪影響が生じます。ここでは主な3つのデメリットを解説します。

①正規ユーザーの業務・取引機会が失われる

過検知によって正常なリクエストがブロックされると、ユーザーがWebサービスを利用できなくなり、業務停止や購入・申込みの失敗につながるケースが見られます。

特にECサイトやBtoBサービスでは、過検知が売上や契約機会の損失に直結する傾向にあります。さらに、ユーザーからの問い合わせ対応や復旧作業も必要となるため、カスタマーサポートへの負荷も増大し、企業の信頼性にも影響しかねません。

②重要な攻撃アラートが埋もれる

過検知が多発すると大量の誤アラートが発生し、SOC担当者がすべて確認できなくなる「アラート疲れ」に陥るケースがあります。

問題は、誤アラートの中に本物の攻撃通知が埋もれ、実際の侵害を見逃す二次的なリスクが生まれる点です。セキュリティアラートの大半を過検知・誤検知が占めるケースも多く、運用上の構造的な課題となっています。検知の質を高めることが、実際の脅威への対応力強化にもつながります。

③担当者の運用工数が大幅に増える

過検知が発生するたびに、担当者はログを確認してブロック内容を精査し、必要に応じてホワイトリストを追加する対応が求められます。

この作業は定型化されにくく専門知識も必要なため、属人化しやすい傾向にあります。人手不足が深刻な情シス部門では、過検知対応に追われて本来の業務が圧迫される悪循環も生じやすい点が課題です。継続的な運用を見据えるなら、運用支援機能を備えたWAFの選定が有効です。

WAFの過検知・誤検知を減らすチューニング方法

過検知・誤検知を減らすには、以下の4つのチューニング方法が有効です。

①まず検知モードで試験運用する

WAF導入時や設定変更時には、通信を遮断せず検知ログのみを取得する「検知モード」で試験運用することが推奨されます。実際の通信を1〜2週間程度観察し、過検知が発生する箇所を特定してから遮断モードへ移行することで、本番環境への影響を最小化できます。

たとえばCloudbric WAF+の場合、DNS切り替え後に標準で約1カ月間の検知モードで運用し、エキスパートが分析した検知ログをもとにポリシーを作成してから遮断モードへ切り替える仕組みになっています。

②ログを分析して過検知の発生パターンを特定する

検知モード中に収集したWAFログを分析し、どのURLへのアクセスがどのシグネチャーに引っかかっているのかを特定することが次のステップです。ログには送信元IP・リクエスト内容・適用ルールなどが記録されており、過検知の根本原因を絞り込む手がかりとなります。

こうしたログ分析の工数を抑えるなら、Cloudbric WAF+のように直感的なダッシュボードと検知ログメニューを備え、過去3カ月分のサマリーレポートも自動作成されるWAFを選ぶことで、担当者の負担を大幅に削減できます。

③ホワイトリスト・例外設定で対象を絞り込む

過検知と確認された通信には、送信元IP・URL・パラメータなどを指定した「ホワイトリスト（例外ルール）」を設定し、WAFの検査対象から除外する方法が有効です。ただし例外設定の範囲が広すぎると攻撃を通過させるセキュリティホールになるため、具体的かつ限定的に設定することが原則です。

自社での対応が難しい場合は、Cloudbric WAF+のようにマネージドサービスの一環としてエキスパートが誤検知対応を行うWAFを活用すれば、担当者がホワイトリストを設定する手間を省けます。

④AI検知で運用負荷を軽減する

シグネチャー照合だけに頼るWAFでは、未知の攻撃手法や通信パターンの変化への対応に限界があるため、AIを活用した異常検知機能を組み合わせることが過検知・誤検知の低減に有効です。AIが正常な通信パターンを継続的に学習することで、ルールに定義されていない攻撃も検知でき、正常通信の誤ブロックも抑えられる傾向にあります。

Cloudbric WAF+も論理演算検知エンジンに加え、Webトラフィック特性を学習するAIエンジンを搭載しており、過検知・誤検知の低減に貢献します。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

「Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説」

よくある質問（Q&A）

ここではよくある質問をまとめました。

Q1.過検知と誤検知はどちらが問題ですか？

過検知は業務停止など目に見える影響が出るため担当者が気づきやすい一方、誤検知は気づかないうちに攻撃が通過するため、直接的な被害リスクが高い傾向にあります。両者はともに低減することが目標であり、ルール設定の最適化によって両方を最小化し続けることが求められます。

Q2.WAFの過検知はどうすれば減らせますか？

検知モードで試験運用してログを収集→過検知パターンを特定→例外設定（ホワイトリスト）を絞り込んで追加、という手順が基本的な流れです。自社でのチューニングが難しい場合は、ベンダーへの運用委託やAI検知を備えたクラウド型WAFへの移行も有効な選択肢となります。

Q3.Cloudbric WAF+は過検知・誤検知にどう対処しますか？

Cloudbric WAF+はAIによるリアルタイム学習機能を備えており、検知精度が継続的に最適化されます。シグネチャーの自動更新や誤検知対応もベンダーに依頼できるため、担当者の運用負担を抑えながら検知漏れリスクも低減できます。詳細はCloudbric公式サイトからご確認ください。  

まとめ

WAFの過検知は正常な通信を誤ってブロックする問題、誤検知は攻撃を見逃す問題であり、両者はトレードオフの関係にあります。適切なチューニング（検知モード→ログ分析→例外設定）によって両者のバランスを最適化することが、WAF運用の核心です。

ただし、継続的なチューニングには専門知識と工数が必要なため、AI検知とマネージドサービスを備えたWAFを選ぶこともひとつの有効な解決策です。「Cloudbric WAF+」は、AIによる高精度検知で過検知・誤検知を最小化するクラウド型WAFです。

自社のセキュリティ強化をお考えの方は、ぜひお気軽にお問い合わせください。

▼お問い合わせはこちら

▼Cloudbric WAF+の資料請求

Webサイトへのサイバー攻撃は、WAF（Web Application Firewall）があれば防げたケースが数多く存在します。特にSQLインジェクション・サイト改ざん・パスワードリスト攻撃は、WAFが対応する代表的な脅威です。

本記事では、国内企業の実際の被害事例をもとに、各攻撃の手口とWAFによる防御効果を解説します。自社のリスクを把握し、適切な対策を検討するための参考にしてください。

WAFで防げるサイバー攻撃とは

Webアプリケーションへの攻撃は多様化していますが、WAFが有効に機能する攻撃と、別の対策との組み合わせが必要な攻撃があります。攻撃ごとの防御効果を把握することが、適切なセキュリティ対策の第一歩です。

以下の表に、代表的な攻撃種別とWAFによる防御可否をまとめました。

SQLインジェクションやXSSなどのアプリケーション層の攻撃については、WAFが不正なリクエストをリアルタイムで検知・遮断することで高い防御効果を発揮します。一方、パスワードリスト攻撃は「正規のID・パスワードを使ったログイン」であるため、WAF単体での判別には限界があり、多要素認証（MFA）やボット対策との併用が推奨されます。

ペンタセキュリティのCloudbric WAF+は、WAF機能に加えてボット対策・DDoS防御・API保護を統合したWAAP（Web Application and API Protection）型クラウドWAFとして、こうした複合的な脅威に備えることができます。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

「セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介」

SQLインジェクション攻撃による情報漏えい事例

SQLインジェクションとは、入力フォームやURLなどに不正な命令文を送り込み、データベースを不正に操作する攻撃です。ここでは実際にあった攻撃事例を２つ紹介します。

