FeliCa旧チップ脆弱性(CVE-2026-59776)公表｜「自社の社員証・入退室カードの世代」を即答できない会社が今やるべき確認手順

結論:2017年以前出荷のFeliCa旧チップに暗号の脆弱性——問われているのは交通系ICではなく「自社の社員証」の管理

2026年7月21日、JVN(Japan Vulnerability Notes)は、非接触型ICカード技術FeliCaの一部ICチップにおける脆弱性 JVN#40509781(CVE-2026-59776) を公表しました。対象は2017年以前に出荷された一部のFeliCa ICチップで、暗号処理に必要な処理の欠如(CWE-325)があり、特定の操作を行うことで暗号のセキュリティ強度が本来の想定より低下し、チップ内データの不正な読み取りや改ざんにつながるおそれがあるとされています。重要なのは対応の形です。チップの交換プログラムやソフトウェアパッチの提供はなく、ソニーの告知とJVNが示す対応は「サービス事業者がガイドラインに沿ってシステム側で影響確認と対策を行うこと」「利用者がカードを盗難・スキミングから適切に管理すること」の2つです。

経営者に理解していただきたい結論は次の通りです。交通系ICカードや決済サービスについては、各サービス事業者が自らの責任で影響評価と対策を進める立場にあり、実際にソニーは「引き続き安心してご利用ください」と案内しているとINTERNET Watchが報じています。しかし、社員証・入退室カード・複合機認証カードとして自社ビルや自社オフィスでFeliCaカードを使っている場合、その「サービス事業者」に相当するのは自社(と導入ベンダー)です。誰かが代わりに影響確認をしてくれるわけではありません。そして対象が「2017年以前出荷」である以上、該当しうるのは約10年近く更改されていない社内システムです。導入当時の担当者が既におらず、カードのチップ世代を即答できる会社は多くありません——これが本件の実務上の急所です。

同時に、過度に恐れる必要もありません。JVNのCVSS 3.0評価(基本値6.8)では攻撃元区分が「物理(AV:P)」、つまりカードへの物理的なアクセスが攻撃の前提とされており、公表資料には悪用の実例は記載されていません。「明日、全社のカードが危ない」という話ではなく、「自社が対象かどうかを確認する体制すらない状態を、これを機に解消すべきだ」という話です。本稿では、影響の冷静な評価、ベンダー・カード発行元への照会文面テンプレート、社内利用用途の棚卸し台帳、そして「回避策で凌ぐか・カードを再発行するか・システム更改に乗せるか」の判断軸まで、経営が判断すべきことを順に整理します。

この記事を読むべき人

• FeliCa方式の社員証・入退室カードを使っているが、導入年やチップ世代を即答できない中堅・中小企業の経営者・役員
• 総務が管理する入退室システムと、情シスが管理するITシステムの間で、ICカードの管轄が宙に浮いている会社の実務決裁者
• 2010年代前半〜中頃に入退室管理や複合機認証を導入し、その後大きな更改をしていない会社の管理部門責任者
• 今回の報道を見て「うちは関係あるのか」を誰に聞けばよいか分からない、ひとり情シス・兼任情シスの担当者
• 老朽化した入退室・勤怠・認証システムの更改を検討しており、今回の件を判断材料に加えたい経営企画・総務部長

何が公表されたのか:JVN#40509781の事実関係

まず、一次情報で確認できる事実を整理します。

時系列も押さえておく価値があります。ソニーの法人向け告知ページの初出は2025年8月28日で、2026年7月21日に更新されています。つまりソニーは約1年前から関連事業者向けに対策ガイドラインを発行し、リスクアセスメントと対策を進めてきたと説明しており、今回のJVN公表はその経緯を踏まえた一般公開という位置づけです。Security NEXTの報道(2026年7月21日)によれば、脆弱性は外部からの指摘を受けて判明し、ソニーはパートナーや公的機関と連携して対応を進める方針とされています。

