明日話せるセキュリティネタ会#9

WAF、入ってますか？ EPISODE #9 今年の事故10件で考える、WAF で守れるもの・守れないもの 2026-11-08 (日) 20:30〜 Quatrex × かーでぃ #明日話せるセキュリティネタ会

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 今日の流れ 2026-11-08 | Quatrex × かーでぃ 1. 今年の事故：個人情報流出トップ5、アプリ・API 経由の事故トップ5 2. A2B 攻撃って何？ 3. WAF って何？：概要、金融庁の要請、いろいろな WAF 4. WAF の仕組み：できること、できないこと 5. 事故10件は WAF で防げたか 6. 明日から WAF を見直そう 「WAF があればいいよね」は本当か。今年の事故10件に当てはめて確かめる。 2 / 31

1. 今年の事故 2026年10月、漏えいの発表が集中した 3 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 数字で見る2026年 集計 漏えいした個人データ（4/1〜10/16、個人情報保護委 員会） 不正アクセスによる漏えい等の報告（同期間） そのうち 10/1〜16 の半月だけで 上場企業と子会社で100万件以上の漏えい（東京商工リ サーチ、10/5時点） 2026-11-08 | Quatrex × かーでぃ 数字 延べ約2億6,000万人分 2,094件（2025年度は1年で 1,256件） 830件（9月は1か月で303件） 2026年だけで 10件（2025年 は6件） 延べ数なので人口の約2倍になる。実際の人数ではないが、規模の異常さは伝わる。 4 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ 個人情報流出トップ5（2026年、公表値の最大） # 会社・サービス 1 佐川急便 件数 最大約5,323万件（重 複を含む） 2 ユミルリンク「Cuenote」 延べ約5,163万件（50 （メール配信 SaaS） システムの合計） 3 良品計画（MUJI アプリ・ネッ 最大約2,726万件 トストア） 4 Eストアー「ショップサーブ」 約2,336万人 （EC 基盤） 5 ソースネクスト 最大約2,252万件 原因（会社の説明） 不正アクセス。侵入経路は調査中 配信サービスへの不正アクセス。利 用企業が軒並み公表 アプリへの不正アクセス。詳細は調 査中 サーバ上のアプリの脆弱性を悪用さ れ、不正プログラムを置かれた 会員情報を取得する API の不正利用 件数は報道ベース。「件」「人」「延べ」「最大」は会社ごとに数え方が違う。 5 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ アプリ・API 経由の事故トップ5（上の5件を除く） # 会社・サービス 1 バーガーキング公式ア プリ 2 焼肉きんぐ公式アプリ 件数 約1,118万件 公表 会社の説明 10/15 不正アクセス。侵入経路は調査中 約1,079万件 10/5 会員管理システムへの断続的な外部アク セス 3 ローソン（ローソン ID） 約215.5万件 10/8 ID の情報を表示する仕組みへの不正アク セス 4 セイコーマート アプリ 約57.5万人 9/29 アプリのサーバへの不正アクセス 5 大起水産 公式アプリ 約17.5万人（おそれ） 10/5 公式アプリへの不正アクセス どの事案も A2B 攻撃が原因とは公表されていない。 アプリのサーバが経路だった、という共通点で並 べた。 6 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ 被害額は、まだ表に出ていない 今年の大型事案 上の10件で、損失額を公表した会社は見当たら ない 決算で特別損失として出てくるのはこれから 漏えいは「会員へのお詫び」「調査費」「問い合わ せ対応」「システム改修」が積み上がる 金額が出ている例 事案 金額 ギフティ（10/25、システム 約5.5億円（特別損 の脆弱性を悪用され eギフト 失の見込み） を不正発行） アスクル（2025年10月のラ 特別損失 約52億円 ンサムウェア） 関通（2024年のランサム 特損5.78億円、売 ウェア） 上減などを含む被 害額は約17億円 特別損失と被害額は別物。関通は特損5.78億円に対し、被害額は約17億円と説明している。 7 / 31