事例① 積水ハウス（2024年5月）

2024年5月、積水ハウス株式会社の会員制サービス「積水ハウス Net オーナーズクラブ」において、運用終了済みのページに残存していた脆弱性を突いたSQLインジェクション攻撃が発生しました。この攻撃により、メールアドレス、ログインID、パスワードの漏えいが確認され、最大46万人超の顧客情報についても漏えいの可能性が否定できない状況となっています。

使われなくなったページの脆弱性が攻撃の入り口となった事例です。WAFが導入され、適切に運用されていれば、不正なSQL文を含むリクエストを検知・遮断できた可能性があります。

事例② 学悠出版株式会社（2025年6月）

愛知全県模試を運営する学悠出版株式会社は、2025年6月30日にSQLインジェクション攻撃による不正アクセスを受け、塾関係者や模試受験者を含む最大約33万件の個人情報（氏名・住所・連絡先等）が漏えいした可能性があると発表しました。不正アクセスは2025年4月下旬に検出されましたが、対象データの一部は暗号化されており、個人の特定には別データベースとの照合が必要な状況です。

公表時点で情報の不正利用は確認されていませんが、教育機関は膨大な個人情報を保有する一方で、セキュリティリソースが不足しがちな傾向にあります。WAFの導入によって不正なSQLリクエストを遮断する仕組みを整えておくことが、こうした被害を未然に防ぐ鍵となったと考えられます。

サイト改ざんによる被害事例

Webサイトに悪意あるスクリプトを埋め込み、利用者のブラウザ上で不正な処理を実行させる攻撃です。ここでは実際にあった攻撃事例を２つ紹介します。

事例③ 全国漁業協同組合連合会「JFおさかなマルシェ ギョギョいち」（2024年8月）

全国漁業協同組合連合会（JF全漁連）が運営する通販サイト「JFおさかなマルシェ ギョギョいち」では、脆弱性を悪用した不正アクセスによりペイメントアプリケーションが改ざんされ、顧客のクレジットカード情報が攻撃者に継続的に送信される状態になっていました。

2024年5月14日に警視庁からの連絡で発覚しサイトは閉鎖されましたが、2021年4月から2024年5月の間に2万件超の個人情報が流出した可能性があります。このような脆弱性を突いた不正アクセスは、WAFが導入・適切に運用されていれば、不正なリクエストの段階で検知・遮断できた可能性が高いです。

事例④ タリーズコーヒージャパン（2024年10月）

タリーズコーヒージャパンのオンラインストアでは、システムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーションが改ざんされました。公式発表では、2020年10月から2024年5月の間に個人情報9万件超が漏えいした可能性があるとされています。

Webアプリケーションの脆弱性を悪用した不正アクセスによる改ざんは、WAFが導入されていれば不審なリクエストの検知・遮断により被害を防げた可能性があります。

パスワードリスト攻撃による不正ログイン事例

パスワードリスト攻撃とは、他サービスから流出したID・パスワードを使い、別のWebサービスへログインを試みる攻撃です。ここでは実際にあった攻撃事例を紹介します。

事例⑤ エン・ジャパン「エン転職」（2023年3月）

エン・ジャパンが運営する「エン転職」では、2023年3月に外部から不正に取得されたID・パスワードを利用するパスワードリスト攻撃（リスト型アカウントハッキング）が発生しました。発覚後は送信元IPアドレスからの通信をブロックし、全ユーザーのパスワードをリセットしましたが、登録されたユーザーの一部Web履歴書について、職歴や連絡先などの情報が閲覧された可能性があると公表されています。

パスワードリスト攻撃は正規ログインと見分けにくいため、多要素認証（MFA）の導入が根本対策となります。WAAP型のWAFは、ボット検知・レートリミット機能を内包していることが多く、認証強化と組み合わせることで多層防御を実現できるものがあります。

その他のサイバー攻撃事例については、以下の記事で詳しく解説しています。あわせてお読みください。

「【2025年最新】国内外のサイバー攻撃事例10選！対策方法も紹介」

WAFで防ぐための具体的な対策

上記の事例に共通するのは、Webアプリケーション層への攻撃が起点になっているという点です。自社のWebサービスを守るために、以下の対策を組み合わせることが推奨されます。

• WAF（Web Application Firewall）の導入：SQLインジェクション・XSSなどアプリケーション層の攻撃をリアルタイムで検知・遮断する
• 多要素認証（MFA）の導入：パスワードリスト攻撃による不正ログインを防止する
• ログイン試行回数の制限：自動化ツールによる大量ログイン試行を抑制する
• 定期的な脆弱性診断の実施：XSSやSQLインジェクションの脆弱性を事前に検出する
• ソフトウェア・CMSの最新化：既知の脆弱性を放置せず、パッチを迅速に適用する

Cloudbric WAF+は、WAF機能に加えてDDoS対策・ボット対策・API保護を統合したWAAP型クラウドWAFです。専門知識がなくてもマネージドサービスとして導入・運用が可能で、中小企業から大企業まで幅広い規模の組織で活用されています。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

「Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説」

よくある質問（Q&A）

ここではよくある質問を紹介します。

Q1. WAFで防げる攻撃と防げない攻撃の違いは？

WAFはSQLインジェクション・XSS・OSコマンドインジェクションなどのアプリケーション層の攻撃を得意とし、不正なリクエストをリアルタイムで遮断します。一方、パスワードリスト攻撃は正規のID・パスワードを使ったログインのため、WAF単体での判別には限界があります。レートリミット・多要素認証・ボット対策との併用が推奨されます。

Q2. 小規模な企業でもWAFは必要ですか？

はい、必要です。攻撃者は企業規模を問わず、自動化ツールで脆弱なサイトを標的にする傾向にあります。Cloudbric WAF+は月額2万8,000円〜から導入でき、専任のセキュリティ担当者がいなくてもマネージドサービスとして運用が可能です。中小企業でも導入しやすい価格帯と運用体制が整っています。

Q3. WAFを導入すれば情報漏えいはゼロになりますか？

WAFは多層防御の重要な一部ですが、単体で完全な防御を保証するものではありません。定期的な脆弱性診断・多要素認証の導入・ログ監視といった対策との組み合わせにより、リスクを大幅に低減できます。セキュリティ対策は導入後の継続的な運用と改善が重要です。

まとめ

今回紹介した事例の多くは、WAFが適切に導入・運用されていれば被害を防げた、または軽減できた可能性があります。SQLインジェクション・XSSなどのアプリケーション層の攻撃はWAFで対応でき、パスワードリスト攻撃には多要素認証やボット対策との併用が有効です。

これらの脅威からWebアプリケーションを守るには、Cloudbric WAF+の導入が有効です。WAAP型クラウドWAFとしてWAF・ボット対策・DDoS防御・API保護を統合しており、AIによる高精度な脅威検知とマネージド運用で継続的にセキュリティを強化できます。

自社のセキュリティ強化をお考えの方は、お気軽にペンタセキュリティまでお問い合わせください。

▼お問い合わせはこちら

▼Cloudbric WAF+の資料請求

近年、Webアプリケーションを狙ったサイバー攻撃は増加の一途をたどっており、企業がWebサービスを安全に運用するためのセキュリティ対策が急務となっています。そのなかで注目を集めているのが「WAF（Web Application Firewall）」の導入です。

本記事では、WAF導入のメリット・デメリット・費用・注意点をわかりやすく整理します。「自社にWAFは本当に必要か」「費用対効果はどうか」を検討中の情報システム担当者の方は、ぜひ参考にしてください。

WAFとは

WAFとは「Web Application Firewall（ウェブ・アプリケーション・ファイアウォール）」の略称で、Webアプリケーションへの通信をリアルタイムに検査し、不正なリクエストを検知・遮断するセキュリティ対策です。