個別サービスへの影響はどうか。この点は各事業者の発表に依拠すべき領域です。報道ベースでは、ソニーが「引き続き安心してご利用ください」と案内し、JR東日本も公式発表(2026年7月21日)で、オンラインでの検証や異常検知などシステム側の対策を講じており、Suicaは引き続き安心して利用できるとの見解を示しています。逆に言えば、こうした発表を出せるのは「自社サービスのシステム全体でリスク評価と対策を実施済みだ」と言える事業者だけです。あなたの会社の社員証システムについて、同じことを言える体制があるか——それが本稿の主題です。

冷静に見る:この脆弱性で「何ができてしまう」可能性があるのか

セキュリティの公表案件では、過小評価と過大評価の両方が判断を誤らせます。公表内容から読み取れる範囲で、影響を等身大に評価します。

第一に、できてしまう「可能性がある」とされているのは、チップ内データの不正読み取りと改ざんです。社員証・入退室カードの文脈に置き換えると、カード内の識別情報や権限情報が第三者に読み取られる、あるいは書き換えられるリスクが理論上想定される、ということになります。入退室カードは「建物・執務室に入る鍵」であり、勤怠打刻や複合機認証、PCログインを兼ねている場合は本人認証の起点でもあります。仮にカードの複製や改ざんが成立すれば、なりすまし入館や権限の不正利用につながりうる——これが最悪側のシナリオです。

第二に、攻撃条件です。JVNのCVSS評価で攻撃元区分が「物理」とされている通り、攻撃には対象カードへの物理的なアクセスが前提となります。リモートから全社のカードが一斉に危険にさらされる類の脆弱性ではありません。現実的に警戒すべきは、カードの紛失・盗難、退職者による持ち出し、離席中のカード放置といった、物理アクセスが成立する場面です。JVNが利用者向け対策として「盗難やスキミングをされないよう適切に管理する」ことを挙げているのは、この攻撃前提と整合しています。

第三に、悪用の実例は公表資料に記載がありません。現時点で「実際に被害が出ている」ことを示す公的情報は確認できておらず、本稿でもそのように扱います。つまり「明日全部危ない」ではない。ただし、ここで注意すべき経営判断上の罠があります。脆弱性の公表は、攻撃者にとっても「どこを狙えば良いか」のヒントになります。公表前より公表後の方が、旧世代チップを使い続ける組織のリスクは構造的に上がる。そして社員証は交通系ICと違い、一度発行したら5年、10年と使い続けるのが普通で、サービス事業者側の集中対策も自動更新もありません。「実害の報告がないから何もしない」と「攻撃前提が物理だからパニックは不要」は、どちらも正しい態度ですが、「だから確認もしない」だけは正当化されない——これが等身大の結論です。

最大の盲点:「自社の社員証のチップ世代」を即答できる会社はほぼない

今回の公表で本当に問われているのは、脆弱性そのものより「自社が対象かどうかを確認できる状態にあるか」です。そして経験的に言えば、次の質問に即答できる中堅・中小企業はまれです。

「自社の社員証・入退室カードは、いつ、どのベンダー経由で、どのチップ世代のカードとして発行されたか。」

即答できない構造には理由があります。対象が「2017年以前出荷」ということは、該当しうるカード・システムは導入から10年前後が経過しています。この期間には多くの会社で次のことが起きています。導入を担当した総務担当者や情シス担当者が異動・退職している。入退室システムはオフィス移転時にビル側の工事に含まれる形で導入され、契約書や仕様書が総務のキャビネットの奥にある。複合機認証カードは複合機のリース契約に付随してベンダーが持ち込んだもので、カードの仕様は誰も把握していない。食堂決済やロッカーのカードは福利厚生施策として別ルートで導入された。つまり、FeliCaカードという同じ技術が、別々の部門・別々のベンダー・別々の時期に、台帳のないまま社内に蓄積しているのです。

