Posts in category: ブログ

WAF導入後に「正常な通信が止まる」「アラート対応が追いつかない」と悩む担当者は多いものです。その原因の多くは「過検知（過剰検知）」または「誤検知」にあり、適切なチューニングによって改善できる傾向にあります。これらの課題を効率よく解決するには、AI検知機能とマネージドサービスを備えたペンタセキュリティの「Cloudbric WAF+」の活用が有効です。

本記事では、過検知・誤検知の定義から原因、具体的なチューニング方法までを順に解説します。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

「セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介」

過検知・誤検知とは？

ここでは過検知と誤検知の違いについて紹介します。

過検知（False Positive）とは

過検知（False Positive）とは、正常な通信をWAFが攻撃と誤認してブロックする状態で、「フォルスポジティブ」や「過剰検知」「誤遮断」とも呼ばれます。

WAFのシグネチャーが正規リクエストの特定パターンと合致した際に発生しやすく、フォームへの特殊文字入力や大容量ファイルのアップロードなどが引き金になる傾向にあります。多発するとユーザーがサービスを正常に利用できなくなり、機会損失や顧客離れにつながる恐れがあります。

誤検知（False Negative）とは

誤検知（False Negative）とは、攻撃通信を正常と誤認して通過させてしまう状態で、「フォルスネガティブ」や「検知漏れ」とも呼ばれます。

未知の攻撃手法や、エンコード・分割送信といった回避テクニックを使った攻撃に対して発生しやすい傾向にあります。誤検知は気づかないうちに攻撃を通過させてしまうため、情報漏えいや不正アクセスといった直接的な被害につながる点で、より深刻な問題と言えます。

過検知と誤検知の違い

過検知と誤検知は対になる概念であり、WAFのセキュリティ強度を上げると過検知が増え、緩めると誤検知が増えるというトレードオフの関係にあります。これを最小化するために行うのが「チューニング」であり、WAF運用の核心となる作業です。

両者の違いを下表にまとめます。

WAFのシグネチャーの仕組みについては、以下の記事で詳しく解説しています。あわせてお読みください。

WAFのシグネチャーとは？仕組みや種類、設定・更新方法をわかりやすく解説

WAFで過検知・誤検知が発生する主な原因

WAFで過検知・誤検知が発生する原因には、以下の3つがあります。

原因①シグネチャー設定が厳格すぎる

ブラックリスト方式のWAFでは、広範な攻撃をカバーするために定義（シグネチャー）を厳しく設定しがちです。その結果、たとえばSQLインジェクション対策のルールが、通常のフォーム入力に含まれる記号を誤って捕捉してしまいます。そのため、自社サービスの通信仕様に即したカスタマイズが不可欠です。

原因②自社アプリの通信パターンをWAFが把握できていない

WAF導入直後やWebアプリのアップデート後は、新しい機能やパラメータをWAFが「未知の通信」として警戒し、過検知を引き起こします。本番環境に適用する前に、十分な学習期間や段階的な運用移行が必要です。

原因③マネージドルールの更新が意図せず影響する

クラウド型WAFのマネージドルールは自動更新で運用を簡略化しますが、予告なくルールが追加・変更されるため、昨日まで通過していたリクエストが突如ブロックされる場合があります。逆に新種攻撃への対応が遅れ、誤検知を招くリスクもあります。

過検知・誤検知がもたらすデメリット

過検知・誤検知を放置するとさまざまな悪影響が生じます。ここでは主な3つのデメリットを解説します。

①正規ユーザーの業務・取引機会が失われる

過検知によって正常なリクエストがブロックされると、ユーザーがWebサービスを利用できなくなり、業務停止や購入・申込みの失敗につながるケースが見られます。

特にECサイトやBtoBサービスでは、過検知が売上や契約機会の損失に直結する傾向にあります。さらに、ユーザーからの問い合わせ対応や復旧作業も必要となるため、カスタマーサポートへの負荷も増大し、企業の信頼性にも影響しかねません。

②重要な攻撃アラートが埋もれる

過検知が多発すると大量の誤アラートが発生し、SOC担当者がすべて確認できなくなる「アラート疲れ」に陥るケースがあります。

問題は、誤アラートの中に本物の攻撃通知が埋もれ、実際の侵害を見逃す二次的なリスクが生まれる点です。セキュリティアラートの大半を過検知・誤検知が占めるケースも多く、運用上の構造的な課題となっています。検知の質を高めることが、実際の脅威への対応力強化にもつながります。

③担当者の運用工数が大幅に増える

過検知が発生するたびに、担当者はログを確認してブロック内容を精査し、必要に応じてホワイトリストを追加する対応が求められます。

この作業は定型化されにくく専門知識も必要なため、属人化しやすい傾向にあります。人手不足が深刻な情シス部門では、過検知対応に追われて本来の業務が圧迫される悪循環も生じやすい点が課題です。継続的な運用を見据えるなら、運用支援機能を備えたWAFの選定が有効です。

WAFの過検知・誤検知を減らすチューニング方法

過検知・誤検知を減らすには、以下の4つのチューニング方法が有効です。

①まず検知モードで試験運用する

WAF導入時や設定変更時には、通信を遮断せず検知ログのみを取得する「検知モード」で試験運用することが推奨されます。実際の通信を1〜2週間程度観察し、過検知が発生する箇所を特定してから遮断モードへ移行することで、本番環境への影響を最小化できます。

たとえばCloudbric WAF+の場合、DNS切り替え後に標準で約1カ月間の検知モードで運用し、エキスパートが分析した検知ログをもとにポリシーを作成してから遮断モードへ切り替える仕組みになっています。

②ログを分析して過検知の発生パターンを特定する

検知モード中に収集したWAFログを分析し、どのURLへのアクセスがどのシグネチャーに引っかかっているのかを特定することが次のステップです。ログには送信元IP・リクエスト内容・適用ルールなどが記録されており、過検知の根本原因を絞り込む手がかりとなります。

こうしたログ分析の工数を抑えるなら、Cloudbric WAF+のように直感的なダッシュボードと検知ログメニューを備え、過去3カ月分のサマリーレポートも自動作成されるWAFを選ぶことで、担当者の負担を大幅に削減できます。

③ホワイトリスト・例外設定で対象を絞り込む

過検知と確認された通信には、送信元IP・URL・パラメータなどを指定した「ホワイトリスト（例外ルール）」を設定し、WAFの検査対象から除外する方法が有効です。ただし例外設定の範囲が広すぎると攻撃を通過させるセキュリティホールになるため、具体的かつ限定的に設定することが原則です。

自社での対応が難しい場合は、Cloudbric WAF+のようにマネージドサービスの一環としてエキスパートが誤検知対応を行うWAFを活用すれば、担当者がホワイトリストを設定する手間を省けます。

④AI検知で運用負荷を軽減する

シグネチャー照合だけに頼るWAFでは、未知の攻撃手法や通信パターンの変化への対応に限界があるため、AIを活用した異常検知機能を組み合わせることが過検知・誤検知の低減に有効です。AIが正常な通信パターンを継続的に学習することで、ルールに定義されていない攻撃も検知でき、正常通信の誤ブロックも抑えられる傾向にあります。

Cloudbric WAF+も論理演算検知エンジンに加え、Webトラフィック特性を学習するAIエンジンを搭載しており、過検知・誤検知の低減に貢献します。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

「Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説」

よくある質問（Q&A）

ここではよくある質問をまとめました。

Q1.過検知と誤検知はどちらが問題ですか？

過検知は業務停止など目に見える影響が出るため担当者が気づきやすい一方、誤検知は気づかないうちに攻撃が通過するため、直接的な被害リスクが高い傾向にあります。両者はともに低減することが目標であり、ルール設定の最適化によって両方を最小化し続けることが求められます。

Q2.WAFの過検知はどうすれば減らせますか？

検知モードで試験運用してログを収集→過検知パターンを特定→例外設定（ホワイトリスト）を絞り込んで追加、という手順が基本的な流れです。自社でのチューニングが難しい場合は、ベンダーへの運用委託やAI検知を備えたクラウド型WAFへの移行も有効な選択肢となります。

Q3.Cloudbric WAF+は過検知・誤検知にどう対処しますか？

Cloudbric WAF+はAIによるリアルタイム学習機能を備えており、検知精度が継続的に最適化されます。シグネチャーの自動更新や誤検知対応もベンダーに依頼できるため、担当者の運用負担を抑えながら検知漏れリスクも低減できます。詳細はCloudbric公式サイトからご確認ください。  

まとめ

WAFの過検知は正常な通信を誤ってブロックする問題、誤検知は攻撃を見逃す問題であり、両者はトレードオフの関係にあります。適切なチューニング（検知モード→ログ分析→例外設定）によって両者のバランスを最適化することが、WAF運用の核心です。

ただし、継続的なチューニングには専門知識と工数が必要なため、AI検知とマネージドサービスを備えたWAFを選ぶこともひとつの有効な解決策です。「Cloudbric WAF+」は、AIによる高精度検知で過検知・誤検知を最小化するクラウド型WAFです。

自社のセキュリティ強化をお考えの方は、ぜひお気軽にお問い合わせください。

▼お問い合わせはこちら

▼Cloudbric WAF+の資料請求

Webサイトへのサイバー攻撃は、WAF（Web Application Firewall）があれば防げたケースが数多く存在します。特にSQLインジェクション・サイト改ざん・パスワードリスト攻撃は、WAFが対応する代表的な脅威です。

本記事では、国内企業の実際の被害事例をもとに、各攻撃の手口とWAFによる防御効果を解説します。自社のリスクを把握し、適切な対策を検討するための参考にしてください。

WAFで防げるサイバー攻撃とは

Webアプリケーションへの攻撃は多様化していますが、WAFが有効に機能する攻撃と、別の対策との組み合わせが必要な攻撃があります。攻撃ごとの防御効果を把握することが、適切なセキュリティ対策の第一歩です。

以下の表に、代表的な攻撃種別とWAFによる防御可否をまとめました。

SQLインジェクションやXSSなどのアプリケーション層の攻撃については、WAFが不正なリクエストをリアルタイムで検知・遮断することで高い防御効果を発揮します。一方、パスワードリスト攻撃は「正規のID・パスワードを使ったログイン」であるため、WAF単体での判別には限界があり、多要素認証（MFA）やボット対策との併用が推奨されます。

ペンタセキュリティのCloudbric WAF+は、WAF機能に加えてボット対策・DDoS防御・API保護を統合したWAAP（Web Application and API Protection）型クラウドWAFとして、こうした複合的な脅威に備えることができます。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

「セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介」

SQLインジェクション攻撃による情報漏えい事例

SQLインジェクションとは、入力フォームやURLなどに不正な命令文を送り込み、データベースを不正に操作する攻撃です。ここでは実際にあった攻撃事例を２つ紹介します。

事例① 積水ハウス（2024年5月）

2024年5月、積水ハウス株式会社の会員制サービス「積水ハウス Net オーナーズクラブ」において、運用終了済みのページに残存していた脆弱性を突いたSQLインジェクション攻撃が発生しました。この攻撃により、メールアドレス、ログインID、パスワードの漏えいが確認され、最大46万人超の顧客情報についても漏えいの可能性が否定できない状況となっています。

使われなくなったページの脆弱性が攻撃の入り口となった事例です。WAFが導入され、適切に運用されていれば、不正なSQL文を含むリクエストを検知・遮断できた可能性があります。

事例② 学悠出版株式会社（2025年6月）

愛知全県模試を運営する学悠出版株式会社は、2025年6月30日にSQLインジェクション攻撃による不正アクセスを受け、塾関係者や模試受験者を含む最大約33万件の個人情報（氏名・住所・連絡先等）が漏えいした可能性があると発表しました。不正アクセスは2025年4月下旬に検出されましたが、対象データの一部は暗号化されており、個人の特定には別データベースとの照合が必要な状況です。

公表時点で情報の不正利用は確認されていませんが、教育機関は膨大な個人情報を保有する一方で、セキュリティリソースが不足しがちな傾向にあります。WAFの導入によって不正なSQLリクエストを遮断する仕組みを整えておくことが、こうした被害を未然に防ぐ鍵となったと考えられます。

サイト改ざんによる被害事例

Webサイトに悪意あるスクリプトを埋め込み、利用者のブラウザ上で不正な処理を実行させる攻撃です。ここでは実際にあった攻撃事例を２つ紹介します。

事例③ 全国漁業協同組合連合会「JFおさかなマルシェ ギョギョいち」（2024年8月）

全国漁業協同組合連合会（JF全漁連）が運営する通販サイト「JFおさかなマルシェ ギョギョいち」では、脆弱性を悪用した不正アクセスによりペイメントアプリケーションが改ざんされ、顧客のクレジットカード情報が攻撃者に継続的に送信される状態になっていました。

2024年5月14日に警視庁からの連絡で発覚しサイトは閉鎖されましたが、2021年4月から2024年5月の間に2万件超の個人情報が流出した可能性があります。このような脆弱性を突いた不正アクセスは、WAFが導入・適切に運用されていれば、不正なリクエストの段階で検知・遮断できた可能性が高いです。

事例④ タリーズコーヒージャパン（2024年10月）

タリーズコーヒージャパンのオンラインストアでは、システムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーションが改ざんされました。公式発表では、2020年10月から2024年5月の間に個人情報9万件超が漏えいした可能性があるとされています。

Webアプリケーションの脆弱性を悪用した不正アクセスによる改ざんは、WAFが導入されていれば不審なリクエストの検知・遮断により被害を防げた可能性があります。

パスワードリスト攻撃による不正ログイン事例

パスワードリスト攻撃とは、他サービスから流出したID・パスワードを使い、別のWebサービスへログインを試みる攻撃です。ここでは実際にあった攻撃事例を紹介します。

事例⑤ エン・ジャパン「エン転職」（2023年3月）

エン・ジャパンが運営する「エン転職」では、2023年3月に外部から不正に取得されたID・パスワードを利用するパスワードリスト攻撃（リスト型アカウントハッキング）が発生しました。発覚後は送信元IPアドレスからの通信をブロックし、全ユーザーのパスワードをリセットしましたが、登録されたユーザーの一部Web履歴書について、職歴や連絡先などの情報が閲覧された可能性があると公表されています。

パスワードリスト攻撃は正規ログインと見分けにくいため、多要素認証（MFA）の導入が根本対策となります。WAAP型のWAFは、ボット検知・レートリミット機能を内包していることが多く、認証強化と組み合わせることで多層防御を実現できるものがあります。

その他のサイバー攻撃事例については、以下の記事で詳しく解説しています。あわせてお読みください。

「【2025年最新】国内外のサイバー攻撃事例10選！対策方法も紹介」

WAFで防ぐための具体的な対策

上記の事例に共通するのは、Webアプリケーション層への攻撃が起点になっているという点です。自社のWebサービスを守るために、以下の対策を組み合わせることが推奨されます。

• WAF（Web Application Firewall）の導入：SQLインジェクション・XSSなどアプリケーション層の攻撃をリアルタイムで検知・遮断する
• 多要素認証（MFA）の導入：パスワードリスト攻撃による不正ログインを防止する
• ログイン試行回数の制限：自動化ツールによる大量ログイン試行を抑制する
• 定期的な脆弱性診断の実施：XSSやSQLインジェクションの脆弱性を事前に検出する
• ソフトウェア・CMSの最新化：既知の脆弱性を放置せず、パッチを迅速に適用する

Cloudbric WAF+は、WAF機能に加えてDDoS対策・ボット対策・API保護を統合したWAAP型クラウドWAFです。専門知識がなくてもマネージドサービスとして導入・運用が可能で、中小企業から大企業まで幅広い規模の組織で活用されています。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

「Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説」

よくある質問（Q&A）

ここではよくある質問を紹介します。

Q1. WAFで防げる攻撃と防げない攻撃の違いは？

WAFはSQLインジェクション・XSS・OSコマンドインジェクションなどのアプリケーション層の攻撃を得意とし、不正なリクエストをリアルタイムで遮断します。一方、パスワードリスト攻撃は正規のID・パスワードを使ったログインのため、WAF単体での判別には限界があります。レートリミット・多要素認証・ボット対策との併用が推奨されます。

Q2. 小規模な企業でもWAFは必要ですか？

はい、必要です。攻撃者は企業規模を問わず、自動化ツールで脆弱なサイトを標的にする傾向にあります。Cloudbric WAF+は月額2万8,000円〜から導入でき、専任のセキュリティ担当者がいなくてもマネージドサービスとして運用が可能です。中小企業でも導入しやすい価格帯と運用体制が整っています。

Q3. WAFを導入すれば情報漏えいはゼロになりますか？

WAFは多層防御の重要な一部ですが、単体で完全な防御を保証するものではありません。定期的な脆弱性診断・多要素認証の導入・ログ監視といった対策との組み合わせにより、リスクを大幅に低減できます。セキュリティ対策は導入後の継続的な運用と改善が重要です。

まとめ

今回紹介した事例の多くは、WAFが適切に導入・運用されていれば被害を防げた、または軽減できた可能性があります。SQLインジェクション・XSSなどのアプリケーション層の攻撃はWAFで対応でき、パスワードリスト攻撃には多要素認証やボット対策との併用が有効です。

これらの脅威からWebアプリケーションを守るには、Cloudbric WAF+の導入が有効です。WAAP型クラウドWAFとしてWAF・ボット対策・DDoS防御・API保護を統合しており、AIによる高精度な脅威検知とマネージド運用で継続的にセキュリティを強化できます。

自社のセキュリティ強化をお考えの方は、お気軽にペンタセキュリティまでお問い合わせください。

▼お問い合わせはこちら

▼Cloudbric WAF+の資料請求

近年、Webアプリケーションを狙ったサイバー攻撃は増加の一途をたどっており、企業がWebサービスを安全に運用するためのセキュリティ対策が急務となっています。そのなかで注目を集めているのが「WAF（Web Application Firewall）」の導入です。

本記事では、WAF導入のメリット・デメリット・費用・注意点をわかりやすく整理します。「自社にWAFは本当に必要か」「費用対効果はどうか」を検討中の情報システム担当者の方は、ぜひ参考にしてください。

WAFとは

WAFとは「Web Application Firewall（ウェブ・アプリケーション・ファイアウォール）」の略称で、Webアプリケーションへの通信をリアルタイムに検査し、不正なリクエストを検知・遮断するセキュリティ対策です。

クライアント（ブラウザ等）とWebサーバーの間に位置し、HTTP/HTTPS通信の内容を解析することで、通常のアクセスに見せかけた攻撃を識別・遮断します。Webアプリケーション層（L7）に特化した防御を担う点が、WAFの最大の特徴です。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介

ファイアウォール・IDS/IPSとの違い

WAFと混同されやすい製品として、従来のファイアウォールとIDS/IPSが挙げられます。両者の違いを整理すると、WAFの必要性がより明確になります。

従来のファイアウォールは、送受信先のIPアドレスやポート番号をもとに通信を制御します。Webサービスのように外部へ公開されたサーバーは、HTTP通信を原則許可する必要があるため、ファイアウォールだけではWebアプリケーション層の攻撃を防ぐことができません。

IDS/IPSはネットワーク全体を対象として通信を監視・防御しますが、こちらもWebアプリケーション固有の攻撃への対応は限定的です。WAFはこれら既存の対策では守りきれないWebアプリケーション層の脅威に、特化した防御を提供します。

WAF導入が必要な理由

IPA（独立行政法人情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」、4位「システムの脆弱性を悪用した攻撃」、9位「DDoS攻撃」がランクインしています。これらのうち複数は、WAFによる対策が有効な脅威です。

ファイアウォールやIDS/IPSだけでは守りきれないWebアプリケーション層への攻撃が増加している現在、WAFはWebサービスを運営する企業にとって、多層防御の一角を担う不可欠なセキュリティ対策となっています。

WAFで防げる主な攻撃

WAFが検知・遮断の対象とする代表的な攻撃は以下のとおりです。

• SQLインジェクション（データベースへの不正な命令文の挿入）
• クロスサイトスクリプティング（XSS）（悪意あるスクリプトをWebページに埋め込む攻撃）
• OSコマンドインジェクション（OSへの不正なコマンドを実行させる攻撃）
• クロスサイトリクエストフォージェリ（CSRF）（正規ユーザーになりすまして不正な操作を行う攻撃）
• パス名パラメーターの未チェック／ディレクトリ・トラバーサル（サーバー内の非公開ファイルへの不正アクセス）

一方、認証情報の窃取・内部不正・フィッシングメールなど、WAFの守備範囲外の脅威も存在します。WAFを過信せず、多層防御の一環として位置づけることが重要である点は、後のデメリット・注意点のセクションで改めて解説します。

WAFの種類と選び方

WAFには大きく3つの種類があり、自社の状況に合ったものを選ぶことが導入成功の鍵となります。

クラウド型WAF

クラウド上のサービスとして提供されるWAFです。DNSの設定変更のみで導入が完了するケースが多く、専用ハードウェアの設置やサーバーへのインストール作業が不要です。