クライアント（ブラウザ等）とWebサーバーの間に位置し、HTTP/HTTPS通信の内容を解析することで、通常のアクセスに見せかけた攻撃を識別・遮断します。Webアプリケーション層（L7）に特化した防御を担う点が、WAFの最大の特徴です。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介

ファイアウォール・IDS/IPSとの違い

WAFと混同されやすい製品として、従来のファイアウォールとIDS/IPSが挙げられます。両者の違いを整理すると、WAFの必要性がより明確になります。

従来のファイアウォールは、送受信先のIPアドレスやポート番号をもとに通信を制御します。Webサービスのように外部へ公開されたサーバーは、HTTP通信を原則許可する必要があるため、ファイアウォールだけではWebアプリケーション層の攻撃を防ぐことができません。

IDS/IPSはネットワーク全体を対象として通信を監視・防御しますが、こちらもWebアプリケーション固有の攻撃への対応は限定的です。WAFはこれら既存の対策では守りきれないWebアプリケーション層の脅威に、特化した防御を提供します。

WAF導入が必要な理由

IPA（独立行政法人情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」、4位「システムの脆弱性を悪用した攻撃」、9位「DDoS攻撃」がランクインしています。これらのうち複数は、WAFによる対策が有効な脅威です。

ファイアウォールやIDS/IPSだけでは守りきれないWebアプリケーション層への攻撃が増加している現在、WAFはWebサービスを運営する企業にとって、多層防御の一角を担う不可欠なセキュリティ対策となっています。

WAFで防げる主な攻撃

WAFが検知・遮断の対象とする代表的な攻撃は以下のとおりです。

• SQLインジェクション（データベースへの不正な命令文の挿入）
• クロスサイトスクリプティング（XSS）（悪意あるスクリプトをWebページに埋め込む攻撃）
• OSコマンドインジェクション（OSへの不正なコマンドを実行させる攻撃）
• クロスサイトリクエストフォージェリ（CSRF）（正規ユーザーになりすまして不正な操作を行う攻撃）
• パス名パラメーターの未チェック／ディレクトリ・トラバーサル（サーバー内の非公開ファイルへの不正アクセス）

一方、認証情報の窃取・内部不正・フィッシングメールなど、WAFの守備範囲外の脅威も存在します。WAFを過信せず、多層防御の一環として位置づけることが重要である点は、後のデメリット・注意点のセクションで改めて解説します。

WAFの種類と選び方

WAFには大きく3つの種類があり、自社の状況に合ったものを選ぶことが導入成功の鍵となります。

クラウド型WAF

クラウド上のサービスとして提供されるWAFです。DNSの設定変更のみで導入が完了するケースが多く、専用ハードウェアの設置やサーバーへのインストール作業が不要です。

シグネチャーの更新や運用管理はベンダー側が担うため、社内に専任のセキュリティエンジニアがいない企業でも導入・運用がしやすい傾向にあります。初期費用が低く月額課金制が一般的なため、導入ハードルが低い点も特徴です。

アプライアンス型WAF

専用ハードウェアをWebサーバーの手前に設置する形態です。高い処理性能とカスタマイズ性が特徴で、大規模なWebサービスや独自要件が多い環境に向いています。

一方で、初期費用・保守費用が高く、適切に運用できるエンジニアの確保に加え、場合によってはネットワーク設計の見直しが必要なこともあります。

ソフトウェア型WAF

自社サーバーにインストールして利用するタイプです。アプライアンス型と比較して初期費用を抑えやすく、自社環境に合わせたカスタマイズがしやすい点はメリットです。

一方、初期設定・運用・メンテナンスを自社で対応できるエンジニアが必要なため、導入前に社内のエンジニアリソースを確認しておくことが重要となります。

WAFの選び方については、以下の記事で詳しく解説しています。あわせてお読みください。

【2025年版】WAFのおすすめ4製品を比較！機能や価格をわかりやすく紹介

WAF導入のメリット

WAFを導入することで得られる主なメリットは3つです。

サイバー攻撃をリアルタイムで防御できる

WAFはWebアプリケーションへの通信をリアルタイムで検査するため、SQLインジェクションやXSSなどの攻撃を、被害が発生する前の通信段階で遮断できます。攻撃を受けてから事後対応するのではなく、攻撃そのものを未然に防げる点が大きなメリットです。

また、シグネチャー（攻撃パターン）の継続的な更新によって、新たな脅威にも対応できる体制を維持できます。

セキュリティリスクを可視化できる

WAFはWebアプリケーションへのすべての通信を記録するため、「どのような攻撃がいつ・どこから来ているか」をログとして把握できます。攻撃の傾向を定量的に把握できることは、自社のリスク状況を正確に理解するうえで重要です。

情報システム担当者が経営層へセキュリティ投資の必要性を説明する際の根拠データとしても活用でき、社内での合意形成をスムーズに進めやすくなります。

企業の信頼・ブランド価値を守れる

情報漏えいや不正アクセスが発生した場合、顧客・取引先からの信頼失墜や損害賠償リスクが生じます。IPA「情報セキュリティ10大脅威 2026」でも、機密情報を狙った標的型攻撃や内部不正による情報漏えいが上位にランクインしており、Webアプリケーションの保護はブランド価値を守ることに直結します。

WAFの導入は攻撃を防ぐ「防御」であると同時に、「セキュリティへの取り組みを対外的に示す」姿勢としても機能します。

WAF導入のデメリット・注意点

WAFは有効なセキュリティ対策ですが、過信は禁物です。主な注意点は3つあります。

WAFだけでは防げない攻撃もある

WAFが守備対象とするのはWebアプリケーション層への攻撃であり、すべての脅威をカバーするわけではありません。たとえば、フィッシングメールによる認証情報の窃取、内部不正、DDoS攻撃の一部（ネットワーク層攻撃）などはWAFの守備範囲外となるケースがあります。

WAFはあくまで多層防御の一環として位置づけ、ファイアウォール・IDS/IPS・エンドポイント対策などと組み合わせて運用することが重要です。

誤検知と運用チューニングにコストがかかる

WAFには、正常な通信を誤って攻撃と判断し遮断してしまう「誤検知」が発生するケースがあります。誤検知が多発すると、正規ユーザーのアクセスを妨げるため、利便性に影響が出る傾向にあります。

適切な検知精度を維持するためには、定期的なシグネチャーの更新とチューニングが必要です。これらの作業には専門知識と継続的な運用リソースが求められます。なお、クラウド型WAFの場合、シグネチャーの更新やチューニングをベンダー側が担うサービスもあり、運用負荷を軽減できます。

導入形態によってはネットワーク構成の変更が必要

アプライアンス型やソフトウェア型のWAFは、既存のネットワーク構成に変更が生じる場合があります。専門的な知識を持つエンジニアによる設計・導入作業が必要となるため、導入工数とコストがかさむケースも見られます。

一方でクラウド型WAFは、DNSの設定変更のみで導入が完了するケースが多く、エンジニアリソースが限られている企業でも比較的スムーズに導入できます。

クラウド型のCloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

まとめ

IPA「情報セキュリティ10大脅威 2026」が示すとおり、Webアプリケーションを狙うサイバー攻撃は年々多様化・高度化しています。WAFは、SQLインジェクションやXSSをはじめとするWebアプリケーション層の脅威に対応する、多層防御の重要な一手です。

一方、誤検知への対応や継続的な運用チューニング、ネットワーク構成の変更といった課題も存在します。これらのデメリットを解消する手段として、マネージドサービスが付帯したクラウド型WAFの導入が有効です。

