JPCERTコーディネーションセンター（JPCERT/CC）は10月22日、2026年7〜9月の活動をまとめた四半期レポートを公表した。期間中に寄せられたインシデント報告は1万2932件で、4〜6月の1万4056件から8％減った。一方、ウェブサイト改ざんの件数は603件と、4〜6月の181件から3倍を超えた。国内の通販サイトに、利用者のクレジットカード情報を盗むことが目的とみられる不正なプログラムが埋め込まれた事例も確認された。
報告は減少、組織への「調整」は2割増
JPCERT/CCは、国内外で起きたコンピューターセキュリティー上の事件・事故（インシデント）の報告を受け付け、被害の拡大を防ぐために関係組織と連絡を取る民間の組織だ。活動の多くは経済産業省などの委託事業として行っている。四半期ごとに、受けた報告の件数と内容、注意喚起や脆弱性（ぜいじゃくせい）の調整の実績をまとめて公表している。
レポートによると、7〜9月の報告件数は1万2932件で、前年同期の2万3857件からは46％減った。報告に含まれるインシデントを重複を除いて数えた「インシデント件数」は8755件（4〜6月は9305件）だった。
報告件数が減る一方で、JPCERT/CCがサイトの管理者などに調査と対応を依頼した「調整件数」は4048件で、4〜6月の3398件から19％増え、前年同期の3257件も24％上回った。月別では7月1311件、8月1403件、9月1334件だった。
インシデント件数の82.0％はフィッシングサイト（実在の企業を装って個人情報を入力させる偽サイト）が占めた。カテゴリー別の内訳は次の通り。
| 分類 | 4〜6月 | 7〜9月 |
|---|---|---|
| フィッシングサイト | 8313 | 7183 |
| ウェブサイト改ざん | 181 | 603 |
| スキャン | 190 | 264 |
| マルウェアサイト | 21 | 31 |
| 標的型攻撃 | 8 | 4 |
| ランサムウェア | 8 | 6 |
| その他 | 582 | 663 |
改ざん603件、カジノへのリンクやカード情報を狙うコード
ウェブサイト改ざんは月を追って増え、7月116件、8月194件、9月293件だった。レポートは特徴的な事例を2つ挙げている。
1つは、国内の複数の正規サイトに、海外のオンラインカジノサイトなどへのリンクを含むHTMLが、画面に表示されない形で5000行以上埋め込まれていたものだ。正規サイトから参照されているように見せかけ、検索エンジンでの評価を不正に上げようとする行為と考えられるという。
もう1つは、ネット通販サイトの構築ソフト「EC-CUBE」で作られた国内の複数の通販サイトが改ざんされた事例だ。攻撃者が指令を出すサーバー（C2サーバー）から取得したコードを実行するJavaScriptが埋め込まれていた。利用者が開いているページが購入画面かどうかを判定する処理も見つかり、JPCERT/CCは「クレジットカード情報などの窃取を目的としていた可能性」があるとしている。
このほか、システムの弱点を探る「スキャン」は264件で4〜6月から39％増えた。対象となったのは、遠隔ログインに使うTelnet（23番ポート）やSSH（22番ポート）、ウェブのHTTP（80番ポート）、メール送信のSMTP（25番ポート）などだった。特定の組織を狙う標的型攻撃は4件で、偽装したPDFを開かせてマルウェア「LotusLite」に感染させようとするメールが確認された。
フィッシングは減少も、カード会社のキャンペーン模倣が急増
フィッシングサイトの件数は7183件で、4〜6月の8313件、前年同期の9063件のいずれも下回った。国内ブランドを装ったものは5974件から4632件に減り、国外ブランドを装ったものは1088件から1133件に増えた。
国内ブランドでは金融関連を装ったサイトが65.7％を占めた。「Vpass」や三井住友カードを装ったサイトが増え、マネックス証券やSBI証券、JCBを装ったものは大きく減った。8月から9月にかけては、Vpassが実施したキャンペーンのサイトをまねた偽サイトが急増した。「当選」を表示して利用者を誘い、景品の送り先を確認するとしてカード情報を入力させる手口だった。国外ブランドでは通販サイトを装ったものが80.2％で、アマゾンやアップルのアカウントを装ったものが多かった。
レポートは、JPCERT/CCが事務局を務めるフィッシング対策協議会に寄せられたフィッシングの報告も、7〜9月は引き続き減る見通しだとしている。ただ、重複を除いたフィッシングサイトの数は「必ずしも減少傾向を示していません」とした。理由として、メールの送信元を確かめる仕組みや金融機関の多要素認証の普及、企業と法執行機関が連携して国際的な犯罪インフラを使えなくする活動を挙げ、攻撃者が大量配信から、件数を絞って到達率と成功率を高める手法に移っている可能性を指摘した。9月にはAndroid端末に不正なアプリを入れさせる手口も見られ、「報告件数減少のみをもってフィッシング詐欺活動全体が沈静化しつつあるとは判断できず」としている。同じ時期の個人の相談状況は情報処理推進機構（IPA）も公表している（IPAへの個人のセキュリティ相談、7〜9月は3369件 前年比19％増 偽警告が3分の1）。
FortiGateの認証情報、日本関連1万件超に個別通知
レポートは期間中の対応事例として、米フォーティネット製のネットワーク機器「FortiGate」の管理者の認証情報が大量に出回った問題を取り上げた。6月中旬、攻撃者が管理するサーバーに多数の認証情報が保存されていたことを海外の研究者が明らかにした。フォーティネットは、新たな脆弱性によるものではなく、過去に漏れた認証情報や総当たり攻撃などで集められたものだとの見解を示している。
JPCERT/CCは6月23日に注意喚起を出した後、海外のセキュリティー企業からデータを入手して分析した。日本に関連する認証情報が1万件以上見つかり、社内ネットワークの利用者認証に使われるKerberosやNTLMに関わる情報も含まれていたため、「国内組織への深刻な被害が発生する恐れがある」と判断した。対象の組織が多いことから、影響の大きさで優先順位をつけて個別に通知した。
通知先には、影響を受けている認識がなかった組織や、機器から設定ファイルを盗まれた組織もあった。レポートは、機器の利用者とメーカーの間に販売代理店など複数の事業者が入るため、メーカーの情報が利用者に届きにくいという「緊急情報の伝達に関するサプライチェーンの課題」があったと記している。
AI開発ツールを狙う攻撃、脆弱性の公表は148件
JPCERT/CCがインターネット上に設けたおとりのシステム（ハニーポット）では、4〜6月に続き、AIや大規模言語モデル（LLM）の開発に使うツールを狙う攻撃が観測された。8月下旬を中心に、機械学習アプリの作成に使う「Gradio」を使ったアプリにPythonのコードを注入して暗号資産の採掘プログラムを設置する攻撃や、AIと外部ツールをつなぐMCP関連のツール、分散処理基盤「Ray」の脆弱性を突く攻撃がみられた。JPCERT/CCは「今後も継続することが予想され、注意が必要」としている。AIの侵入試験ツールを悪用した攻撃については、10月に入って注意喚起を更新している（JPCERT/CC、AI侵入試験ツールを悪用した攻撃を追加 相次ぐ不正アクセスの注意喚起）。
脆弱性の情報を公表する「JVN（Japan Vulnerability Notes）」では、7〜9月に148件を公表し、累計は6243件になった。経済産業省の告示に基づく届け出の枠組み（受付機関はIPA）で報告されたものが46件、海外の調整機関などから連絡を受けたものが102件だった。