休暇明けの初日は、見落としが生まれやすい。全員が同時に戻り、同時にメールを開き、同時に機器の電源を入れる。処理すべきことが一日に集中する。
IPAは2026年7月30日、「2026年度 夏休みにおける情報セキュリティに関する注意喚起」を公開した。長期休暇の時期はシステム管理者が長期間不在になるなど、いつもとは違う状況になりがちであり、この状況でインシデントが発生すると対応に遅れが生じたり、想定していなかった事象へ発展したりすることで、長期休暇後の業務継続に影響が及ぶ可能性があるという指摘から始まる文書である。
多くの会社にとって、今日がその「長期休暇後」の初日にあたる。そして今年は、担当者が不在になりやすい期間に、確認を要する情報がまとまって出た。休暇の只中である8月14日に、国内で広く使われているネットワーク機器の攻撃コードが公開され、翌15日にJPCERT/CCの注意喚起が出ている。ただし、実際の侵害が起きたという情報が出ているわけではない。JPCERT/CCは8月15日時点でこの脆弱性の悪用を示す情報を確認していないとしている。起きたのは「侵害」ではなく「確認すべき情報の増加」である。
本稿は、休暇明け初日の実務と、IPAが「8月下旬から9月」として挙げている期間への備えを、IPAの記載に基づいて分けて整理する。
この記事を読むべき人
- 情報システムを1名または兼任で見ている会社
- 休暇中に機器の電源を落とし、今日から順次立ち上げる会社
- 拠点や在宅から社内システムへ接続する経路をインターネットに出している会社
- 休暇明けの手順を文書にしておらず、毎回担当者の記憶で回している会社
- 社長名義のメールで送金や口座変更の指示を出すことがある会社
SECURITY OPERATION
日常の脆弱性運用、情シス1人で回せる体制にしませんか？
月次棚卸・重大度判定・パッチ適用代行まで含む「セキュリティ運用伴走」プラン。単発対応からの卒業で、止まらない運用体制を作ります。
休暇明けにIPAが挙げている対策は3つに絞られている
IPAは「長期休暇における情報セキュリティ対策」のページで、対象者ごとに実施事項を整理している。このうち管理者向けの「長期休暇明けの対策」として挙げられているのは3つである。
- 修正プログラムの適用。長期休暇中にOSや各種ソフトウェアの修正プログラムが公開されている場合があるため、有無を確認して必要なものを適用する。
- 定義ファイルの更新。長期休暇中に電源を切っていたパソコンは、セキュリティソフトの定義ファイルが古い状態のままになっている。メールの送受信やウェブ閲覧の前に更新する。
- サーバ等における各種ログの確認。不審なアクセスが発生していないかを確認し、不審なログが記録されていた場合は早急に詳細な調査等の対応を行う。
利用者向けの休暇明けの対策としては、修正プログラムの適用と定義ファイルの更新に加えて、持ち出していたパソコンやUSBメモリ等の外部記憶媒体を組織内で利用する前にウイルススキャンすること、そして不審なメールに注意することが挙げられている。長期休暇明けはメールが溜まっていることが想定されるため、特に注意してメールチェックを行うよう促している。
この5項目を見て「毎年言われていること」と感じるなら、3番目のログ確認が後回しになりやすい点に注意してほしい。修正プログラムの適用は作業として明確なので着手されるが、ログの確認は「特に問題なさそう」で終わりやすい。
なお、IPAはこの3項目に順序を付けておらず、ログを先に見るべきだとも述べていない。適用を遅らせる理由にはならないので、GXOとしては、パッチ適用とログの保全は並行して進めることを勧める。外部に面した機器を持っている会社であれば、機器を再起動する前にログを別の場所へ退避しておくと、後から確認できる範囲が広がる。ログの保全のために適用を止める必要はない。
今年の休暇中に、実際に何が起きたか
一般論を離れて、今年の8月11日から16日にかけて日本の企業に降ってきた材料を並べる。
- 8月11日、CISAが3件の脆弱性をKnown Exploited Vulnerabilitiesカタログに追加した。Cisco Secure Firewall ASA/FTD、Microsoft WindowsのWinSock用補助機能ドライバー、Metabaseの3件である。このうちMicrosoftの1件（CVE-2026-68820）の是正期限は8月25日で、まだ来ていない。
- 8月12日、IPAがMicrosoft製品の脆弱性対策について（2026年8月）を公開した。