さらに厄介なのは、1枚のカードに複数の用途が相乗りしているケースです。社員証を入退室・勤怠・複合機・食堂決済で共用している場合、カードの発行元とシステムのベンダーが異なることが珍しくなく、「このカードのチップは誰に聞けば分かるのか」自体が不明になります。10年前の導入ベンダーが事業撤退・統合している、保守契約が切れて連絡窓口がない、というケースも現実に起こります。

この状態は、今回の脆弱性に限らない経営リスクです。物理鍵であれば「マスターキーの本数と保管場所を把握していない」状態に相当しますが、ICカードは電子的な鍵であるにもかかわらず、物理鍵より管理が緩いのが多くの会社の実態です。今回のJVN公表は、その管理不在を可視化する機会と捉えるのが、経営としては最も生産的です。

自社確認の実務手順:用途の棚卸しとベンダー照会テンプレート

では具体的に何をするか。GXOが推奨する手順は、台帳化→照会→回答評価の3ステップです。特別なツールは不要で、総務と情シスが半日ずつ動けば初版が作れる粒度に設計しています。

Step1: 社内のFeliCa/ICカード利用用途を棚卸しして台帳化する

まず「社内でICカードをかざす場面」をすべて書き出します。漏れやすいものを含め、チェック対象は次の通りです。

• 建物・フロア・サーバールームの入退室管理
• 勤怠打刻(タイムレコーダー)
• 複合機・プリンタの認証印刷
• PC・システムログインのカード認証
• 社員食堂・売店・自販機の社内決済
• 更衣室・貴重品ロッカー
• 来訪者用の一時入館カード
• 社用車・駐車場ゲート
• 倉庫・薬品庫など特定区画の解錠

これらを次の項目で台帳化します。

台帳を作る過程で「導入時期が分からない」「ベンダー窓口が不明」という空欄が出るはずです。その空欄こそが、今回の脆弱性対応以前に埋めるべき管理上の穴です。

Step2: ベンダー・カード発行元へ照会する(文面テンプレート)

台帳ができたら、カード発行元とシステムベンダーに書面(メール)で照会します。電話で「大丈夫ですか」と聞くと「大丈夫です」で終わりがちなので、記録に残る形式で、次の5点を具体的に尋ねてください。

件名: FeliCa ICチップ脆弱性(JVN#40509781/CVE-2026-59776)に関する対象該否のご確認

貴社より導入した弊社の(社員証/入退室管理システム)について、2026年7月21日にJVNが公表したFeliCa ICチップの脆弱性に関し、以下をご回答ください。

1. 弊社に発行済みのカードに搭載されているFeliCa ICチップの型番・世代と、出荷時期(2017年以前の出荷分が含まれるか)。
2. 弊社のカードが本脆弱性(CVE-2026-59776)の対象に該当するか否かと、その判断根拠。
3. 該当する場合、ソニーが事業者向けに発行している対策ガイドラインに基づく回避策・システム側対策を、現行の弊社システム構成に適用できるか。適用済みであればその内容。
4. 回避策の適用に追加費用・システム改修が必要な場合、その概算範囲と想定期間。
5. カードの再発行(新世代チップへの切り替え)を行う場合の、対応可否・リードタイム・概算費用の考え方。

Step3: 回答をどう読むか——「対象外です」を鵜呑みにしない

回答が来たら、次の観点で評価します。まず「対象外です」という回答には、必ず根拠(チップ型番・出荷時期の特定)が添えられているかを確認してください。根拠なしの「対象外」は、確認せずに答えている可能性を疑うべきです。逆に、チップ型番と出荷ロットまで特定した上での回答であれば信頼度は高い。次に、「確認します」のまま数週間止まる、あるいは「カードの仕様は分かりかねます」という回答が返ってくる場合、それはこの脆弱性の問題以前に、そのベンダーが自社の重要インフラの構成情報を管理できていないというシグナルです。今後の保守・更改のパートナーとして適切かという、より大きな判断材料として記録してください。