シグネチャーの更新や運用管理はベンダー側が担うため、社内に専任のセキュリティエンジニアがいない企業でも導入・運用がしやすい傾向にあります。初期費用が低く月額課金制が一般的なため、導入ハードルが低い点も特徴です。

アプライアンス型WAF

専用ハードウェアをWebサーバーの手前に設置する形態です。高い処理性能とカスタマイズ性が特徴で、大規模なWebサービスや独自要件が多い環境に向いています。

一方で、初期費用・保守費用が高く、適切に運用できるエンジニアの確保に加え、場合によってはネットワーク設計の見直しが必要なこともあります。

ソフトウェア型WAF

自社サーバーにインストールして利用するタイプです。アプライアンス型と比較して初期費用を抑えやすく、自社環境に合わせたカスタマイズがしやすい点はメリットです。

一方、初期設定・運用・メンテナンスを自社で対応できるエンジニアが必要なため、導入前に社内のエンジニアリソースを確認しておくことが重要となります。

WAFの選び方については、以下の記事で詳しく解説しています。あわせてお読みください。

【2025年版】WAFのおすすめ4製品を比較！機能や価格をわかりやすく紹介

WAF導入のメリット

WAFを導入することで得られる主なメリットは3つです。

サイバー攻撃をリアルタイムで防御できる

WAFはWebアプリケーションへの通信をリアルタイムで検査するため、SQLインジェクションやXSSなどの攻撃を、被害が発生する前の通信段階で遮断できます。攻撃を受けてから事後対応するのではなく、攻撃そのものを未然に防げる点が大きなメリットです。

また、シグネチャー（攻撃パターン）の継続的な更新によって、新たな脅威にも対応できる体制を維持できます。

セキュリティリスクを可視化できる

WAFはWebアプリケーションへのすべての通信を記録するため、「どのような攻撃がいつ・どこから来ているか」をログとして把握できます。攻撃の傾向を定量的に把握できることは、自社のリスク状況を正確に理解するうえで重要です。

情報システム担当者が経営層へセキュリティ投資の必要性を説明する際の根拠データとしても活用でき、社内での合意形成をスムーズに進めやすくなります。

企業の信頼・ブランド価値を守れる

情報漏えいや不正アクセスが発生した場合、顧客・取引先からの信頼失墜や損害賠償リスクが生じます。IPA「情報セキュリティ10大脅威 2026」でも、機密情報を狙った標的型攻撃や内部不正による情報漏えいが上位にランクインしており、Webアプリケーションの保護はブランド価値を守ることに直結します。

WAFの導入は攻撃を防ぐ「防御」であると同時に、「セキュリティへの取り組みを対外的に示す」姿勢としても機能します。

WAF導入のデメリット・注意点

WAFは有効なセキュリティ対策ですが、過信は禁物です。主な注意点は3つあります。

WAFだけでは防げない攻撃もある

WAFが守備対象とするのはWebアプリケーション層への攻撃であり、すべての脅威をカバーするわけではありません。たとえば、フィッシングメールによる認証情報の窃取、内部不正、DDoS攻撃の一部（ネットワーク層攻撃）などはWAFの守備範囲外となるケースがあります。

WAFはあくまで多層防御の一環として位置づけ、ファイアウォール・IDS/IPS・エンドポイント対策などと組み合わせて運用することが重要です。

誤検知と運用チューニングにコストがかかる

WAFには、正常な通信を誤って攻撃と判断し遮断してしまう「誤検知」が発生するケースがあります。誤検知が多発すると、正規ユーザーのアクセスを妨げるため、利便性に影響が出る傾向にあります。

適切な検知精度を維持するためには、定期的なシグネチャーの更新とチューニングが必要です。これらの作業には専門知識と継続的な運用リソースが求められます。なお、クラウド型WAFの場合、シグネチャーの更新やチューニングをベンダー側が担うサービスもあり、運用負荷を軽減できます。

導入形態によってはネットワーク構成の変更が必要

アプライアンス型やソフトウェア型のWAFは、既存のネットワーク構成に変更が生じる場合があります。専門的な知識を持つエンジニアによる設計・導入作業が必要となるため、導入工数とコストがかさむケースも見られます。

一方でクラウド型WAFは、DNSの設定変更のみで導入が完了するケースが多く、エンジニアリソースが限られている企業でも比較的スムーズに導入できます。

クラウド型のCloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

まとめ

IPA「情報セキュリティ10大脅威 2026」が示すとおり、Webアプリケーションを狙うサイバー攻撃は年々多様化・高度化しています。WAFは、SQLインジェクションやXSSをはじめとするWebアプリケーション層の脅威に対応する、多層防御の重要な一手です。

一方、誤検知への対応や継続的な運用チューニング、ネットワーク構成の変更といった課題も存在します。これらのデメリットを解消する手段として、マネージドサービスが付帯したクラウド型WAFの導入が有効です。

「Cloudbric WAF+」は、DNSの設定変更のみで導入が完了するクラウド型WAFです。WAF機能に加え、DDoS攻撃遮断・ボット対策・API保護・Malicious IP遮断・SSL証明書の自動発行を統合した次世代のセキュリティサービスで、セキュリティエキスパートによる24時間365日のマネージドサービスが付帯しているため、社内に専任担当者がいない企業でも安心して運用いただけます。

自社のWebアプリケーションのセキュリティ強化をお考えの方は、ぜひお気軽にお問い合わせください。

2026年3月、JavaScriptの定番ライブラリ「axios」の公式配布経路が攻撃者に悪用され、マルウェアを含む不正バージョンが約39分間にわたって公開される事態が発生しました。短時間の公開ながら、多数の開発環境に影響が及んだ可能性があります。

本記事では、攻撃の概要・仕組みから影響の確認方法、感染時の対処、再発防止策まで順を追って解説します。

axiosのサプライチェーン攻撃とは

axiosは世界中の開発現場で利用されているJavaScriptの定番ライブラリです。2026年3月末、その公式配布経路を悪用したサプライチェーン攻撃が明らかになりました。攻撃の概要と仕組みを以下で解説します。

攻撃の概要と経緯

「axios（アクシオス）」とは、WebサービスやアプリがインターネットでデータをやりとりするためのJavaScriptライブラリです。2026年3月31日、このaxiosを配布しているnpm（Node Package Manager）を通じて、マルウェアを含む不正なバージョンが公開されました。

攻撃者はaxiosの管理者（メンテナー）のアカウントを乗っ取り、正規のソフトウェアに見せかけた悪性バージョン（1.14.1および0.30.4）を公開したと見られています。不正バージョンが公開されていた時間はわずか約39分間でしたが、その間に多数の環境に影響が及んだ可能性があります。

攻撃の仕組み・マルウェアの動作

今回の攻撃は、二段階の仕掛けで成立していました。

攻撃者はあらかじめ「plain-crypto-js」という悪意あるパッケージをnpmに登録しておき、悪性版axiosの依存関係（動作に必要な関連ソフトウェアのリスト）にそのパッケージを追加していました。そのため、開発者がnpm installを実行すると、インストール完了と同時にマルウェアが自動起動する仕組みになっていました。

起動したマルウェアはOSの種類（Windows・macOS・Linux）を自動判別し、それぞれに対応したRAT（遠隔操作型トロイの木馬）を取得・実行します。さらに実行後は自身の痕跡を消去するため、後から調査しても感染に気づきにくい点が特に問題視されています。

トロイの木馬ウイルスについては、以下の記事で詳しく解説しています。あわせてお読みください。

トロイの木馬ウイルスとは？特徴・症状・感染時の対処法をわかりやすく解説

axiosが狙われた原因とは

今回の攻撃の直接的な原因は、axiosの管理者のnpmアカウントが乗っ取られたことにあります。攻撃者は盗んだ認証情報を使って管理者になりすまし、正規の配布経路（npm）からマルウェア入りのaxiosを公開しました。利用者側からは通常の更新と見分けがつかないため、感染に気づくことが非常に困難な状況でした。

また、同時期にTrivyやLiteLLMなど複数のOSSも連続して侵害されており、組織的な攻撃とみられています。Googleのレポートでは、北朝鮮系サイバー攻撃グループ「UNC1069」との関連が指摘されています。

影響範囲および確認について

侵害されたバージョンは2つに限定されていますが、axiosを直接インストールしていない環境でも間接的に影響を受けるケースがあります。影響を受けるバージョンや環境の特徴、および確認方法を以下で紹介します。

影響を受けるバージョン・環境

今回侵害されたのは「axios@1.14.1」および「axios@0.30.4」の2バージョンです。「axios@1.14.0」（1.x系）および「axios@0.30.3」（0.x系）は対象外となっています。

注意が必要なのは、axiosを直接使用していない環境でも影響を受ける可能性がある点です。自社が導入している別のソフトウェアが内部でaxiosに依存していた場合（間接依存）、同様のリスクが生じます。

また、バージョンを固定せず「常に最新版を自動取得する」設定にしていた環境では、気づかないうちに悪性バージョンをインストールしていたケースも報告されています。

影響を受けているか確認する方法

まず、package-lock.jsonやyarn.lock（インストールされたバージョンを記録する管理ファイル）を確認し、axiosのバージョンが「1.14.1」または「0.30.4」になっていないかをチェックしてください。特に、日本時間の2026年3月31日 午前9時21分〜午後12時15分の間にnpm installを実行していた環境は優先的に確認が必要です。あわせて、「plain-crypto-js」というパッケージがインストールされていないかも確認してください。

ただし、マルウェアは実行後に痕跡を消去するため、インストール済みファイルの確認だけでは検知できないケースがあります。ネットワークログ（通信記録）に見慣れない外部サーバーへの接続記録がないかどうかをあわせて確認することを推奨します。

影響があった場合の対処

悪性バージョンをインストールした環境は、「すでに侵害されている」前提で対応することが重要です。

まず、影響を受けた端末をネットワーク（社内LANやインターネット）から即時切り離してください。その後、axiosを安全なバージョンに戻し、インストール済みの不正ファイルを削除して再インストールします。

次に、GitHubトークン・APIキー・クラウドサービス（AWS・GCPなど）の認証情報・データベースのパスワードなど、該当端末に保存されていたすべての認証情報を新しいものに変更（ローテーション）してください。CI/CD環境でaxiosを参照していた場合は、そこで使用しているシークレット（秘密鍵やトークン類）も対象に含めます。