「Cloudbric WAF+」は、DNSの設定変更のみで導入が完了するクラウド型WAFです。WAF機能に加え、DDoS攻撃遮断・ボット対策・API保護・Malicious IP遮断・SSL証明書の自動発行を統合した次世代のセキュリティサービスで、セキュリティエキスパートによる24時間365日のマネージドサービスが付帯しているため、社内に専任担当者がいない企業でも安心して運用いただけます。

自社のWebアプリケーションのセキュリティ強化をお考えの方は、ぜひお気軽にお問い合わせください。

2026年3月、JavaScriptの定番ライブラリ「axios」の公式配布経路が攻撃者に悪用され、マルウェアを含む不正バージョンが約39分間にわたって公開される事態が発生しました。短時間の公開ながら、多数の開発環境に影響が及んだ可能性があります。

本記事では、攻撃の概要・仕組みから影響の確認方法、感染時の対処、再発防止策まで順を追って解説します。

axiosのサプライチェーン攻撃とは

axiosは世界中の開発現場で利用されているJavaScriptの定番ライブラリです。2026年3月末、その公式配布経路を悪用したサプライチェーン攻撃が明らかになりました。攻撃の概要と仕組みを以下で解説します。

攻撃の概要と経緯

「axios（アクシオス）」とは、WebサービスやアプリがインターネットでデータをやりとりするためのJavaScriptライブラリです。2026年3月31日、このaxiosを配布しているnpm（Node Package Manager）を通じて、マルウェアを含む不正なバージョンが公開されました。

攻撃者はaxiosの管理者（メンテナー）のアカウントを乗っ取り、正規のソフトウェアに見せかけた悪性バージョン（1.14.1および0.30.4）を公開したと見られています。不正バージョンが公開されていた時間はわずか約39分間でしたが、その間に多数の環境に影響が及んだ可能性があります。

攻撃の仕組み・マルウェアの動作

今回の攻撃は、二段階の仕掛けで成立していました。

攻撃者はあらかじめ「plain-crypto-js」という悪意あるパッケージをnpmに登録しておき、悪性版axiosの依存関係（動作に必要な関連ソフトウェアのリスト）にそのパッケージを追加していました。そのため、開発者がnpm installを実行すると、インストール完了と同時にマルウェアが自動起動する仕組みになっていました。

起動したマルウェアはOSの種類（Windows・macOS・Linux）を自動判別し、それぞれに対応したRAT（遠隔操作型トロイの木馬）を取得・実行します。さらに実行後は自身の痕跡を消去するため、後から調査しても感染に気づきにくい点が特に問題視されています。

トロイの木馬ウイルスについては、以下の記事で詳しく解説しています。あわせてお読みください。

トロイの木馬ウイルスとは？特徴・症状・感染時の対処法をわかりやすく解説

axiosが狙われた原因とは

今回の攻撃の直接的な原因は、axiosの管理者のnpmアカウントが乗っ取られたことにあります。攻撃者は盗んだ認証情報を使って管理者になりすまし、正規の配布経路（npm）からマルウェア入りのaxiosを公開しました。利用者側からは通常の更新と見分けがつかないため、感染に気づくことが非常に困難な状況でした。

また、同時期にTrivyやLiteLLMなど複数のOSSも連続して侵害されており、組織的な攻撃とみられています。Googleのレポートでは、北朝鮮系サイバー攻撃グループ「UNC1069」との関連が指摘されています。

影響範囲および確認について

侵害されたバージョンは2つに限定されていますが、axiosを直接インストールしていない環境でも間接的に影響を受けるケースがあります。影響を受けるバージョンや環境の特徴、および確認方法を以下で紹介します。

影響を受けるバージョン・環境

今回侵害されたのは「axios@1.14.1」および「axios@0.30.4」の2バージョンです。「axios@1.14.0」（1.x系）および「axios@0.30.3」（0.x系）は対象外となっています。

注意が必要なのは、axiosを直接使用していない環境でも影響を受ける可能性がある点です。自社が導入している別のソフトウェアが内部でaxiosに依存していた場合（間接依存）、同様のリスクが生じます。

また、バージョンを固定せず「常に最新版を自動取得する」設定にしていた環境では、気づかないうちに悪性バージョンをインストールしていたケースも報告されています。

影響を受けているか確認する方法

まず、package-lock.jsonやyarn.lock（インストールされたバージョンを記録する管理ファイル）を確認し、axiosのバージョンが「1.14.1」または「0.30.4」になっていないかをチェックしてください。特に、日本時間の2026年3月31日 午前9時21分〜午後12時15分の間にnpm installを実行していた環境は優先的に確認が必要です。あわせて、「plain-crypto-js」というパッケージがインストールされていないかも確認してください。

ただし、マルウェアは実行後に痕跡を消去するため、インストール済みファイルの確認だけでは検知できないケースがあります。ネットワークログ（通信記録）に見慣れない外部サーバーへの接続記録がないかどうかをあわせて確認することを推奨します。

影響があった場合の対処

悪性バージョンをインストールした環境は、「すでに侵害されている」前提で対応することが重要です。

まず、影響を受けた端末をネットワーク（社内LANやインターネット）から即時切り離してください。その後、axiosを安全なバージョンに戻し、インストール済みの不正ファイルを削除して再インストールします。

次に、GitHubトークン・APIキー・クラウドサービス（AWS・GCPなど）の認証情報・データベースのパスワードなど、該当端末に保存されていたすべての認証情報を新しいものに変更（ローテーション）してください。CI/CD環境でaxiosを参照していた場合は、そこで使用しているシークレット（秘密鍵やトークン類）も対象に含めます。

感染が疑われる場合、端末をクリーンな状態から再セットアップする方が確実なケースも報告されています。被害の拡大を防ぐためにも、早期の対処が求められます。

実施すべき対策について

今回の攻撃を踏まえ、同様の被害を防ぐための対策を5つの観点から解説します。入口対策・出口対策・アカウント管理など複数の面から多層的に取り組むことが重要です。

ロックファイルの活用

まず取り組みやすい対策として、ロックファイルの活用が挙げられます。package-lock.jsonなどのロックファイルを必ず使用することで、意図しないバージョンアップを防ぐことができます。

あわせて、npmのmin-release-age設定（クールダウン機能）の活用も有効です。これは新しく公開されたパッケージをすぐにインストールしないようにする設定で、推奨は7日程度とされています。

公開直後の悪性パッケージを自動的に取り込まないようにすることで、セキュリティコミュニティが悪意あるコードを発見・報告するための時間的な余裕を確保できます。

CI/CD環境の設定を見直す

CI/CD環境（ソフトウェアのビルド・テスト・リリースを自動化する仕組み）では、最小権限の原則を徹底し、必要最小限の認証情報のみを設定することが基本です。

あわせてSCAツール（Software Composition Analysis）を導入し、依存パッケージのリスクを継続的に監視することを推奨します。SCAツールとは、使用しているソフトウェアの構成部品を分析し、既知の脆弱性がないかチェックするツールです。

今回のような複数のOSSへの連続攻撃は今後も増加傾向にあると見られており、サプライチェーン全体でのセキュリティ強化が求められます。

多要素認証（MFA）の導入

今回の攻撃の根本原因は、管理者の認証情報が盗まれたことにあります。この再発を防ぐうえで最も効果的な対策が、多要素認証（MFA：Multi-Factor Authentication）の導入です。

MFAとは、パスワードに加えてスマートフォンへの通知や認証アプリのコードなど、複数の方法で本人確認を行う仕組みです。npmなどの開発者アカウントにMFAを設定することで、パスワードが盗まれた場合でも不正ログインを防ぐことができます。