なお、照会と並行して即日できる暫定対策もあります。JVNが利用者向けに示す通り、カードの物理管理の徹底——退職者カードの回収と失効処理の総点検、紛失時の失効までの時間短縮、カードの社外持ち出しルールの明確化——は、チップ世代にかかわらず有効で、費用もかかりません。

更改判断の軸:回避策で凌ぐか、カードを再発行するか、システム更改に乗せるか

照会の結果、自社カードが対象(または対象の可能性が否定できない)と分かった場合、取りうる選択肢は大きく3つです。どれが正解かは会社の状況によりますが、判断軸は共通です。

費用の考え方はシンプルで、②は「カード単価×枚数+切替の事務コスト」という枚数比例の構造、③は「リーダー・制御盤・ソフトウェア・工事」を含むシステム投資の構造です(金額は構成・規模で大きく変わるため、必ず複数ベンダーの見積もりで確認してください)。判断を誤りやすいのは、①を選んだつもりで実際には何も適用されていない状態と、②で当座を凌いだ結果、①③で扱うべきシステム側の老朽化問題が先送りされる状態です。

ここで経営として考えるべきは、2017年以前導入の入退室・認証システムは、今回の脆弱性がなくても見直し時期に入っているという事実です。この世代のシステムには、管理端末が古いOSのまま更新されていない、入退室コントローラーが業務ネットワークと分離されずに接続されている、入退室ログが十分な期間保存されていない・勤怠や情シスのログと突合できない、退職者のカード失効が人事プロセスと連動していない、といった問題が高い確率で併存します。物理セキュリティの機器は「動いているから触らない」が10年続きやすい領域ですが、入退室ログはインシデント発生時の初動調査で必ず参照される基礎データであり、ネットワークにつながった古いコントローラーは攻撃の足がかりにもなりえます。今回の件で③を選ぶ場合は、単なるカード刷新ではなく、ネットワーク分離・ログ設計・人事システム連動まで含めた要件定義にすることで、投資の回収価値が大きく変わります。

放置が生まれる構造:「物理は総務、ITは情シス」の管轄分断を経営が一元化する

最後に、最も本質的な論点です。この種の問題が10年放置される会社には、共通の構造があります。入退室管理・社員証は「設備・什器」として総務の管轄、サーバーやPCは情シスの管轄、と縦割りになっており、ICカードという「電子的な認証基盤」が両者の隙間に落ちているのです。総務は脆弱性情報(JVN)を日常的に見る部門ではなく、情シスは入退室システムを自分の資産台帳に載せていない。結果、今回のような公表があっても「どちらの部門も自分の仕事だと思っていない」状態が発生します。

これは担当者の怠慢ではなく、責任設計の問題です。したがって解決も経営の仕事です。具体的には次の3点を決めるだけで、構造は大きく変わります。第一に、物理セキュリティ(入退室・監視・カード)を含む認証基盤の責任者を1名指名する(情シス責任者への統合が一般的ですが、兼任情シスしかいない場合は総務部長+外部専門家の組み合わせでも構いません)。第二に、Step1で作った台帳を、情シスのIT資産台帳と同じ場所で一元管理し、年1回の棚卸しに組み込む。第三に、入退室・認証システムの更改をIT投資計画の中に位置づけ、「壊れたら直す」設備扱いから卒業させる。今回のJVN公表は、この体制転換を社内に説明する格好の材料になります。

よくある質問(FAQ)

Q1. 今回の脆弱性で、社員証が今すぐ悪用される危険があるのですか。

A. 公表資料に悪用実例の記載はなく、攻撃にはカードへの物理的アクセスが前提とされています(CVSS 3.0基本値6.8、攻撃元区分:物理)。「今すぐ全カードが危険」という状況ではありません。ただしパッチやチップ交換の提供はないため、自社カードが対象かの確認と、カードの物理管理の徹底は速やかに行うべきです。