感染が疑われる場合、端末をクリーンな状態から再セットアップする方が確実なケースも報告されています。被害の拡大を防ぐためにも、早期の対処が求められます。

実施すべき対策について

今回の攻撃を踏まえ、同様の被害を防ぐための対策を5つの観点から解説します。入口対策・出口対策・アカウント管理など複数の面から多層的に取り組むことが重要です。

ロックファイルの活用

まず取り組みやすい対策として、ロックファイルの活用が挙げられます。package-lock.jsonなどのロックファイルを必ず使用することで、意図しないバージョンアップを防ぐことができます。

あわせて、npmのmin-release-age設定（クールダウン機能）の活用も有効です。これは新しく公開されたパッケージをすぐにインストールしないようにする設定で、推奨は7日程度とされています。

公開直後の悪性パッケージを自動的に取り込まないようにすることで、セキュリティコミュニティが悪意あるコードを発見・報告するための時間的な余裕を確保できます。

CI/CD環境の設定を見直す

CI/CD環境（ソフトウェアのビルド・テスト・リリースを自動化する仕組み）では、最小権限の原則を徹底し、必要最小限の認証情報のみを設定することが基本です。

あわせてSCAツール（Software Composition Analysis）を導入し、依存パッケージのリスクを継続的に監視することを推奨します。SCAツールとは、使用しているソフトウェアの構成部品を分析し、既知の脆弱性がないかチェックするツールです。

今回のような複数のOSSへの連続攻撃は今後も増加傾向にあると見られており、サプライチェーン全体でのセキュリティ強化が求められます。

多要素認証（MFA）の導入

今回の攻撃の根本原因は、管理者の認証情報が盗まれたことにあります。この再発を防ぐうえで最も効果的な対策が、多要素認証（MFA：Multi-Factor Authentication）の導入です。

MFAとは、パスワードに加えてスマートフォンへの通知や認証アプリのコードなど、複数の方法で本人確認を行う仕組みです。npmなどの開発者アカウントにMFAを設定することで、パスワードが盗まれた場合でも不正ログインを防ぐことができます。

開発者個人のアカウントだけでなく、CI/CDシステムやサービス連携用のアカウントにも同様の対策を講じることが重要です。

脆弱性診断・SBOM等の利用

SBOM（Software Bill of Materials：ソフトウェア部品表）とは、自社のシステムがどのソフトウェアやライブラリを使用しているかを一覧化したものです。SBOMを整備しておくことで、今回のaxiosのように広く使われているライブラリが攻撃を受けた際に、自社への影響を迅速に把握できます。

脆弱性診断と組み合わせることで、知らないうちに混入した危険なソフトウェアの早期発見にもつながります。SBOMの作成・管理にはSCAツールを活用することで、手作業の負担を大幅に削減できます。

脆弱性については、以下の記事で詳しく解説しています。あわせてお読みください。

脆弱性とは？被害例や攻撃手法、セキュリティ対策方法を紹介

WAFの活用

今回のマルウェアは感染後、攻撃者のC2サーバー（攻撃者がウイルスに指示を送るための外部サーバー）へ60秒ごとに通信を送り続ける動作が確認されています。

WAF（Web Application Firewall）を導入することで、こうした不審な外部通信や不正リクエストをリアルタイムで検知・遮断できます。パッケージ管理やバージョン固定といった「入口対策」と、WAFによる不審通信の遮断という「出口対策」を組み合わせた多層防御が、サプライチェーン攻撃への現実的な対応策となります。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

まとめ

今回のaxiosサプライチェーン攻撃は、正規の配布経路そのものが悪用された点が最大の特徴です。約39分という短時間で実行された攻撃は、「インストール後に確認する」という従来型の対策だけでは対応が困難であることを示しています。ロックファイルの活用・MFAの導入・SBOMの整備を組み合わせた多層的な対策に取り組むことが、今後のリスク低減につながります。

出口対策として、WAFの導入も有効な手段のひとつです。 「Cloudbric WAF+」は、サプライチェーン攻撃によるマルウェア感染後のC2通信をはじめ、Webアプリケーションへの多様な脅威をリアルタイムで検知・遮断するクラウド型WAFです。

ソフトウェアサプライチェーンのリスク対策をご検討の際は、ぜひお気軽にお問い合わせください。

企業のWebサイトやシステムを狙うサイバー攻撃は、年々高度化・多様化しています。攻撃者はソフトウェアの脆弱性を悪用し、不正アクセスや情報漏えいを引き起こします。こうした脅威に対処するためには、まず自社システムの脆弱性を正確に把握することが重要です。

Cloudbric 脆弱性診断は、セキュリティエキスパートによる診断と脅威インテリジェンスを活用した診断サービスです。本記事では、6つの診断メニューの詳細と選ばれる理由を解説します。

Cloudbric 脆弱性診断とは

Cloudbric 脆弱性診断は、ペンタセキュリティ株式会社が提供するセキュリティ診断サービスです。セキュリティの知識・技術を有するエキスパートが、お客さまのWebサイトやシステムの診断を行い、既知の脅威への脆弱性を検出します。

6つの診断メニューを用意しており、診断結果に基づくソリューション提案まで一貫して対応できる点が特長です。

脆弱性については、以下の記事で詳しく解説しています。あわせてお読みください。

脆弱性とは？被害例や攻撃手法、セキュリティ対策方法を紹介

脆弱性診断が求められる背景

近年、自社のセキュリティの不備が原因で取引先やお客様にまで被害が及ぶ「サイバー脅威の横展開」が深刻化しています。業者のVPNの脆弱性を踏み台にされて病院業務が数カ月間麻痺した事例や、サプライヤーのサーバーへの不正アクセスで生産ラインが停止した事例も報告されています。

IPAの「情報セキュリティ10大脅威 2026」でも、サプライチェーンの弱点を悪用した攻撃が組織向け脅威の上位にランクインしています。企業全体のセキュリティレベルは最も弱い部分によって決まるとされており、最適な防御手段を検討するための第一歩として、脆弱性診断の重要性が高まっています。

ツール診断と手動診断の違い

脆弱性診断の手法は、ツール診断（自動診断）と手動診断の2種類に大きく分けられます。ツール診断はコストを抑えて短期間で実施できますが、画一的な検査になりやすく、誤検知が紛れて本当のリスクを判断しにくいケースも見られます。

一方、手動診断はエキスパートが対象システムの構成や特性を踏まえて柔軟に対応するため、ツール診断では見落としやすい脆弱性も検出できる傾向にあります。Cloudbric 脆弱性診断はエキスパートによる手動診断を基本としており、最新の攻撃手法を網羅した検出アプローチでリスクを多角的に可視化します。

Cloudbric 脆弱性診断の6つの診断メニュー

Cloudbric 脆弱性診断では、企業のシステム環境に応じて選択できる6つの診断メニューを用意しています。各メニューの概要を紹介します。

①Webサイト診断

企業の公開Webサイト（主に静的なサイト）に特化した診断です。外部からの攻撃者目線でリスクを多角的に診断する「ベースプラン」を軸に、Webアプリケーション診断項目やプラットフォーム診断項目を加味する「オプション１」、WordPress固有の脆弱性を詳細に診断する「オプション２」を選択できます。

②Webアプリケーション診断

Webアプリケーションのセキュリティ脆弱性を診断するメニューです。OWASPやIPA「安全なWebサイトの作り方」等の外部基準を満たす診断項目をベースに、深刻度×悪用度の評価スコアで優先対応すべき脆弱性を明確化します。

OWASP ZAPによる自動スキャンの「クイックツールスキャン」、攻撃者目線で素早く診断する「ライトスキャン」、高リスクの脆弱性を網羅する「スタンダードスキャン」、カスタマイズ手法で最多項目をカバーする「アドバンススキャン」の4プランから選択できます。

③API診断

APIに潜む脆弱性を国際基準に基づく診断項目で可視化するメニューです。国際認定ハッカー資格を持つ技術者が、APIのアーキテクチャを分析した上で手動診断を実施します。

OWASP ZAPを使用した自動診断の「クイックツールスキャン」と、外部基準に基づく多角的な手動診断の「スタンダードスキャン」の2プランを用意しています。

④プラットフォーム診断

ミドルウェアやOS、ネットワーク機器などの脆弱性を診断するメニューです。CVEやCVSSに加え、EPSSを活用した独自のスコアリングロジックにより、本当のリスクを特定・可視化します。

主要ポートを中心に迅速に完了する「クイックスキャン」と、全ポートを対象にした包括的な「スタンダードスキャン」の2プランから選択できます。

⑤スマートフォンアプリ診断

スマートフォンアプリのセキュリティリスクを可視化する診断メニューです。静的解析と動的解析を組み合わせ、API通信やデータ保存の不備、セッション管理の脆弱性を検出します。

ツール中心の「クイックツールスキャン」、OWASP Mobile Top10に基づく「スタンダードスキャン」、より多くの攻撃ベクトルを取り入れた「アドバンススキャン」の3プランを用意しています。

⑥ペネトレーションテスト

脆弱性診断が既知の脆弱性を洗い出す手法であるのに対し、ペネトレーションテストは実際の攻撃手法を用いてシステムへの侵入可否や影響範囲を検証する実践的な手法です。フロントエンドからインフラまで全レイヤーに対して包括的にテストを実施し、自動ツールでは検出できない脆弱性を手動で発見します。

基本的なテストを迅速に行う「エントリープラン」（5日間目安）と、詳細なテストを行う「スタンダードプラン」の2つを用意しています。脆弱性診断と組み合わせることで、より強固なセキュリティ体制の構築につながります。

ペネトレーションテストについては、以下の記事で詳しく解説しています。あわせてお読みください。

ペネトレーションテストとは？脆弱性診断との違いや目的・方法について解説

Cloudbric 脆弱性診断が選ばれる理由

脆弱性診断サービスが数多く存在するなかで、Cloudbric 脆弱性診断が選ばれる5つの理由を解説します。

理由①エキスパートによる高精度な手動診断

診断を担当する技術者は、インシデント情報や最新の脆弱性情報を定期的に収集・解析しているエキスパートです。企業様の環境に合わせた柔軟な対応が可能で、20年以上のWAF専門メーカーとしてWebアプリケーションの脅威と攻撃手法を知り尽くす技術者が、深堀したリスク対策の根拠を提供します。

理由②脅威インテリジェンスに基づく最新の診断項目

Cloudbricは171カ国・約70万サイトから独自に収集した脅威インテリジェンスの分析に基づき、最新の脆弱性・攻撃手法を網羅した診断項目を整備しています。国際的な非営利団体「CTA（Cyber Threat Alliance）」に加盟しており、脅威データの価値と分析技術の専門性が国際的に認められています。診断項目は絶えず最適化され、最新の脅威動向を反映した診断を提供します。