2. A2B 攻撃って何？ App-to-Backend Attack（NICT、10/13） 8 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ アプリを解析して、裏側のサーバを狙う 2026-11-08 | Quatrex × かーでぃ ① 入手・解析 ④ 抜き取る Google Play で公開中 の Android アプリを入 手。AI も使ってプログ ラムを読む ② 狙いを決める 接続先のサーバ、API の URL（ /user /order など） 、パラ メータ、応答の形を調 べる ③ 攻撃を組み立 てる API の仕様に合わせた リクエストを AI で作っ て送り、穴を探す 見つけた穴から DB や 内部システムに入り、 会員情報を取り出す NICT＝情報通信研究機構（National Institute of Information and Communications Technology）。 総務省所管の国立研究開発法人で、サイバー攻撃の観測・分析も担う。A2B は NICT の CYNEX（サ イバーセキュリティネクサス）の分析チーム LETTICE の命名。 9 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ 狙われる穴は4種類 穴 中身 SQL インジェク DB に不正な SQL を実行させる ション SSRF サーバに内部やクラウドのメタ データへ通信させる RCE サーバ上で任意のコマンドを実 行させる IDOR（BOLA） ID を書き換えるだけで他人の情 報が取れる NICT の対策の書き方 恒久策：サーバ側で認証・認可と入力検証をやる 暫定策：アクセス元の制限、不要な API の停止、 レート制限や WAF 等 iOS アプリや Web の API でも同じことは起こり 得る アプリを通さず、API を直接叩かれる前提で 作る。 IDOR＝Insecure Direct Object Reference（安全でない直接オブジェクト参照）。URL やパラメータの ID を書き換え るだけで他人のデータに届く欠陥。BOLA＝Broken Object Level Authorization。同じ欠陥の API での呼び方で、 OWASP API Security Top 10 の1位。 10 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 国の機関が相次いで注意喚起 2026-11-08 | Quatrex × かーでぃ 日付 機関 中身 10/7 個人情報保護委 事例集に「API が悪用される事例」を追加。会員 ID を書き換え 員会 るだけで他人の情報が取れた 10/8 JPCERT/CC 手口を4つに分類。うち1つが API 経由（アプリの解析を含 む）。10/23 に5つ目として AI を使った攻撃ツールの悪用を 追加 10/9 総務省 不正アクセスへの注意喚起（脆弱性診断、多要素認証） 10/13 NICT A2B 攻撃と名付けて注意喚起 10/13 総務省 A2B 攻撃を名指しで紹介。サーバ側の認証・認可を点検するよ う要請 11 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ 新しい攻撃、ではない 昔から言われてきたこと 「クライアントを信用するな」 「サーバ側で権限を確かめろ」 20年来の教訓が、改めて表に出ただけとい う論評がある 新しくなったこと AI で解析と攻撃の組み立てが速くなった 1社ずつ作り変えた攻撃を、大量に回せる 約40分で326の IP を使い分け、1,200件超 のアクセス、という観測も（JPCERT/CC が 引用） 一方で、AI がゼロデイを見つけて悪用した例は確認されていない（マクニカ）。狙われているのは API、管理画面、パッチ未適用といった基本的な弱点。 12 / 31