Q2. 自社のカードが対象かどうかは、どうすれば分かりますか。

A. 対象は「2017年以前に出荷された一部のFeliCa ICチップ」で、具体的な型番は一般公表されていません。カード発行元または導入ベンダーに、チップ型番・出荷時期・対象該否・回避策適用可否を書面で照会するのが唯一の確実な方法です。本稿の照会テンプレートをそのまま使えます。

Q3. Suicaなどの交通系ICカードは使い続けて大丈夫ですか。

A. 個別サービスの安全性は各事業者の発表に依拠すべき事項です。報道では、ソニーが「引き続き安心してご利用ください」と案内し、JR東日本もシステム側の対策により引き続き利用できるとの見解を示したと報じられています。本稿はサービス事業者が対応を担う交通系・決済ではなく、自社に対応責任がある社員証・入退室カードを主題としています。

Q4. ベンダーから「対象外」と回答が来ました。それで終わりにしてよいですか。

A. 回答にチップ型番・出荷時期という根拠が示されているかを確認してください。根拠のない「対象外」は再照会すべきです。また、今回を機に作った利用用途の台帳と、退職者カードの失効運用の点検は、対象該否にかかわらず残す価値があります。

Q5. カードを全部再発行すれば解決しますか。

A. カード世代だけが問題ならば有効な選択肢です。ただし2017年以前導入のシステムは、管理端末やコントローラーの老朽化、ネットワーク分離やログ保存の不備といった別の問題を併せ持っていることが多く、カード再発行だけではそれらは解消しません。再発行で凌ぐのか、システム更改に乗せるのかは、システム全体の状態を見て判断すべきです。

Q6. 何から着手すべきか、優先順位を一言で言うと。

A. ①退職者・紛失カードの失効運用の総点検(即日・費用ゼロ)、②社内のICカード利用用途の台帳化(半日)、③ベンダーへの書面照会(1週間)、④回答を踏まえた回避策/再発行/更改の判断(経営マター)、の順です。

GXOに相談すべきタイミング

今回の件は、ベンダーへの照会だけで完結するケースも多く、その場合に外部の支援は不要です。一方で、次のような状態に当てはまるなら、第三者を入れる価値があります。導入ベンダーが撤退・不明で照会先がない。ベンダーの回答が「対象外」の一言で根拠を評価できない。入退室・勤怠・複合機認証・決済がバラバラのベンダーで導入されていて、全体像を整理する主体が社内にいない。そもそもシステムが10年選手で、今回の件を機に更改を検討したいが、要件のまとめ方も相見積もりの取り方も分からない。

GXOは、こうした老朽化した業務システム・認証基盤の現状整理から、更改の要件定義、ベンダー選定・見積もり評価までを、特定製品の販売に依存しない立場で支援しています。入退室・認証システムの更改を業務システム全体の刷新と合わせて設計したい場合はDX・システム開発の支援内容を、社内のセキュリティ体制全体(物理と情報の管轄分断の解消を含む)を点検したい場合はセキュリティ診断・支援をご覧ください。今回のような脆弱性公表のたびに「うちは大丈夫か」を都度調べる体制が社内にない会社には、継続的に相談できるセキュリティ顧問(リテイナー)という選択肢もあります。ベンダー回答の読み方だけ第三者の目が欲しい、といった小さな相談でも構いません。お問い合わせからご連絡ください。

参考文献

• JVN「JVN#40509781: 非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性」
• ソニー株式会社「FeliCa | 法人のお客様 | お知らせ」
• Security NEXT「2017年以前のFeliCa一部ICチップに脆弱性 - 漏洩や改ざんのおそれ」
• INTERNET Watch「FeliCaの一部ICチップの脆弱性をJVNが発表、ソニーは『引き続き安心してご利用ください』」
• 東日本旅客鉄道「FeliCaの脆弱性に関連する情報の公表について」(2026年7月21日)