- 8月14日、JPCERT/CCがMetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起を公開した。
- 8月15日、JPCERT/CCがNetScaler ADC/Gatewayの脆弱性（CVE-2026-8452）に関する注意喚起を公開した。国内で広く利用されている製品であり、Webshellを設置可能なPoCコードが公開されている。
つまり、休暇中に発生した情報だけで、少なくとも4件の確認作業が発生している。「たまったメールを消化する」ことと、「休暇中に出た脆弱性情報を自社の構成に当てて該当を判定する」ことは別の作業であり、後者は誰かが意識して着手しないと誰も着手しない。
初日の朝に決めるべきは、この判定を誰がいつまでにやるかである。全員が通常業務に戻ってしまえば、判定は後回しになる。
8月下旬から9月は、警戒期間として扱う理由がある
IPAの注意喚起には、他の年と違う記載が含まれている。
まず、夏季休暇シーズンには8月6日広島原爆記念日、8月9日長崎原爆記念日、8月15日終戦記念日、9月3日中国・ロシアの対日戦勝記念日といった安全保障に関連した記念日が含まれることを挙げ、こうした戦争関連の記念日前後においては、過去にはDDoS攻撃や情報戦・認知戦が行われたこともあり、現在、中国やロシアが日本の防衛政策を新型軍国主義という戦略的なナラティブで批判していることからも、サイバー攻撃や偽情報の流布に注意が必要としている。
そのうえで、次の一文がある。「2026年は4年に一度実施されてきたロシア極東軍管区のVOSTOK機動軍事演習が8月下旬から9月に行われる可能性があり、演習に合わせたサイバー攻撃にも警戒が必要と考えられます。」
ここで正確に読んでほしいのは、IPAが「行われる可能性がある」と書いていることである。実施が確定した予定として書かれているわけではない。また、演習に合わせた攻撃が日本の特定の企業を狙うと予告しているものでもない。
それでも、警戒期間の設計材料としては十分に使える。理由は3つある。
第一に、期間が具体的である。IPAは「8月下旬から9月」という範囲を示し、記念日としては9月3日を挙げている。漠然と「警戒しましょう」と言われるのと違い、この期間だけログ確認の頻度を上げる、この期間は大きな構成変更を避ける、といった具体的な運用に落とせる。なお、IPAは9月3日を警戒の終了日としているわけではない。示されている範囲は「8月下旬から9月」である。
第二に、想定される攻撃の型が挙げられている。DDoS攻撃と、情報戦・認知戦（偽情報の流布）である。この2つは、通常の情報漏えい対策とは備え方が違う。DDoSは可用性の問題であり、偽情報は自社をかたる情報が外に出る問題である。どちらも「機密情報を守る」発想の対策では拾えない。
第三に、休暇明けの人手が薄い時期と重なる。夏季休暇を分散取得している会社では、8月下旬まで誰かが不在の状態が続く。
ネットワーク貫通型攻撃とORB化──IPAが企業に名指しで求めていること
IPAの注意喚起には【企業や組織の方々へ】として独立した項目があり、インターネットに接続された機器・装置類の脆弱性を悪用するネットワーク貫通型攻撃が相次いでいると述べている。
ここで挙げられているのがORB（Operational Relay Box）化である。攻撃を受けた場合、保有情報の漏えいや改ざん、ランサムウェアへの感染に加え、ORB化により、意図せずに他組織等への攻撃に加担することにつながるとされている。
この一文が持つ意味を、経営者は正確に受け取ってほしい。自社の被害だけの話ではない。自社の機器が他社への攻撃の中継点として使われるという話である。取引先から「御社のIPアドレスから攻撃を受けている」と連絡が来る側になり得る、ということだ。IPAは2025年10月31日に、VPN機器等に対するORB化を伴うネットワーク貫通型攻撃のおそれについて、および家庭用ルータ・IoTルータ等のORB化のおそれについて、それぞれ注意喚起を出している。
そのうえでIPAは、未然に防ぐために必要なこととして次を挙げている。システム構成やインターネット接点など構成把握、脆弱性対策、設定等の確認、日頃のログ監視といったサイバーセキュリティ対策に加え、BCP（事業継続計画）・BCM（事業継続マネジメント）を通じたサイバー以外も含めた危機管理体制が重要である、と。