開発者個人のアカウントだけでなく、CI/CDシステムやサービス連携用のアカウントにも同様の対策を講じることが重要です。

脆弱性診断・SBOM等の利用

SBOM（Software Bill of Materials：ソフトウェア部品表）とは、自社のシステムがどのソフトウェアやライブラリを使用しているかを一覧化したものです。SBOMを整備しておくことで、今回のaxiosのように広く使われているライブラリが攻撃を受けた際に、自社への影響を迅速に把握できます。

脆弱性診断と組み合わせることで、知らないうちに混入した危険なソフトウェアの早期発見にもつながります。SBOMの作成・管理にはSCAツールを活用することで、手作業の負担を大幅に削減できます。

脆弱性については、以下の記事で詳しく解説しています。あわせてお読みください。

脆弱性とは？被害例や攻撃手法、セキュリティ対策方法を紹介

WAFの活用

今回のマルウェアは感染後、攻撃者のC2サーバー（攻撃者がウイルスに指示を送るための外部サーバー）へ60秒ごとに通信を送り続ける動作が確認されています。

WAF（Web Application Firewall）を導入することで、こうした不審な外部通信や不正リクエストをリアルタイムで検知・遮断できます。パッケージ管理やバージョン固定といった「入口対策」と、WAFによる不審通信の遮断という「出口対策」を組み合わせた多層防御が、サプライチェーン攻撃への現実的な対応策となります。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

まとめ

今回のaxiosサプライチェーン攻撃は、正規の配布経路そのものが悪用された点が最大の特徴です。約39分という短時間で実行された攻撃は、「インストール後に確認する」という従来型の対策だけでは対応が困難であることを示しています。ロックファイルの活用・MFAの導入・SBOMの整備を組み合わせた多層的な対策に取り組むことが、今後のリスク低減につながります。

出口対策として、WAFの導入も有効な手段のひとつです。 「Cloudbric WAF+」は、サプライチェーン攻撃によるマルウェア感染後のC2通信をはじめ、Webアプリケーションへの多様な脅威をリアルタイムで検知・遮断するクラウド型WAFです。

ソフトウェアサプライチェーンのリスク対策をご検討の際は、ぜひお気軽にお問い合わせください。

企業のWebサイトやシステムを狙うサイバー攻撃は、年々高度化・多様化しています。攻撃者はソフトウェアの脆弱性を悪用し、不正アクセスや情報漏えいを引き起こします。こうした脅威に対処するためには、まず自社システムの脆弱性を正確に把握することが重要です。

Cloudbric 脆弱性診断は、セキュリティエキスパートによる診断と脅威インテリジェンスを活用した診断サービスです。本記事では、6つの診断メニューの詳細と選ばれる理由を解説します。

Cloudbric 脆弱性診断とは

Cloudbric 脆弱性診断は、ペンタセキュリティ株式会社が提供するセキュリティ診断サービスです。セキュリティの知識・技術を有するエキスパートが、お客さまのWebサイトやシステムの診断を行い、既知の脅威への脆弱性を検出します。

6つの診断メニューを用意しており、診断結果に基づくソリューション提案まで一貫して対応できる点が特長です。

脆弱性については、以下の記事で詳しく解説しています。あわせてお読みください。

脆弱性とは？被害例や攻撃手法、セキュリティ対策方法を紹介

脆弱性診断が求められる背景

近年、自社のセキュリティの不備が原因で取引先やお客様にまで被害が及ぶ「サイバー脅威の横展開」が深刻化しています。業者のVPNの脆弱性を踏み台にされて病院業務が数カ月間麻痺した事例や、サプライヤーのサーバーへの不正アクセスで生産ラインが停止した事例も報告されています。

IPAの「情報セキュリティ10大脅威 2026」でも、サプライチェーンの弱点を悪用した攻撃が組織向け脅威の上位にランクインしています。企業全体のセキュリティレベルは最も弱い部分によって決まるとされており、最適な防御手段を検討するための第一歩として、脆弱性診断の重要性が高まっています。

ツール診断と手動診断の違い

脆弱性診断の手法は、ツール診断（自動診断）と手動診断の2種類に大きく分けられます。ツール診断はコストを抑えて短期間で実施できますが、画一的な検査になりやすく、誤検知が紛れて本当のリスクを判断しにくいケースも見られます。

一方、手動診断はエキスパートが対象システムの構成や特性を踏まえて柔軟に対応するため、ツール診断では見落としやすい脆弱性も検出できる傾向にあります。Cloudbric 脆弱性診断はエキスパートによる手動診断を基本としており、最新の攻撃手法を網羅した検出アプローチでリスクを多角的に可視化します。

Cloudbric 脆弱性診断の6つの診断メニュー

Cloudbric 脆弱性診断では、企業のシステム環境に応じて選択できる6つの診断メニューを用意しています。各メニューの概要を紹介します。

①Webサイト診断

企業の公開Webサイト（主に静的なサイト）に特化した診断です。外部からの攻撃者目線でリスクを多角的に診断する「ベースプラン」を軸に、Webアプリケーション診断項目やプラットフォーム診断項目を加味する「オプション１」、WordPress固有の脆弱性を詳細に診断する「オプション２」を選択できます。

②Webアプリケーション診断

Webアプリケーションのセキュリティ脆弱性を診断するメニューです。OWASPやIPA「安全なWebサイトの作り方」等の外部基準を満たす診断項目をベースに、深刻度×悪用度の評価スコアで優先対応すべき脆弱性を明確化します。

OWASP ZAPによる自動スキャンの「クイックツールスキャン」、攻撃者目線で素早く診断する「ライトスキャン」、高リスクの脆弱性を網羅する「スタンダードスキャン」、カスタマイズ手法で最多項目をカバーする「アドバンススキャン」の4プランから選択できます。

③API診断

APIに潜む脆弱性を国際基準に基づく診断項目で可視化するメニューです。国際認定ハッカー資格を持つ技術者が、APIのアーキテクチャを分析した上で手動診断を実施します。

OWASP ZAPを使用した自動診断の「クイックツールスキャン」と、外部基準に基づく多角的な手動診断の「スタンダードスキャン」の2プランを用意しています。

④プラットフォーム診断

ミドルウェアやOS、ネットワーク機器などの脆弱性を診断するメニューです。CVEやCVSSに加え、EPSSを活用した独自のスコアリングロジックにより、本当のリスクを特定・可視化します。

主要ポートを中心に迅速に完了する「クイックスキャン」と、全ポートを対象にした包括的な「スタンダードスキャン」の2プランから選択できます。

⑤スマートフォンアプリ診断

スマートフォンアプリのセキュリティリスクを可視化する診断メニューです。静的解析と動的解析を組み合わせ、API通信やデータ保存の不備、セッション管理の脆弱性を検出します。

ツール中心の「クイックツールスキャン」、OWASP Mobile Top10に基づく「スタンダードスキャン」、より多くの攻撃ベクトルを取り入れた「アドバンススキャン」の3プランを用意しています。

⑥ペネトレーションテスト

脆弱性診断が既知の脆弱性を洗い出す手法であるのに対し、ペネトレーションテストは実際の攻撃手法を用いてシステムへの侵入可否や影響範囲を検証する実践的な手法です。フロントエンドからインフラまで全レイヤーに対して包括的にテストを実施し、自動ツールでは検出できない脆弱性を手動で発見します。

基本的なテストを迅速に行う「エントリープラン」（5日間目安）と、詳細なテストを行う「スタンダードプラン」の2つを用意しています。脆弱性診断と組み合わせることで、より強固なセキュリティ体制の構築につながります。