理由③深刻度×悪用度の評価スコアで対応優先度を明確化

Webアプリケーション診断では、CVSSスコア（脆弱性の深刻度）にEPSS情報（実際に悪用される可能性の推定値）を組み合わせた網羅的な評価スコアを算出します。深刻度と悪用度の両面から優先対応すべき脆弱性を的確に提示できるため、限られたリソースで効率的にセキュリティ対策を進められます。

理由④診断から対策まで一貫したソリューション提案

診断結果に基づき、クラウド型WAFサービス「Cloudbric WAF+」をはじめとしたソリューションの提案・導入サポートまで一貫して対応します。脆弱性の認識から対策、継続的なセキュリティ強化まで総合的に支援できるのが、Cloudbricの強みです。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

理由⑤複数人体制による安定した品質管理

プロジェクトの各プロセスに複数人の責任者をアサインし、安定した品質管理のもとでサービスを提供しています。プロジェクトマネージャー、セキュリティエンジニア、品質管理者が連携し、事前確認→診断実施→最終チェック→品質管理部門確認→納品の5段階で診断漏れや精度のバラつきをコントロールします。

Cloudbric 脆弱性診断の導入の流れ

Cloudbric 脆弱性診断は、必要なタイミングにリーズナブルな価格で専門的な診断を受けたい企業のために設計されたサービスです。サービスの利用は、以下の4つのフェーズで進みます。

1. 事前準備：診断対象と実施日時を決定します。診断種類に応じて、画面遷移図や診断用アカウント、対象機器情報などのご提供をお願いしています。
2. 診断実施：リモートで診断を行います。稼働中のシステムを停止せずにインターネット経由で実施するため、業務への影響を抑えられます。重大な脆弱性が発見された場合は緊急報告を行います。
3. 報告：診断終了後3営業日を目安に報告書を納品します。総合結果・総評、発見した脆弱性の概要、各リスクの詳細が含まれます。オプションで診断結果説明会も利用可能です。
4. アフターサポート：報告書記載内容のQA対応や、必要に応じた再診断を実施します。

まとめ

サイバー攻撃が巧妙化する中、自社のセキュリティの不備が取引先や顧客に被害を広げるリスクは高まっています。脆弱性診断による現状把握は、対策の第一歩です。

Cloudbric 脆弱性診断は、6つの診断メニューとエキスパートの診断で高精度にリスクを可視化し、脅威インテリジェンスに基づく最新の診断項目と独自の評価スコアで優先対応すべき脆弱性を明確化します。診断結果に基づくCloudbric WAF+等の対策提案まで一貫して支援する体制も整っています。

自社のセキュリティ強化をお考えの方は、ぜひお気軽にお問い合わせください。

お問い合わせはこちら

Cloudbric 脆弱性診断について詳しく見る

2024年6月、クレジットカード業界の国際セキュリティ基準「PCI DSS」の最新版「v4.0.1」が公開されました。v4.0は2024年末で廃止され、現時点ではv4.0.1が唯一有効なバージョンです。さらに、2025年4月以降はベストプラクティスとして猶予されていた要件もすべて義務化されています。

本記事では、v4.0.1の概要やv4.0からの改訂内容、押さえておくべき主要要件、準拠に向けた対応ポイントをわかりやすく解説します。

PCI DSSとは

PCI DSS（Payment Card Industry Data Security Standard）とは、クレジットカード情報を安全に取り扱うために策定された国際セキュリティ基準です。Visa、Mastercard、JCBなど国際カードブランド5社が共同設立したPCI SSC（PCI Security Standards Council）が策定・管理しています。

「安全なネットワークの構築と維持」「カード会員データの保護」など6つの目標と12の要件で構成されており、カード情報を扱う事業体に対して準拠が求められます。

準拠が求められる事業体

PCI DSSの準拠が求められるのは、クレジットカード情報を保存・処理・伝送するすべての事業体です。具体的にはECサイト運営者を含む加盟店、決済代行業者、カード発行会社、ホスティングプロバイダなどが該当します。

v4.0以降では、カード会員データ環境（CDE）のセキュリティに影響を与える可能性のある事業体にも適用範囲が明確に拡大されました。日本国内では、割賦販売法の実務上の指針として位置づけられている「クレジットカード・セキュリティガイドライン」においてもPCI DSS準拠が求められており、カード情報を取り扱う企業にとって対応は不可欠と言えます。

PCI DSS v4.0.1とは

PCI DSS v4.0.1は、2026年4月現在、PCI DSSの唯一有効な最新バージョンです。ここでは、v4.0.1のリリース背景と、v4.0から改訂されたポイントについて解説します。

v4.0.1の位置づけとリリース背景

PCI DSSは2022年3月に約8年ぶりとなるメジャーバージョンアップ「v4.0」がリリースされました。その後、PCI SSCに寄せられたフィードバックや質問を反映する形で、2024年6月11日にマイナーアップデート版の「v4.0.1」が公開されています。

v4.0は2024年12月31日をもって廃止され、2025年1月以降はv4.0.1が唯一有効なバージョンとなりました。また、v4.0で「ベストプラクティス」として猶予期間が設けられていた64の要件についても、2025年4月1日以降はすべて完全に義務化されています。

v4.0からv4.0.1への全体的な改訂内容

v4.0.1はあくまで限定的な改訂であり、新規要件の追加や既存要件の削除は行われていません。主な改訂内容は、誤植や書式の修正、ガイダンスの整合性と明確化、用語の整理、全体的な表現の統一、テスト手順の調整などです。

つまり、v4.0.1はv4.0の基本的な方向性を維持しつつ、文書の可読性と正確性を高めた「軽微なアップデート版」に位置づけられます。既存の技術的な対応計画への影響は限定的ですが、準拠性の評価を受ける際にはv4.0.1の文書を参照する必要がある点に留意しましょう。

個別に改訂された主要4要件

v4.0.1では全体的な表現修正に加え、以下の4つの要件で個別に改訂が行われています。

• 要件8.4.2：カード会員データ環境（CDE）へのアクセスに対する多要素認証（MFA）の適用範囲と実装方法が明確化 
• 要件11.6.1：決済ページのスクリプト改ざん検知に関する適用範囲と実装方法が整理 
• 要件12.1.4：情報セキュリティポリシーにおける責任者・役割定義の記述を見直し 
• 要件12.8.2：TPSP（第三者サービスプロバイダ）との契約書維持について、「該当する場合のみ」と条件が整理

いずれも新規追加ではありませんが、解釈の差異を防いで審査時のトラブルを回避するため、改訂内容を正確に把握しておくことが重要です。

PCI DSS v4.0.1の主な要件と特徴

v4.0.1では、v4.0で導入された多くの新要件がそのまま継承されています。従来のv3.2.1と比較すると大幅にセキュリティ要件が強化されており、ここでは特に注目すべき5つの特徴を解説します。

特徴① カスタマイズアプローチとリスクベースの考え方

v4.0以降では、従来の「定義されたアプローチ」に加えて「カスタマイズアプローチ」が導入されました。これは、PCI DSSの要件が定める目的を満たす限り、事業体が独自のセキュリティコントロールを設計・実装できる仕組みです。

また、リスクベースの考え方も強化されており、ターゲットリスク分析の結果に基づいて、セキュリティ対策の実施頻度や範囲を事業体が主体的に決定できるようになりました。画一的な基準を一律に適用するのではなく、自社の環境に応じた合理的で効果的な対策が可能になった点が大きな特徴です。

特徴② 認証・パスワード要件の強化

認証に関する要件は大幅に強化されています。パスワードの最低文字数がこれまでの8文字から12文字以上に引き上げられたほか、要件8.4.2でカード会員データ環境へのすべてのアクセスに多要素認証（MFA）が必須化されました。

さらに、共有アカウントや汎用アカウントに関する要件も厳格化されており、アカウント管理全般の見直しが求められます。なお、v4.0.1では要件8.4.2の適用範囲に関する表現がより明確に整理されているため、最新の文書に基づいた対応が重要です。

特徴③ ディスク暗号化に関する制限

v4.0で新たに追加された要件のひとつが、PAN（カード会員番号）の保護におけるディスクレベル/パーティションレベルの暗号化の使用制限です。ディスク暗号化ではOSの認証を通過すればデータが復号された状態でアクセスできてしまうため、カード情報保護の手段としては不十分と判断されました。

代わりに求められるのは、ファイル暗号化や列・フィールドレベルのデータベース暗号化、アプリケーションレベルの暗号化など、より粒度の細かい方式です。この要件は2025年4月1日以降、完全に義務化されているため、ディスク暗号化のみで対応していた事業体は早急に見直しが必要です。

特徴④ WAF導入の義務化

要件6.4.2では、一般公開されているWebアプリケーションに対して、WAF（Web Application Firewall）の導入が義務化されました。従来のv3.2.1では、WAFの導入と侵入テストのいずれかを選択することが認められていましたが、v4.0以降ではWAFの導入が必須要件となっています。

WAFはWebベースの攻撃をリアルタイムで検知・遮断する自動化された技術ソリューションであることが求められており、ECサイトやオンライン決済サービスを運営する事業体にとっては、対応の優先度が高い要件です。

WAFについては、以下の記事で詳しく解説しています。あわせてお読みください。

セキュリティ対策に有効なWAFとは？仕組みや種類、おすすめ製品を紹介

特徴⑤ オンラインスキミング対策

近年急増しているWebスキミング攻撃への対策として、要件6.4.3と11.6.1が新たに追加されました。要件6.4.3では、決済ページ上で実行されるすべてのスクリプトを棚卸しし、許可されたもののみが動作する仕組みの整備が求められます。

要件11.6.1では、決済ページのHTTPヘッダーやコンテンツの改ざんを検知し、担当者に通知する仕組みの導入が義務化されています。v4.0.1では要件11.6.1の適用範囲に関する記述も明確化されました。悪意あるJavaScriptの埋め込みによるカード情報の窃取を防ぐために、これらの対策は欠かせません。

PCI DSS v4.0.1準拠に向けた対応ポイント

全要件が完全義務化された現在、自社の準拠状況を改めて確認し、未対応の要件があれば早急に対策を講じることが求められます。ここでは、対応時に押さえるべき2つのポイントを紹介します。