また、ネットワーク貫通型攻撃の標的となり得る機器・装置類を把握・管理するための指針として、2023年5月に経済産業省が公開したASM（Attack Surface Management）導入ガイダンスを参照している。
IPAが挙げている4つの技術的対策のうち、最初に来ているのが「構成把握」である点に注目したい。脆弱性対策も設定確認もログ監視も、対象の一覧がなければ範囲が決まらない。にもかかわらず、GXOが支援に入った会社では、この一覧が用意されていないことが多い。
社長をかたる詐欺メールが、休暇明けに効く理由
IPAは、最近は社長等をかたる詐欺メールや、クラウドサービス等の認証情報の窃取を目的としたフィッシングメールが観測されているため注意するよう促している。
休暇明けは、この手口が通りやすい時期だとGXOは考えている。IPAがそう述べているわけではなく、年間で最も成功率が高いことを示すデータがあるわけでもない。そう考える理由は業務の側にある。
休暇明けには、休暇中に止まっていた承認や支払いが一斉に動く。「休み中に決まった件で、急ぎ処理してほしい」という依頼が、実際に大量に発生する。普段なら不自然に見える急ぎの依頼が、この時期だけは自然に見えてしまう。加えて、承認者本人がまだ休暇中で電話がつながらない、という状況も重なりやすい。
対策は技術ではなく手順の側にある。振込先の変更や高額の支払いについて、メール以外の経路で確認する手順が決まっているか。決まっているとして、確認先の担当者が不在のときにどうするかまで決まっているか。後者が抜けている会社は多い。
今日から9月にかけての現実的な組み立て
以下の並べ方は、IPAの記載を材料にGXOが日程に落としたものである。IPAがこの順序を定めているわけではない。
今日（初日）
- 外部に面した機器のログを別の場所へ退避する。パッチ適用と並行して進め、適用は遅らせない
- 休暇中に出た脆弱性情報を一覧化し、自社該当の判定担当と期限を決める
- 持ち出していた端末のスキャンを、社内ネットワークへ接続する前に実施する
今週
- 該当判定の結果を確認する。「該当なし」の判定には根拠を残す
- 8月25日が期限の案件（Microsoft WinSockの件）の適用状況を確認する
- 振込先変更・高額支払いの確認手順が、承認者不在時にも回るかを確認する
8月下旬から9月にかけて
- 外部公開サービスの可用性監視の閾値と通知先を確認する。DDoSを想定した場合、気づくのが遅れると復旧も遅れる
- 大規模な構成変更やネットワーク工事の予定があれば、切り戻しの手順と監視体制が整っているかを確認する。整っていなければ時期の見直しを検討する。なお、脆弱性の修正適用はここでいう構成変更に含めない。延期の対象にしない
- 自社をかたる偽情報が出た場合の公表窓口と初動を決めておく
よくある質問
Q. VOSTOK演習の件は、中小企業にも関係があるのか。 A. 演習そのものは関係しない。関係するのは、IPAがこの期間についてDDoS攻撃や情報戦・認知戦への警戒を促している、という点だけである。攻撃件数が増えるという予測が示されているわけでも、自社が標的として名指しされているわけでもない。外部公開しているサービスがあるなら可用性の監視を、自社名義の情報発信をしているなら偽情報への初動を、それぞれ確認しておけば足りる。
Q. 休暇明けにログを見ろと言われても、何を見ればよいのか分からない。 A. まずは外部から到達できる機器に対する認証の失敗と成功の記録から見るのが現実的である。特に、休暇中の深夜帯に成功しているログインがあれば、それが誰のものか説明できるかを確認する。説明できない記録が1件でもあれば、そこから広げる。
Q. ORB化しているかどうかは、どうすれば分かるのか。 A. 自社側から確実に判定する手段は限られる。外向きの通信量が普段と違う、身に覚えのない宛先への通信が続いている、といった兆候から入るのが実務的である。確度の高い確認には機器の詳細な調査が要るため、疑いがある段階で外部の支援を検討したい。
Q. ASM導入ガイダンスは中堅企業でも使えるのか。 A. 使える。ただし、いきなりツール導入から入らないほうがよい。ガイダンスが求めているのは、まず外部から見える自社の資産を把握することであり、それは表計算ソフトからでも始められる。ツールは、手作業で追えなくなってから検討すればよい。
Q. 休暇明けの手順を文書にしたいが、どこまで書けばよいか。 A. 最初は「誰が」「いつまでに」「何を確認したら完了か」の3列だけで足りる。手順の詳細より、担当と期限が空欄でないことのほうが効く。詳細は2年目以降に足していけばよい。