ペネトレーションテストについては、以下の記事で詳しく解説しています。あわせてお読みください。

ペネトレーションテストとは？脆弱性診断との違いや目的・方法について解説

Cloudbric 脆弱性診断が選ばれる理由

脆弱性診断サービスが数多く存在するなかで、Cloudbric 脆弱性診断が選ばれる5つの理由を解説します。

理由①エキスパートによる高精度な手動診断

診断を担当する技術者は、インシデント情報や最新の脆弱性情報を定期的に収集・解析しているエキスパートです。企業様の環境に合わせた柔軟な対応が可能で、20年以上のWAF専門メーカーとしてWebアプリケーションの脅威と攻撃手法を知り尽くす技術者が、深堀したリスク対策の根拠を提供します。

理由②脅威インテリジェンスに基づく最新の診断項目

Cloudbricは171カ国・約70万サイトから独自に収集した脅威インテリジェンスの分析に基づき、最新の脆弱性・攻撃手法を網羅した診断項目を整備しています。国際的な非営利団体「CTA（Cyber Threat Alliance）」に加盟しており、脅威データの価値と分析技術の専門性が国際的に認められています。診断項目は絶えず最適化され、最新の脅威動向を反映した診断を提供します。

理由③深刻度×悪用度の評価スコアで対応優先度を明確化

Webアプリケーション診断では、CVSSスコア（脆弱性の深刻度）にEPSS情報（実際に悪用される可能性の推定値）を組み合わせた網羅的な評価スコアを算出します。深刻度と悪用度の両面から優先対応すべき脆弱性を的確に提示できるため、限られたリソースで効率的にセキュリティ対策を進められます。

理由④診断から対策まで一貫したソリューション提案

診断結果に基づき、クラウド型WAFサービス「Cloudbric WAF+」をはじめとしたソリューションの提案・導入サポートまで一貫して対応します。脆弱性の認識から対策、継続的なセキュリティ強化まで総合的に支援できるのが、Cloudbricの強みです。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

理由⑤複数人体制による安定した品質管理

プロジェクトの各プロセスに複数人の責任者をアサインし、安定した品質管理のもとでサービスを提供しています。プロジェクトマネージャー、セキュリティエンジニア、品質管理者が連携し、事前確認→診断実施→最終チェック→品質管理部門確認→納品の5段階で診断漏れや精度のバラつきをコントロールします。

Cloudbric 脆弱性診断の導入の流れ

Cloudbric 脆弱性診断は、必要なタイミングにリーズナブルな価格で専門的な診断を受けたい企業のために設計されたサービスです。サービスの利用は、以下の4つのフェーズで進みます。

1. 事前準備：診断対象と実施日時を決定します。診断種類に応じて、画面遷移図や診断用アカウント、対象機器情報などのご提供をお願いしています。
2. 診断実施：リモートで診断を行います。稼働中のシステムを停止せずにインターネット経由で実施するため、業務への影響を抑えられます。重大な脆弱性が発見された場合は緊急報告を行います。
3. 報告：診断終了後3営業日を目安に報告書を納品します。総合結果・総評、発見した脆弱性の概要、各リスクの詳細が含まれます。オプションで診断結果説明会も利用可能です。
4. アフターサポート：報告書記載内容のQA対応や、必要に応じた再診断を実施します。

まとめ

サイバー攻撃が巧妙化する中、自社のセキュリティの不備が取引先や顧客に被害を広げるリスクは高まっています。脆弱性診断による現状把握は、対策の第一歩です。

Cloudbric 脆弱性診断は、6つの診断メニューとエキスパートの診断で高精度にリスクを可視化し、脅威インテリジェンスに基づく最新の診断項目と独自の評価スコアで優先対応すべき脆弱性を明確化します。診断結果に基づくCloudbric WAF+等の対策提案まで一貫して支援する体制も整っています。

自社のセキュリティ強化をお考えの方は、ぜひお気軽にお問い合わせください。

お問い合わせはこちら

Cloudbric 脆弱性診断について詳しく見る

2024年6月、クレジットカード業界の国際セキュリティ基準「PCI DSS」の最新版「v4.0.1」が公開されました。v4.0は2024年末で廃止され、現時点ではv4.0.1が唯一有効なバージョンです。さらに、2025年4月以降はベストプラクティスとして猶予されていた要件もすべて義務化されています。

本記事では、v4.0.1の概要やv4.0からの改訂内容、押さえておくべき主要要件、準拠に向けた対応ポイントをわかりやすく解説します。

PCI DSSとは

PCI DSS（Payment Card Industry Data Security Standard）とは、クレジットカード情報を安全に取り扱うために策定された国際セキュリティ基準です。Visa、Mastercard、JCBなど国際カードブランド5社が共同設立したPCI SSC（PCI Security Standards Council）が策定・管理しています。

「安全なネットワークの構築と維持」「カード会員データの保護」など6つの目標と12の要件で構成されており、カード情報を扱う事業体に対して準拠が求められます。

準拠が求められる事業体

PCI DSSの準拠が求められるのは、クレジットカード情報を保存・処理・伝送するすべての事業体です。具体的にはECサイト運営者を含む加盟店、決済代行業者、カード発行会社、ホスティングプロバイダなどが該当します。

v4.0以降では、カード会員データ環境（CDE）のセキュリティに影響を与える可能性のある事業体にも適用範囲が明確に拡大されました。日本国内では、割賦販売法の実務上の指針として位置づけられている「クレジットカード・セキュリティガイドライン」においてもPCI DSS準拠が求められており、カード情報を取り扱う企業にとって対応は不可欠と言えます。

PCI DSS v4.0.1とは

PCI DSS v4.0.1は、2026年4月現在、PCI DSSの唯一有効な最新バージョンです。ここでは、v4.0.1のリリース背景と、v4.0から改訂されたポイントについて解説します。

v4.0.1の位置づけとリリース背景

PCI DSSは2022年3月に約8年ぶりとなるメジャーバージョンアップ「v4.0」がリリースされました。その後、PCI SSCに寄せられたフィードバックや質問を反映する形で、2024年6月11日にマイナーアップデート版の「v4.0.1」が公開されています。

v4.0は2024年12月31日をもって廃止され、2025年1月以降はv4.0.1が唯一有効なバージョンとなりました。また、v4.0で「ベストプラクティス」として猶予期間が設けられていた64の要件についても、2025年4月1日以降はすべて完全に義務化されています。

v4.0からv4.0.1への全体的な改訂内容

v4.0.1はあくまで限定的な改訂であり、新規要件の追加や既存要件の削除は行われていません。主な改訂内容は、誤植や書式の修正、ガイダンスの整合性と明確化、用語の整理、全体的な表現の統一、テスト手順の調整などです。

つまり、v4.0.1はv4.0の基本的な方向性を維持しつつ、文書の可読性と正確性を高めた「軽微なアップデート版」に位置づけられます。既存の技術的な対応計画への影響は限定的ですが、準拠性の評価を受ける際にはv4.0.1の文書を参照する必要がある点に留意しましょう。

個別に改訂された主要4要件

v4.0.1では全体的な表現修正に加え、以下の4つの要件で個別に改訂が行われています。

• 要件8.4.2：カード会員データ環境（CDE）へのアクセスに対する多要素認証（MFA）の適用範囲と実装方法が明確化 
• 要件11.6.1：決済ページのスクリプト改ざん検知に関する適用範囲と実装方法が整理 
• 要件12.1.4：情報セキュリティポリシーにおける責任者・役割定義の記述を見直し 
• 要件12.8.2：TPSP（第三者サービスプロバイダ）との契約書維持について、「該当する場合のみ」と条件が整理