自社の準拠状況の再点検

まず取り組むべきは、ベストプラクティスとして猶予されていた要件が対応済みかどうかの再点検です。特に、WAF導入（要件6.4.2）、オンラインスキミング対策（要件6.4.3・11.6.1）、ディスク暗号化の見直し（要件3.5.1.2）、MFAの全面適用（要件8.4.2）は優先的に確認すべきポイントです。

v4.0.1の最新文書に基づいてギャップを洗い出し、QSA（認定評価機関）や専門家との連携によって対応計画を策定することが有効です。

セキュリティサービスの活用による効率的な対応

WAF導入義務化やオンラインスキミング対策など、v4.0.1で求められる技術要件は、自社だけで対応するのが困難なケースも少なくありません。

クラウド型WAFやマネージドセキュリティサービスを活用することで、導入・運用の負荷を軽減しながら要件への準拠が可能です。サービスを選定する際は、最新のPCI DSS v4.0.1への対応実績があるかどうかを確認することが重要なポイントとなります。

ペンタセキュリティのクラウド型セキュリティサービス「Cloudbric WAF+」については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

まとめ

PCI DSS v4.0.1は、現時点で唯一有効な最新バージョンであり、2025年4月以降はすべての要件が完全義務化されています。WAF導入やオンラインスキミング対策、ディスク暗号化の見直しなどの対応状況を改めて確認し、最新の要件に即したセキュリティ体制を整備することが推奨されます。

サイバー攻撃からWebアプリケーションを守るには、WAFの導入が効果的です。「Cloudbric WAF+」は最新のPCI DSS v4.0.1に準拠したクラウド型WAFで、SQLインジェクションやクロスサイトスクリプティング（XSS）をはじめとする攻撃を、AIベースの検知エンジンでリアルタイムに検知・遮断します。専門知識がなくても導入・運用が容易で、PCI DSS準拠を目指す事業者のセキュリティ基盤として幅広く活用されています。

自社のPCI DSS対応をご検討の方は、ぜひお気軽にお問い合わせください。

お問い合わせはこちら

Cloudbric WAF+について詳しく見る

近年、悪意あるボットによるスクレイピング攻撃が増加傾向にあります。競合他社による価格情報の不正取得、大量のID・パスワードを使った不正ログイン（クレデンシャルスタッフィング）、AI学習データを目的とした無差別なデータ収集など、その被害は多岐にわたります。

本記事では、スクレイピングの仕組みや主な手口、実際の被害事例を整理したうえで、robots.txtからレートリミット・CAPTCHA・WAF導入まで、有効な対策を網羅的に解説します。

スクレイピングとは

スクレイピングとは、プログラムが自動でWebサイトにアクセスし、データを収集する技術です。正当な用途でも広く使われている一方、悪用されるケースも増えており、自社サイトへの脅威として注目されています。ここではスクレイピングについて紹介します。

スクレイピングの仕組み

スクレイピングとは、プログラムが自動でWebサイトにHTTPリクエストを送信し、返ってきたHTMLを解析してデータを抽出する技術です。通常のブラウザアクセスと同じ仕組みを利用するため、見た目上は「普通のアクセス」と区別がつきにくい点が特徴です。

混同されやすい「クローリング」はサイトを巡回してページを特定する行為であり、スクレイピングはそこからデータを抽出する行為を指します。実際の攻撃では、この2つを組み合わせた手法が一般的です。

スクレイピングが使われる用途

スクレイピングには正当な用途と悪用される用途の両面があります。正当な用途としては、価格比較サイトによる商品情報の自動収集、研究目的でのデータ収集、SEOツールによる自社サイト情報の定期取得などが挙げられます。

一方で悪用されるケースも少なくありません。競合他社の価格情報の不正取得、大量のメールアドレス・個人情報の収集、AIモデルへの無断データ提供などが問題となっています。同じ技術が合法・違法の両面で使われうる点が、対策を複雑にしています。

スクレイピングの違法性

スクレイピング自体は、法律で一律に禁止されているわけではありません。ただし、以下のような場合には法律に抵触するリスクがあります。

• 不正アクセス禁止法：認証を回避してアクセスした場合
• 著作権法：コンテンツをそのまま無断複製・公開した場合
• 不正競争防止法：営業秘密にあたる情報を取得した場合
• その他利用規約違反：AmazonやXなど、スクレイピングを明示的に禁止しているサービスへのアクセス

違法かどうかはアクセスの方法や目的、取得した情報の扱いによって判断が異なります。「スクレイピングだから問題ない」と一概に判断できない点には注意が必要です。

スクレイピングの主な手口

Webスクレイピングの手口は年々高度化しており、単純なボットから人間の操作を模倣した高度なツールまで、さまざまな方法が用いられています。ここでは、代表的な4つの手口を紹介します。

単純なHTTPリクエストによる手口

最も基本的な手口が、PythonのRequestsライブラリやBeautifulSoupを使って静的なHTMLを直接取得する方法です。JavaScriptを使わないシンプルなサイトや、APIエンドポイントが外部に露出しているサイトが標的になりやすい傾向があります。

短時間に大量のリクエストを送ることでサーバーに過負荷をかけ、サービス障害を引き起こすケースもあります。

ブラウザ自動化ツールを悪用した手口

SeleniumやPlaywright、Puppeteerといったブラウザ自動化ツールを使い、実際のブラウザ操作を模倣する手口です。

JavaScriptが必要なSPAやログイン後のページにもアクセスでき、通常のブラウザと見分けがつきにくい点が特徴です。単純なUAフィルタでの検知が難しく、CAPTCHAの突破にも悪用されるケースがみられます。

プロキシ・IPローテーションを使った手口

攻撃者が数百〜数千のIPアドレスを使い回すことで、IPブロックをすり抜ける手口です。一般家庭のIPアドレス（レジデンシャルプロキシ）を経由することで検知がさらに難しくなります。

クラウドサービスや海外のVPSを経由するケースも多く、地理的なアクセス制限も回避されやすい点が課題となっています。

偽CAPTCHAを悪用した手口

本物のCAPTCHAに見せかけた偽の認証画面をユーザーに表示し、マルウェアのインストールや認証情報の入力へ誘導する手口です。

スクレイピングの前段階として正規ユーザーのアカウント情報を不正取得するフィッシング的な使われ方が問題となっており、IPAの「情報セキュリティ10大脅威 2025」でも注意が呼びかけられています。

スクレイピングによる被害事例

スクレイピングや悪意あるボットによる被害は、情報窃取からサービス障害まで幅広い範囲に及んでいます。ここでは、実際に発生している代表的な3つの被害事例を紹介します。

事例①　クレデンシャルスタッフィング攻撃（リスト型攻撃）

クレデンシャルスタッフィングとは、スクレイピング等で収集した大量のID・パスワードをボットで自動入力し、不正ログインを試みる手口です。国内でも通販・ECサイトへのなりすまし注文や不正購入の被害が相次いでおり、警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」でもリスト型攻撃が深刻な問題として取り上げられています。正規の認証情報を使うため通常のログインとの区別がつきにくく、被害に気づきにくい点が厄介です。

事例②　ECサイトへの不正アクセス・カード情報窃取

ボットによる自動探索でECサイトの脆弱なエンドポイントを発見し、ペイメントアプリケーションを改ざんしてカード情報を窃取するWebスキミングも確認されています。経済産業省の「クレジットカード・セキュリティガイドライン」でも深刻な脅威として取り上げられています。

改ざんに気づかないまま長期間放置されるケースもあり、発覚時には数万件規模の個人情報・カード情報が流出していたという事例も報告されています。

事例③　AIボットによる大規模スクレイピングとサービス障害

AI学習データの需要急増を背景に、大規模ボットによるスクレイピングがWebサービスのサーバー負荷を急増させ、サービス障害を引き起こすケースが増加傾向にあります。X（旧Twitter）が2023年に受けたAIボットによる大量スクレイピングはその代表例として知られています。

IPA「情報セキュリティ10大脅威 2026」でも、AIを悪用した攻撃の高度化・自動化がスクレイピング被害拡大の背景として指摘されています。

スクレイピングに有効な対策とは

スクレイピング攻撃への対策は、単一の手法だけでは効果が限定的です。複数の対策を組み合わせることで、ボットの検知精度と防御の強度を高めることができます。ここでは、代表的な6つの対策を紹介します。

robots.txtの設定

robots.txtとは、Webサイトのルートディレクトリに設置するテキストファイルで、クローラーに対してアクセスの可否を伝える仕組みです。

Googleなどの正規クローラーはrobots.txtを尊重しますが、悪意あるボットは無視するケースが多く、これだけで攻撃を防ぐことはできません。あくまでアクセス制御の入口として位置づけ、他の対策と組み合わせることが重要です。

レートリミット

レートリミットとは、特定のIPアドレスや接続元から一定時間内に送信できるリクエスト数に上限を設ける対策です。異常に高頻度なアクセスをボットとして検知・制限できます。

初歩的なスクレイパーには有効ですが、プロキシIPローテーションを使うボットには回避される場合もあるため、IPブロックやUA検証と組み合わせた運用が推奨されます。

IPアドレスのブロック

アクセスログを分析し、短時間に大量リクエストを送信しているIPや既知の悪性IPをブロックする方法です。データセンターやVPSのIPレンジ単位でのブロックも有効です。

ただし、レジデンシャルプロキシを使われると検知が難しくなるため、IPブロック単独には限界があります。定期的なブロックリストの更新と、他の検知手法との組み合わせが求められます。

ユーザーエージェント（UA）の検証

HTTPリクエストに含まれるUA情報を検証し、スクレイピングライブラリの特徴的な文字列（例：Python-requests）などをフィルタリングする方法です。低度な攻撃には一定の効果がありますが、SeleniumなどによるUA偽装には突破されやすい点が課題です。

UA検証単独での判定は危険なため、行動分析など他の指標と組み合わせた多層的な判定が必要です。

CAPTCHAの導入と偽CAPTCHAへの注意

CAPTCHA（reCAPTCHAなど）は、人間であることを確認するチャレンジを課すことで、ボットによる自動アクセスを抑制する仕組みです。

一方で、偽CAPTCHAを使ってマルウェア感染や認証情報の詐取を狙う攻撃も増えており、IPAも注意を呼びかけています。正規のCAPTCHAサービスの使用と、ユーザーへの周知を組み合わせることが重要です。

WAF（Web Application Firewall）の導入

WAFは、Webアプリケーションへの通信をリアルタイムで監視・解析し、ボットや不正なリクエストを自動的に検知・遮断するセキュリティ対策です。IPブロック・UA検証・レートリミット・シグネチャマッチングなどを統合的に実行できる点が特徴で、スクレイピング対策の中核として機能します。