Q. 今年の休暇中に出た脆弱性は結局どれを優先すべきか。 A. 自社の構成に該当するかで決まるため、一般解はない。判定の順序としては、インターネットに面していて、認証なしで到達でき、回避策がないものから見るのが妥当である。該当判定の考え方は個別の案件ごとに異なるので、下記の関連記事も参照してほしい。
休暇明けの確認を毎年の場当たりで終わらせないために
長期休暇は毎年来る。にもかかわらず、休暇前後の手順が文書として残っていない会社をGXOはよく見かける。毎回、担当者が記憶を頼りに走り、抜けた項目は翌年も抜ける。
外部に面した資産の把握から着手したい場合はセキュリティ診断で対応している。休暇期間を含めて脆弱性情報の判定を継続的に外部に持たせたい場合はセキュリティリタイナーが該当する。休暇中の不審なログイン記録が見つかった、外向き通信に不自然な傾向があるといった状況であれば、インシデント対応から相談できる。休暇前後の手順を自社向けに文書化するところから相談したい場合は、休暇運用の設計を相談するで受け付けている。
外部資産の一覧づくりの具体的な進め方はASM導入の実務、休暇中に是正期限が来る案件の扱いはお盆に期限が来る前提の運用設計、今年の休暇中に公開されたNetScalerの件はベンダーと研究者で説明が食い違った脆弱性の読み方でそれぞれ扱っている。本稿は休暇明けの再開手順と、IPAが挙げる8月下旬から9月の期間への備えに絞っている。
参照した情報
- IPA「2026年度 夏休みにおける情報セキュリティに関する注意喚起」（2026年7月30日公開）: https://www.ipa.go.jp/security/anshin/heads-up/alert20260730.html
- IPA「長期休暇における情報セキュリティ対策」（最終更新2025年4月21日）: https://www.ipa.go.jp/security/anshin/measures/vacation.html
- IPA「Microsoft製品の脆弱性対策について（2026年8月）」（2026年8月12日公開）: https://www.ipa.go.jp/security/security-alert/2026/0812-ms.html
- JPCERT/CC 注意喚起一覧（2026年）: https://www.jpcert.or.jp/at/2026.html
- CISA Known Exploited Vulnerabilities Catalog（JSON配信）: https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
ネットワーク貫通型攻撃とORB化に関する記載、構成把握・脆弱性対策・設定確認・ログ監視とBCP/BCMを通じた危機管理体制の重要性、経済産業省のASM導入ガイダンス（2023年5月公開）への参照、安全保障に関連した4つの記念日、過去にDDoS攻撃や情報戦・認知戦が行われたことがある旨、VOSTOK機動軍事演習が8月下旬から9月に行われる可能性がある旨、および社長等をかたる詐欺メールとクラウドサービスの認証情報窃取を目的としたフィッシングメールが観測されている旨は、上記IPAの夏休み注意喚起の記載に基づく。
管理者向けの休暇明けの対策3項目、および利用者向けの休暇明けの対策4項目は、上記IPA「長期休暇における情報セキュリティ対策」の記載に基づく。
8月11日にKEVカタログへ追加された3件と、CVE-2026-68820の是正期限が2026年8月25日であることは、CISAが配信するKEVカタログのJSON（カタログバージョン2026.08.14）を取得して確認した。8月12日から15日にかけてのIPAおよびJPCERT/CCの公開情報は、それぞれの一覧ページで公開日を確認している。
ログの退避を適用と並行して行うという進め方、警戒期間を3つの理由で設計するという考え方、社長をかたる詐欺メールが休暇明けに通りやすい理由の分析、および「今日／今週／8月下旬から9月にかけて」の組み立ては、IPAの記載を出発点としてGXOが休暇運用の設計として書き起こしたものであって、IPAの手順そのものではない。VOSTOK演習の実施はIPAの記載でも「可能性」として述べられているものであり、本稿は実施を前提とした断定をしていない。また、特定の企業や業種が標的になるという情報は確認できていないため、本稿では扱っていない。