いずれも新規追加ではありませんが、解釈の差異を防いで審査時のトラブルを回避するため、改訂内容を正確に把握しておくことが重要です。

PCI DSS v4.0.1の主な要件と特徴

v4.0.1では、v4.0で導入された多くの新要件がそのまま継承されています。従来のv3.2.1と比較すると大幅にセキュリティ要件が強化されており、ここでは特に注目すべき5つの特徴を解説します。

特徴① カスタマイズアプローチとリスクベースの考え方

v4.0以降では、従来の「定義されたアプローチ」に加えて「カスタマイズアプローチ」が導入されました。これは、PCI DSSの要件が定める目的を満たす限り、事業体が独自のセキュリティコントロールを設計・実装できる仕組みです。

また、リスクベースの考え方も強化されており、ターゲットリスク分析の結果に基づいて、セキュリティ対策の実施頻度や範囲を事業体が主体的に決定できるようになりました。画一的な基準を一律に適用するのではなく、自社の環境に応じた合理的で効果的な対策が可能になった点が大きな特徴です。

特徴② 認証・パスワード要件の強化

認証に関する要件は大幅に強化されています。パスワードの最低文字数がこれまでの8文字から12文字以上に引き上げられたほか、要件8.4.2でカード会員データ環境へのすべてのアクセスに多要素認証（MFA）が必須化されました。

さらに、共有アカウントや汎用アカウントに関する要件も厳格化されており、アカウント管理全般の見直しが求められます。なお、v4.0.1では要件8.4.2の適用範囲に関する表現がより明確に整理されているため、最新の文書に基づいた対応が重要です。

特徴③ ディスク暗号化に関する制限

v4.0で新たに追加された要件のひとつが、PAN（カード会員番号）の保護におけるディスクレベル/パーティションレベルの暗号化の使用制限です。ディスク暗号化ではOSの認証を通過すればデータが復号された状態でアクセスできてしまうため、カード情報保護の手段としては不十分と判断されました。

代わりに求められるのは、ファイル暗号化や列・フィールドレベルのデータベース暗号化、アプリケーションレベルの暗号化など、より粒度の細かい方式です。この要件は2025年4月1日以降、完全に義務化されているため、ディスク暗号化のみで対応していた事業体は早急に見直しが必要です。

特徴④ WAF導入の義務化

要件6.4.2では、一般公開されているWebアプリケーションに対して、WAF（Web Application Firewall）の導入が義務化されました。従来のv3.2.1では、WAFの導入と侵入テストのいずれかを選択することが認められていましたが、v4.0以降ではWAFの導入が必須要件となっています。

WAFはWebベースの攻撃をリアルタイムで検知・遮断する自動化された技術ソリューションであることが求められており、ECサイトやオンライン決済サービスを運営する事業体にとっては、対応の優先度が高い要件です。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介

特徴⑤ オンラインスキミング対策

近年急増しているWebスキミング攻撃への対策として、要件6.4.3と11.6.1が新たに追加されました。要件6.4.3では、決済ページ上で実行されるすべてのスクリプトを棚卸しし、許可されたもののみが動作する仕組みの整備が求められます。

要件11.6.1では、決済ページのHTTPヘッダーやコンテンツの改ざんを検知し、担当者に通知する仕組みの導入が義務化されています。v4.0.1では要件11.6.1の適用範囲に関する記述も明確化されました。悪意あるJavaScriptの埋め込みによるカード情報の窃取を防ぐために、これらの対策は欠かせません。

PCI DSS v4.0.1準拠に向けた対応ポイント

全要件が完全義務化された現在、自社の準拠状況を改めて確認し、未対応の要件があれば早急に対策を講じることが求められます。ここでは、対応時に押さえるべき2つのポイントを紹介します。

自社の準拠状況の再点検

まず取り組むべきは、ベストプラクティスとして猶予されていた要件が対応済みかどうかの再点検です。特に、WAF導入（要件6.4.2）、オンラインスキミング対策（要件6.4.3・11.6.1）、ディスク暗号化の見直し（要件3.5.1.2）、MFAの全面適用（要件8.4.2）は優先的に確認すべきポイントです。

v4.0.1の最新文書に基づいてギャップを洗い出し、QSA（認定評価機関）や専門家との連携によって対応計画を策定することが有効です。

セキュリティサービスの活用による効率的な対応

WAF導入義務化やオンラインスキミング対策など、v4.0.1で求められる技術要件は、自社だけで対応するのが困難なケースも少なくありません。

クラウド型WAFやマネージドセキュリティサービスを活用することで、導入・運用の負荷を軽減しながら要件への準拠が可能です。サービスを選定する際は、最新のPCI DSS v4.0.1への対応実績があるかどうかを確認することが重要なポイントとなります。

ペンタセキュリティのクラウド型セキュリティサービス「Cloudbric WAF+」については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

まとめ

PCI DSS v4.0.1は、現時点で唯一有効な最新バージョンであり、2025年4月以降はすべての要件が完全義務化されています。WAF導入やオンラインスキミング対策、ディスク暗号化の見直しなどの対応状況を改めて確認し、最新の要件に即したセキュリティ体制を整備することが推奨されます。

サイバー攻撃からWebアプリケーションを守るには、WAFの導入が効果的です。「Cloudbric WAF+」は最新のPCI DSS v4.0.1に準拠したクラウド型WAFで、SQLインジェクションやクロスサイトスクリプティング（XSS）をはじめとする攻撃を、AIベースの検知エンジンでリアルタイムに検知・遮断します。専門知識がなくても導入・運用が容易で、PCI DSS準拠を目指す事業者のセキュリティ基盤として幅広く活用されています。

自社のPCI DSS対応をご検討の方は、ぜひお気軽にお問い合わせください。

お問い合わせはこちら

Cloudbric WAF+について詳しく見る

近年、悪意あるボットによるスクレイピング攻撃が増加傾向にあります。競合他社による価格情報の不正取得、大量のID・パスワードを使った不正ログイン（クレデンシャルスタッフィング）、AI学習データを目的とした無差別なデータ収集など、その被害は多岐にわたります。

本記事では、スクレイピングの仕組みや主な手口、実際の被害事例を整理したうえで、robots.txtからレートリミット・CAPTCHA・WAF導入まで、有効な対策を網羅的に解説します。

スクレイピングとは

スクレイピングとは、プログラムが自動でWebサイトにアクセスし、データを収集する技術です。正当な用途でも広く使われている一方、悪用されるケースも増えており、自社サイトへの脅威として注目されています。ここではスクレイピングについて紹介します。

スクレイピングの仕組み

スクレイピングとは、プログラムが自動でWebサイトにHTTPリクエストを送信し、返ってきたHTMLを解析してデータを抽出する技術です。通常のブラウザアクセスと同じ仕組みを利用するため、見た目上は「普通のアクセス」と区別がつきにくい点が特徴です。

混同されやすい「クローリング」はサイトを巡回してページを特定する行為であり、スクレイピングはそこからデータを抽出する行為を指します。実際の攻撃では、この2つを組み合わせた手法が一般的です。

スクレイピングが使われる用途

スクレイピングには正当な用途と悪用される用途の両面があります。正当な用途としては、価格比較サイトによる商品情報の自動収集、研究目的でのデータ収集、SEOツールによる自社サイト情報の定期取得などが挙げられます。

一方で悪用されるケースも少なくありません。競合他社の価格情報の不正取得、大量のメールアドレス・個人情報の収集、AIモデルへの無断データ提供などが問題となっています。同じ技術が合法・違法の両面で使われうる点が、対策を複雑にしています。