特にクラウド型WAFは最新の攻撃パターンへの対応が自動更新され、専門知識がなくても導入・運用しやすい傾向にあります。

以下の記事ではWAFの4製品を比較しています。あわせてお読みください。

【2025年版】WAFのおすすめ4製品を比較！機能や価格をわかりやすく紹介

まとめ

スクレイピング攻撃は、クレデンシャルスタッフィングやWebスキミング、AIボットによるサービス障害など多様な被害につながります。robots.txtやIPブロック・UA検証といった個別手法は有効ですが、単独では限界もあります。これらを組み合わせた多層防御の中核となるのが、WAFの導入です。

「Cloudbric WAF+」は、WAF・ボット対策・DDoS防御・API保護を統合したクラウド型WAFです。AIによる自動検知で未知の攻撃にも対応し、専門知識がなくても導入・運用が容易です。

スクレイピング対策の強化をお考えの方は、ぜひお気軽にお問い合わせください。

近年、企業のWebサービスを狙うサイバー攻撃は多様化しています。APIを悪用した不正アクセスやボットによる自動化攻撃、大規模なDDoS攻撃など、従来のWAF単体では防ぎきれない脅威が増えているのが実情です。

こうした背景から生まれたのが「WAAP（Web Application and API Protection）」という次世代の防御概念です。Cloudbric WAF+は、WAAPを実現するクラウド型セキュリティサービスとして6つのコアセキュリティを統合しています。本記事では、機能の詳細・選ばれる理由・料金・導入方法までをわかりやすく解説します。

Cloudbric WAF+とは

クラウド型WAFサービス Cloudbric WAF+

Cloudbric WAF+は、ペンタセキュリティ株式会社が提供するクラウド型WAFサービスです。WAFの基本機能に加え、DDoS攻撃遮断・API保護・ボット対策・Malicious IP遮断・SSL証明書の自動発行という6つのコアセキュリティをひとつのサービスに統合しており、「WAAPを超えたクラウドサービス」として位置づけられています。

社内にセキュリティ専門家がいない企業でも導入・運用しやすい設計が大きな特長です。中小企業から大企業まで、業種を問わず幅広い企業での導入実績を持ちます。

従来のWAFが抱える課題

従来のWAFは、SQLインジェクションやXSSなど既知の攻撃を検知・遮断する点では有効ですが、攻撃の多様化にともない、いくつかの限界が顕在化しています。

• API通信を悪用した不正アクセスや情報漏えいへの対応が難しい
• ボットによる大量アクセスや自動化攻撃を防ぎきれないケースがある
• 複数のセキュリティツールを個別導入すると、管理コストと運用負荷が積み重なる
• シグネチャー更新や誤検知対応には専門知識が必要で、担当者不在の企業では適切な運用が難しい

IPAの「情報セキュリティ10大脅威 2026」でもWebアプリ層を狙う攻撃が上位を占め、脅威の深刻さが裏付けられています。

WAAPとは

WAAP（Web Application and API Protection）は、米ガートナー社が提唱した次世代Webセキュリティの概念です。WAFの機能を発展させ、API保護・ボット対策・DDoS防御を統合した包括的な防御基盤を指します。

WAAPが登場した背景には、Webを取り巻く脅威の変化があります。クラウドサービスやスマートフォンアプリの普及によりAPI通信が急増し、悪性ボットによる自動化攻撃やDDoS攻撃も高度化が進んでいます。こうした多様な攻撃に対し、Webアプリへの不正リクエスト遮断に特化した従来のWAFだけでは対応しきれないケースが増えました。

WAAPはこの課題を解決するため、WebアプリとAPIを一体で守る統合防御として設計されており、Webセキュリティの新たな標準として急速に普及しています。

Cloudbric WAF+はWAAPが定義するWAF・API保護・ボット対策・DDoS防御の4機能を中核としつつ、Malicious IP遮断とSSL証明書の自動発行・管理という独自機能を加えた6つのコアセキュリティを搭載しています。

WAAPについては、以下の記事で詳しく解説しています。あわせてお読みください。

WAAPとは？次世代Web防御の仕組みとWAFからの進化を徹底解説

Cloudbric WAF+の6つの機能

Cloudbric WAF+は、WAF・DDoS攻撃遮断・API保護・ボット対策・Malicious IP遮断・SSL証明書の自動発行という多層的な防御機能により、多様化するサイバー攻撃から企業のWebビジネスを包括的に保護します。ここでは機能の詳細について紹介します。

機能① WAF（Webアプリケーションファイアウォール）

WAAPの中核を担うのがWAF機能です。Cloudbric WAF+では、シグネチャー型とは異なる独自の論理演算検知エンジンとAIエンジンを組み合わせ、攻撃を高精度に検知・遮断します。

SQLインジェクションやクロスサイトスクリプティング（XSS）、コマンドインジェクションなど、代表的なWeb攻撃に幅広く対応しています。また、通信内容をリアルタイムで分析し、攻撃の傾向をログで可視化することも可能です。

この検知エンジンは日本を含む5カ国で特許を取得しており、技術力の高さを客観的な形で裏付けています。

以下の記事では4つのWAF製品を比較しています。あわせてお読みください。

【2025年版】WAFのおすすめ4製品を比較！機能や価格をわかりやすく紹介

機能② DDoS攻撃遮断

DDoS（分散型サービス拒否）攻撃は、大量のリクエストを送りつけてサーバーを過負荷状態にし、Webサービスを停止させる手法です。近年はアプリケーション層を狙った高度な攻撃も増加しています。

Cloudbric WAF+では、ネットワーク・トランスポート層（L3/L4）とアプリケーション層（L7）へのDDoS攻撃をスマートトラフィックフィルターで遮断します。クラウドのスクラビング機能で攻撃トラフィックを除去し、正規のアクセスのみを通過させる仕組みにより、大規模な攻撃を受けてもサービスの継続性を確保できます。

DDoS攻撃の対策については、以下の記事で詳しく解説しています。あわせてお読みください。

DDoS攻撃への対策とは？攻撃手法や実際の被害事例も紹介

機能③ API保護

API通信はビジネスに不可欠なインフラとなっている一方、攻撃対象としても急速に狙われやすくなっています。

Cloudbric WAF+はランタイムプロテクション方式でAPI通信の脅威をリアルタイムに検知・遮断します。不正トークンの利用や認証回避、想定外のAPIアクセスといった異常な挙動を自動的にブロックし、安全なデータ連携と安定したサービス運用を支えます。

機能④ ボット対策

悪性ボットによる認証突破・アカウント乗っ取り・商品の自動購入といった不正行為が増加する一方、検索エンジンのクローラーのような良性ボットは業務上必要なものもあります。

Cloudbric WAF+では、ユーザーエージェントやアクセス頻度・行動パターンを分析して悪性ボットと良性ボットを正確に識別し、制御・管理します。カスタムボットの設定も可能で、正規ユーザーの利便性を損なうことなくサービス品質とセキュリティを両立します。

機能⑤ Malicious IP遮断

攻撃者は特定のIPアドレスから繰り返し不正アクセスを試みることが多く、既知の脅威IPをあらかじめ遮断することは効果的な予防策のひとつです。

Cloudbric WAF+は、171カ国・約70万サイトから収集した脅威情報をもとに、危険度スコアリングの高い脅威IPを自動的に遮断します。スコアは毎朝更新されるため、常に最新の脅威インテリジェンスが適用された状態を維持できます。Cloudbric Labsの脅威分析力を活かした予防的な防御アプローチにより、攻撃が到達する前の段階でリスクを低減します。

機能⑥ SSL証明書の自動発行・管理

WebサイトのHTTPS化はセキュリティの基本ですが、SSL証明書の取得・更新・管理を手動で行うと、担当者の負担になりやすく、更新忘れによるサイト停止リスクも生じます。

Cloudbric WAF+では、Let’s Encryptのドメイン認証SSL証明書を無料で自動発行・管理します。手動での証明書更新作業が不要になり、更新忘れによるセキュリティリスクを排除できます。導入の手間を省けるだけでなく、外部サービスへの証明書費用も削減できるため、運用コストの低減にも直結します。

SSLについては、以下の記事で詳しく解説しています。あわせてお読みください。

SSLとは？Webサイトのセキュリティを強化できる仕組みと設定方法

Cloudbric WAF+が選ばれる理由

多くのWAFサービスが存在するなかで、Cloudbric WAF+が選ばれる背景には、技術・運用・サポート・信頼性の4つの観点における明確な差別化ポイントがあります。ここでは、それぞれの強みを詳しく解説します。

理由①特許技術による高精度な攻撃検知

Cloudbric WAF+の中核を支えるのが、日本を含む5カ国で特許を取得した独自の論理演算検知エンジンです。構文解析・比較解析を組み合わせることで、シグネチャー型では難しいゼロデイ攻撃や未知の脅威にも対応します。

その性能は第三者機関によっても客観的に証明されており、国際的な試験評価機関であるスイスのwizlynx groupが実施したWAF侵入テスト（2020年）でも高い優位性が確認されています。

理由②マネージドサービスで運用負荷を低減

Cloudbric WAF+には、セキュリティエキスパートによる24時間365日のマネージドサービスが標準で付帯します。セキュリティポリシーの作成・適用、最新脆弱性への対応、異常トラフィックの検出・遮断、誤検知対応まで専門家が代行します。社内に専任担当者がいない企業でも高いセキュリティレベルを継続的に維持できる体制です。

理由③DNS切り替えだけで導入完了・直感的なUI

セキュリティ製品の導入にあたって、複雑な設定作業や長い導入期間がネックになるケースは少なくありません。Cloudbric WAF+はエージェントやモジュールのインストールが不要で、DNSの切り替えだけで導入が完了します。

導入後は直感的なUIから脅威の検知・遮断状況をリアルタイムにモニタリングでき、専門知識がなくても運用しやすい設計になっています。また、過去3カ月分の月次レポートが自動作成されるため、定期的なセキュリティ報告の工数も大幅に削減できます。手軽に始められながら、高度なセキュリティを維持できる点が大きな強みです。

理由④国際基準・第三者評価による信頼性

Cloudbric WAF+はクレジットカードの国際セキュリティ基準であるPCI DSS v4.0.1に準拠しており、導入企業はその実績をコンプライアンス対応に活用できます。

また、世界的な調査機関であるガートナー社の「Representative Providers」に選出された実績を持ち、グローバルでの評価も確立されています。これらの第三者評価を支えるのが、WAF専門メーカーであるペンタセキュリティが20年以上にわたり蓄積してきたノウハウと実績です。技術力・運用力・信頼性の三拍子が揃ったサービスとして、多くの企業から支持を集めています。

まとめ

Web攻撃の多様化が進む今、WAFの機能だけでは守りきれない領域が広がっています。複合的な脅威に対応するには、WAAPという包括的な防御基盤への移行が現実的な選択肢となっています。

Cloudbric WAF+は、6つのコアセキュリティを統合したクラウド型WAFサービスです。特許取得済みの高精度な検知エンジンと24時間365日のマネージドサービスにより、社内にセキュリティ専門家がいない企業でも、高いセキュリティレベルを維持できます。月額28,000円から導入でき、30日間の無料トライアルも用意されています。

Cloudbric WAF+について詳しくはこちら

自社のWebセキュリティ強化をお考えの方は、お気軽にお問い合わせください。

お問い合わせはこちら

近年、重要インフラを標的としたサイバー攻撃は巧妙化・深刻化の一途をたどり、従来の受動的な防御体制では対応が難しくなっています。こうした状況を受け、2025年5月に「サイバー対処能力強化法」が成立しました。2026年中の施行を控え、基幹インフラ事業者をはじめとする多くの企業が、新たな義務への対応という課題に直面しています。

本記事では、法律の概要から対象事業者、企業に求められる具体的な対応をわかりやすく解説します。

サイバー対処能力強化法とは

サイバー対処能力強化法の正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。名称が長いことから、一般的には「サイバー対処能力強化法」と呼ばれています。

この法律は、サイバー対処能力強化法本体と、関連する既存法を改正する「同整備法」の2つで構成されており、同整備法によってサイバーセキュリティ基本法・警察官職務執行法・自衛隊法など多岐にわたる法律も改正されます。  

施行スケジュールは、2025年5月16日に国会で成立し、同月23日に公布されました。大部分の規定は公布から1年6カ月以内（2026年中）に施行される予定です。なお、通信情報の利用に関する規定については、公布から2年6か月以内の施行となる予定であり、順次整備が進む見通しです。

サイバー対処能力強化法が制定された背景

サイバー対処能力強化法が制定された背景には、サイバー攻撃の深刻化と、欧米主要国との対応能力の格差という2つの大きな課題がありました。ここでは、法整備が求められた背景を解説します。

サイバー攻撃の巧妙化・深刻化による被害の拡大

近年、国内外でサイバー攻撃の件数は増加しており、その手口も巧妙化しています。たとえば、2021年には米国のコロニアルパイプラインがランサムウェア攻撃を受け、燃料供給が停止する事態が発生しました。

また、2022年には大阪急性期・総合医療センターが攻撃を受けて診療業務が大幅に制限され、2023年には名古屋港でシステム障害が発生してコンテナ搬出入業務が一時停止するなど、重要な社会機能に影響を及ぼす事象も確認されています。

こうした重要インフラを標的とする攻撃に加え、国家を背景とした高度なサイバー攻撃も日常的に行われており、安全保障上の深刻な懸念となっています。

2025年に発生したサイバー攻撃の事例については、以下の記事で詳しく解説しています。あわせてお読みください。

【2025年最新】国内外のサイバー攻撃事例10選！対策方法も紹介

サイバー対応能力の強化が求められる国際的な潮流

サイバー攻撃への対処能力強化は、今や世界各国で共通の課題となっています。米国や英国・ドイツといった欧米各国にとどまらず、韓国・台湾・イスラエルなどにおいても、サイバー攻撃に積極的に対処するための法整備や体制構築が進んでいます。

こうした国際的な潮流の中、日本ではサイバー攻撃への対処に関する法的根拠が十分に整備されておらず、対応能力の底上げが急務となっています。2022年12月に閣議決定された国家安全保障戦略では、サイバー安全保障分野での対応能力を主要国と同等以上に向上させることが明記され、その具体化に向けた法整備が強く求められるようになりました。

能動的サイバー防御とは

能動的サイバー防御（Active Cyber Defence）とは、サイバー攻撃を受けた後に対処する「受動的防御」とは異なり、攻撃の兆候を早期に把握し、被害が発生する前に未然に防ぐ「能動的防御」の考え方です。

国や重要インフラ等に対する重大なサイバー攻撃のおそれがある場合、先んじて攻撃インフラを排除し、被害の拡大を防止する体制を指します。  サイバー対処能力強化法は、国家安全保障戦略で示されたこの「能動的サイバー防御」を法的に実現するために整備された法律です。

この法律によって、政府は能動的サイバー防御に必要な権限、すなわち通信情報の利用や攻撃者サーバーへの侵入・無害化などを適法に行使できるようになります。

能動的サイバー防御を実現する4つの柱

サイバー対処能力強化法では、能動的サイバー防御を実現するための手段として、以下4つの柱が規定されています。

• 官民連携の強化
  重要インフラ事業者と政府の情報共有体制を強化し、迅速な対処・支援を可能にします。
• 通信情報の利用
  電気通信事業者の通信情報を政府が取得・分析し、攻撃者のサーバーなどを早期に検知します。
• 攻撃者サーバーへの侵入・無害化
  警察や自衛隊が攻撃者のサーバーなどに侵入し、無害化する権限を付与します。
• 組織・体制の整備
  NISCを改組し国家サイバー統括室（NCO）を設置。サイバー通信情報監理委員会も新設されます。

これら4つの柱が連携することで、従来の受動的防御では対応が難しかった高度なサイバー攻撃への対処を可能にします。

サイバー対処能力強化法の対象事業者

サイバー対処能力強化法は、すべての企業が直接の対象になるわけではありません。法律で定められた3つの事業者類型ごとに、求められる対応の内容が異なります。ここでは対象事業者別に紹介します。

基幹インフラ事業者（15分野の特定社会基盤事業者）

基幹インフラ事業者とは、経済安全保障推進法に基づき各主務大臣が個別に指定する「特定社会基盤事業者」を指します。電気・ガス・石油・水道・鉄道・貨物自動車運送・外航貨物・港湾運送・航空・空港・電気通信・放送・郵便・金融・クレジットカードの15分野が対象となっており、それぞれの分野を所管する省庁が個別に事業者を指定します。  

基幹インフラ事業者は、本法律において最も多くの義務が課される事業者類型です。特定重要電子計算機の届出義務やセキュリティインシデント発生時の報告義務のほか、政府との協議会への参加要請や情報共有協定締結の協議への対応など、複数の新たな対応が求められます。

電気通信事業者

電気通信事業者とは、通信キャリア（携帯電話事業者・固定電話事業者）やISP（インターネットサービスプロバイダー）など、電気通信役務を提供する事業者を指します。  

本法律では、政府がサイバー攻撃に用いられていると疑われる通信情報の分析を行うにあたり、電気通信事業者が独立機関であるサイバー通信情報監理委員会の承認を条件として、政府に特定の通信データを提供する仕組みが設けられています。

通信の秘密や個人のプライバシーへの配慮から、対象範囲は外外通信・外内通信・内外通信に限定されており、厳格な要件と手続きのもとで運用されます。

ITベンダー・関連企業（システム開発・保守事業者等）

ITベンダー・関連企業とは、基幹インフラ事業者が利用するシステムの開発・保守運用を行う事業者や、汎用的なソフトウェア・機器を提供する事業者を指します。  これらの事業者は基幹インフラ事業者に比べて直接課される義務は限定的ですが、官民共同の協議会への参加要請を受ける可能性があります。

また、基幹インフラ事業者のサプライチェーンに組み込まれている企業は、取引先からセキュリティ対策の強化や脆弱性情報の提供を求められるケースが増えることが予想されます。自社がサプライチェーンに含まれているかどうかを把握し、間接的な影響を見越した備えが必要です。

企業が準備すべき具体的な対応

2026年中の施行に向けて、対象事業者は今から準備を進めることが重要です。ここでは、基幹インフラ事業者を中心に、企業が取り組むべき3つの具体的な対応を解説します。

特定重要電子計算機の届出体制の整備

特定重要電子計算機とは、基幹インフラシステムの中核を担う重要なコンピューターやプログラムを指します。具体的にはファイアウォール・VPN装置・認証サーバー・重要なアプリケーションサーバーなどが想定されます。  基幹インフラ事業者はこれらの機器・ソフトウェアを導入する際に、製品名・製造者名・導入予定時期等を所管大臣に届け出る義務があります。

施行時点で既に導入済みのものについても、施行後一定の猶予期間内に届出が必要です。どの機器・システムが届出対象となるかは主務省令で定められますが、自社の基幹インフラシステムの構成を今から整理し、対象機器の洗い出しを進めておくとよいでしょう。

セキュリティインシデント報告体制の構築

基幹インフラ事業者は、不正アクセスやマルウェア感染などのセキュリティ侵害事象を知った際に、速やかに所管大臣と国家サイバー統括室（NCO）に報告する義務があります。注目すべき点は、確定的な侵害だけでなく、その原因となり得る「ヒヤリハット」事象も報告対象となる可能性があることです。

管理者IDやパスワードの窃取、マルウェアの痕跡、不審なアクセスログなども報告対象に含まれると考えられます。  この義務に対応するには、インシデントを迅速に検知し報告できる体制の整備が不可欠です。24時間365日の監視体制の構築、報告フローの明確化、担当者のアサインなど、詳細な手続きが主務省令で定められる前から準備を始めておくことが推奨されます。

政府との協議会・協定への対応準備

基幹インフラ事業者は、内閣総理大臣・関係行政機関・基幹インフラ事業者・ITベンダーで構成される官民共同の協議会への参加を要請される可能性があります。協議会ではサイバー攻撃に関する情報を共有し、構成員には守秘義務が課されます。

また、政府との間で外内通信情報の提供と分析結果の受領に関する協定締結の協議を求められた場合、正当な理由がない限り協議に応じる必要があります。なお、協定を締結しない場合でも不利益を与えない旨が基本方針等に明記される予定です。

協議会への参加や協定締結の可否については、情報セキュリティ部門だけでなく法務・経営層を含めた社内の意思決定体制を事前に整えておくことが重要です。

まとめ

サイバー対処能力強化法は、日本のサイバー安全保障体制を欧米主要国と同等水準に引き上げるための根拠法です。2026年中の施行を控え、基幹インフラ事業者には特定重要電子計算機の届出・インシデント報告・協議会対応など、新たな義務への対応が求められます。まずは届出対象機器の洗い出しと報告体制の整備から、早めに準備を進めることが重要です。

法律への対応を進める上でインシデント報告義務の前提となるのが、不正アクセスやマルウェア感染を迅速に検知できる体制の整備です。「Cloudbric WAF+」は、WAF・DDoS攻撃対策・ボット対策・API保護を統合したクラウド型セキュリティサービスで、AIによる自動検知により攻撃をリアルタイムで把握できます。報告体制の構築とあわせてご検討ください。