スクレイピングの違法性

スクレイピング自体は、法律で一律に禁止されているわけではありません。ただし、以下のような場合には法律に抵触するリスクがあります。

• 不正アクセス禁止法：認証を回避してアクセスした場合
• 著作権法：コンテンツをそのまま無断複製・公開した場合
• 不正競争防止法：営業秘密にあたる情報を取得した場合
• その他利用規約違反：AmazonやXなど、スクレイピングを明示的に禁止しているサービスへのアクセス

違法かどうかはアクセスの方法や目的、取得した情報の扱いによって判断が異なります。「スクレイピングだから問題ない」と一概に判断できない点には注意が必要です。

スクレイピングの主な手口

Webスクレイピングの手口は年々高度化しており、単純なボットから人間の操作を模倣した高度なツールまで、さまざまな方法が用いられています。ここでは、代表的な4つの手口を紹介します。

単純なHTTPリクエストによる手口

最も基本的な手口が、PythonのRequestsライブラリやBeautifulSoupを使って静的なHTMLを直接取得する方法です。JavaScriptを使わないシンプルなサイトや、APIエンドポイントが外部に露出しているサイトが標的になりやすい傾向があります。

短時間に大量のリクエストを送ることでサーバーに過負荷をかけ、サービス障害を引き起こすケースもあります。

ブラウザ自動化ツールを悪用した手口

SeleniumやPlaywright、Puppeteerといったブラウザ自動化ツールを使い、実際のブラウザ操作を模倣する手口です。

JavaScriptが必要なSPAやログイン後のページにもアクセスでき、通常のブラウザと見分けがつきにくい点が特徴です。単純なUAフィルタでの検知が難しく、CAPTCHAの突破にも悪用されるケースがみられます。

プロキシ・IPローテーションを使った手口

攻撃者が数百〜数千のIPアドレスを使い回すことで、IPブロックをすり抜ける手口です。一般家庭のIPアドレス（レジデンシャルプロキシ）を経由することで検知がさらに難しくなります。

クラウドサービスや海外のVPSを経由するケースも多く、地理的なアクセス制限も回避されやすい点が課題となっています。

偽CAPTCHAを悪用した手口

本物のCAPTCHAに見せかけた偽の認証画面をユーザーに表示し、マルウェアのインストールや認証情報の入力へ誘導する手口です。

スクレイピングの前段階として正規ユーザーのアカウント情報を不正取得するフィッシング的な使われ方が問題となっており、IPAの「情報セキュリティ10大脅威 2025」でも注意が呼びかけられています。

スクレイピングによる被害事例

スクレイピングや悪意あるボットによる被害は、情報窃取からサービス障害まで幅広い範囲に及んでいます。ここでは、実際に発生している代表的な3つの被害事例を紹介します。

事例①　クレデンシャルスタッフィング攻撃（リスト型攻撃）

クレデンシャルスタッフィングとは、スクレイピング等で収集した大量のID・パスワードをボットで自動入力し、不正ログインを試みる手口です。国内でも通販・ECサイトへのなりすまし注文や不正購入の被害が相次いでおり、警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」でもリスト型攻撃が深刻な問題として取り上げられています。正規の認証情報を使うため通常のログインとの区別がつきにくく、被害に気づきにくい点が厄介です。

事例②　ECサイトへの不正アクセス・カード情報窃取

ボットによる自動探索でECサイトの脆弱なエンドポイントを発見し、ペイメントアプリケーションを改ざんしてカード情報を窃取するWebスキミングも確認されています。経済産業省の「クレジットカード・セキュリティガイドライン」でも深刻な脅威として取り上げられています。

改ざんに気づかないまま長期間放置されるケースもあり、発覚時には数万件規模の個人情報・カード情報が流出していたという事例も報告されています。

事例③　AIボットによる大規模スクレイピングとサービス障害

AI学習データの需要急増を背景に、大規模ボットによるスクレイピングがWebサービスのサーバー負荷を急増させ、サービス障害を引き起こすケースが増加傾向にあります。X（旧Twitter）が2023年に受けたAIボットによる大量スクレイピングはその代表例として知られています。

IPA「情報セキュリティ10大脅威 2026」でも、AIを悪用した攻撃の高度化・自動化がスクレイピング被害拡大の背景として指摘されています。

スクレイピングに有効な対策とは

スクレイピング攻撃への対策は、単一の手法だけでは効果が限定的です。複数の対策を組み合わせることで、ボットの検知精度と防御の強度を高めることができます。ここでは、代表的な6つの対策を紹介します。

robots.txtの設定

robots.txtとは、Webサイトのルートディレクトリに設置するテキストファイルで、クローラーに対してアクセスの可否を伝える仕組みです。

Googleなどの正規クローラーはrobots.txtを尊重しますが、悪意あるボットは無視するケースが多く、これだけで攻撃を防ぐことはできません。あくまでアクセス制御の入口として位置づけ、他の対策と組み合わせることが重要です。

レートリミット

レートリミットとは、特定のIPアドレスや接続元から一定時間内に送信できるリクエスト数に上限を設ける対策です。異常に高頻度なアクセスをボットとして検知・制限できます。

初歩的なスクレイパーには有効ですが、プロキシIPローテーションを使うボットには回避される場合もあるため、IPブロックやUA検証と組み合わせた運用が推奨されます。

IPアドレスのブロック

アクセスログを分析し、短時間に大量リクエストを送信しているIPや既知の悪性IPをブロックする方法です。データセンターやVPSのIPレンジ単位でのブロックも有効です。

ただし、レジデンシャルプロキシを使われると検知が難しくなるため、IPブロック単独には限界があります。定期的なブロックリストの更新と、他の検知手法との組み合わせが求められます。

ユーザーエージェント（UA）の検証

HTTPリクエストに含まれるUA情報を検証し、スクレイピングライブラリの特徴的な文字列（例：Python-requests）などをフィルタリングする方法です。低度な攻撃には一定の効果がありますが、SeleniumなどによるUA偽装には突破されやすい点が課題です。

UA検証単独での判定は危険なため、行動分析など他の指標と組み合わせた多層的な判定が必要です。

CAPTCHAの導入と偽CAPTCHAへの注意

CAPTCHA（reCAPTCHAなど）は、人間であることを確認するチャレンジを課すことで、ボットによる自動アクセスを抑制する仕組みです。

一方で、偽CAPTCHAを使ってマルウェア感染や認証情報の詐取を狙う攻撃も増えており、IPAも注意を呼びかけています。正規のCAPTCHAサービスの使用と、ユーザーへの周知を組み合わせることが重要です。

WAF（Web Application Firewall）の導入

WAFは、Webアプリケーションへの通信をリアルタイムで監視・解析し、ボットや不正なリクエストを自動的に検知・遮断するセキュリティ対策です。IPブロック・UA検証・レートリミット・シグネチャマッチングなどを統合的に実行できる点が特徴で、スクレイピング対策の中核として機能します。

特にクラウド型WAFは最新の攻撃パターンへの対応が自動更新され、専門知識がなくても導入・運用しやすい傾向にあります。

以下の記事ではWAFの4製品を比較しています。あわせてお読みください。

【2025年版】WAFのおすすめ4製品を比較！機能や価格をわかりやすく紹介

まとめ

スクレイピング攻撃は、クレデンシャルスタッフィングやWebスキミング、AIボットによるサービス障害など多様な被害につながります。robots.txtやIPブロック・UA検証といった個別手法は有効ですが、単独では限界もあります。これらを組み合わせた多層防御の中核となるのが、WAFの導入です。

「Cloudbric WAF+」は、WAF・ボット対策・DDoS防御・API保護を統合したクラウド型WAFです。AIによる自動検知で未知の攻撃にも対応し、専門知識がなくても導入・運用が容易です。

スクレイピング対策の強化をお考えの方は、ぜひお気軽にお問い合わせください。