3. WAF って何？ 25年以上ある、古くて新しい道具 13 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ WAF は HTTP の中身を見て止める 2026-11-08 | Quatrex × かーでぃ Web アプリの手前に置き、URL・ヘッダ・Cookie・ボディを検査し て、攻撃と判断した通信を止める。 見る層 FW L3〜L4 IPS L3〜L7 WAF L7（HTTP） 判断材料 IP・ポート 既知の攻撃シグネチャ リクエストの中身 得意なもの 不要な入口を閉じる OS・ミドルウェアへの既知攻撃 SQLi、XSS、既知 CVE の定型攻撃 HTTP が読めるから SQLi が分かる。裏を返すと、HTTP しか読めない。 14 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 止め方は大きく3つ 方式 ブラックリ スト ホワイトリ スト スコアリング 2026-11-08 | Quatrex × かーでぃ 中身 既知の攻撃パターンに一致したら止める 弱点 未知の攻撃、難読化 正常な形を決めて、それ以外を止める 定義が重い。仕様変更のたびに 直す 閾値の調整に経験が要る 複数ルールの一致を点数にして、閾値で止 める OWASP CRS（オープンな標準ルールセット）は厳しさを PL1〜PL4 で選ぶ。目安は一般公開サーバ PL1、個人データ PL2、ネットバンキング PL3。 構築直後はいきなり Block にしない。Count（検知のみ）で誤検知を洗い、正常なリクエストの 形が固まったら Block へ。 15 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ WAF の歴史：実は25年以上ある 2026-11-08 | Quatrex × かーでぃ 年 出来事 1999 初期の商用 WAF が登場（AppShield など） 2002 OSS の ModSecurity 初版 2008 PCI DSS 6.6：公開 Web アプリに「コードレビューか WAF か」が必須に 2015 AWS WAF 提供開始。クラウドの WAF が広がる 2021 Log4Shell。各社が緊急ルールを配信し「仮想パッチ」の代表例に 2025 PCI DSS v4.0 6.4.2 が必須化。WAF 相当の仕組みが選択肢ではなく必須に 2026 金融庁・日銀の要請（5/22）、NICT の A2B 注意喚起（10/13）で WAF の名前が出る 新しい技術ではない。新しくないのに今また名前が出ている理由が、今日の本題。 16 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ 金融庁・日銀「フロンティア AI」要請（2026-05-22） AI で脆弱性が短期間に大量に見つかる前提で、金融機関に概ね1か月を目途の応急対応 を求めた。 1. 経営課題として扱う 2. 優先して守るシステムを決める（ネットバンキング等の外部公開システムが最優先） 3. 技術負債を解消する（不要ポート、特権 ID、サポート切れ） 4. パッチ適用の人員を増やす 5. ベンダーとの保守契約を確認する（夜間休日、SLA） 6. パッチ適用をリスクベースにする 7. パッチ以外の対策も強化する ← WAF はここ 8. 優先システムの停止に備える（止める判断基準も決める） 9. 外部との連携（金融 ISAC 等） 17 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ ⑦ に書かれた WAF 本文の要旨 パッチが当てられない、適用を早められない ときは クラウド型の WAF 等を用いた仮想パッチや ボット対策で、多層防御を強める ネットワーク分離、特権 ID の多要素認証、 EDR も並べて進める あくまでリスク低減策。残るリスクを評価し て、リスク受容の手続きを取る 2026-11-08 | Quatrex × かーでぃ 脚注6：仮想パッチの定義 パッチをすぐ当てられないときの暫定的な解 決策 設置した経路からの攻撃しか防げない 攻撃コードの亜種に追い付かないおそれが ある 恒久的な対応ではない 金融庁は「WAF を入れろ」とは言っていない。「直すまでの時間稼ぎに WAF もある。ただし穴はある」 と言っている。 18 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ いろいろな WAF：置き場所で4つ 2026-11-08 | Quatrex × かーでぃ 形態 置き方 長所 短所 アプライアン 専用機をネットワークに挟む 細かく作り込める。 高い。保守と冗長化を ス型 閉域にも置ける 自前で ソフトウェア型 Web サーバに組み込む 安い。サーバ単位で サーバの負荷。台数分 （ModSecurity など） 入れられる の管理 クラウド型 DNS を向け替えて事業者の 導入が早い。ルール オリジンを直接叩かれ （CDN 一体） エッジを通す 更新は事業者任せ ないよう塞ぐ必要 クラウドネイ クラウドの LB や CDN に付 IaC と一緒に管理。従 ルールの運用は利用 ティブ型 ける 量課金 者側 クラウド型でよくある失敗：本物のサーバの IP が漏れていて、WAF を迂回して直接叩かれる。 19 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 有名な製品・サービス 2026-11-08 | Quatrex × かーでぃ 種類 製品・サービス ひとこと F5 BIG-IP ロードバランサの延長で入れている企業が多い Advanced WAF アプライアンス Fortinet FortiWeb FortiGate と同じベンダー。クラウド版もある Imperva（Thales 傘下） WAF の老舗。オンプレとクラウドの両方 AWS WAF CloudFront・ALB・API Gateway に付ける。マネージ ドルールを選ぶ クラウド Cloudflare CDN 一体。無料プランから使える Akamai App & API CDN 一体の大手。Gartner の評価で Leader が続いた Protector 国産では Scutum、攻撃遮断くん、WafCharm（AWS WAF の運用自動化）、SiteGuard がよく名前が出る。 20 / 31

4. WAF の仕組み できること、できないこと 21 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ WAF にできること、できないこと できること SQLi、XSS、パストラバーサルなど形のおかしい リクエストを止める 既知の CVE の定型攻撃を、パッチ前に止める （仮想パッチ） SSRF の典型（内部 IP、メタデータの URL）を止 める 短時間の大量アクセスを回数制限で止める ボットらしいアクセスを見分ける 2026-11-08 | Quatrex × かーでぃ できないこと 認可の不備（IDOR / BOLA） ビジネスロジックの穴（割引の二重適用、マイ ナス金額） WAF を通らない経路（オリジン直叩き、内部 ネットワーク） ルールがまだ無い新しい攻撃 ゆっくり、IP を変えながらの抜き取り 委託先の SaaS で起きたこと ZAP 回（#7）で見つからなかったものと、ほぼ同じ場所が空く。どちらも外から HTTP しか見ていないから。 22 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 「正しい形をした悪意」は止まらない 攻撃者が送るリクエスト GET /api/members/1001 Authorization: Bearer (攻撃者自身の トークン) GET /api/members/1002 GET /api/members/1003 2026-11-08 | Quatrex × かーでぃ WAF から見ると 正規のログイン済み利用者 URL もヘッダも正常 SQL も スクリプトも入っていない 「1002番の情報をこの人が見てよいか」はア プリしか知らない。 WAF にできるのは「速すぎる」を止め るところまで。回数制限より遅ければ 通る。 23 / 31

5. 事故10件は WAF で防げたか 公表された原因から見立てる 24 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 流出トップ5を WAF の目で見る 事案 佐川急便 ユミルリ ンク 良品計画 会社の説明 不正アクセス。経路は調査中 配信 SaaS への不正アクセス 2026-11-08 | Quatrex × かーでぃ WAF の見立て ？ 判断材料がない ✕ 利用企業の WAF の外。委託先の問題 アプリへの不正アクセス。調 △ SQLi なら止められた可能性、IDOR なら無理 査中 ショップ アプリの脆弱性を悪用、不正プ △ 既知の脆弱性ならルールで止められた可能性 サーブ ログラム設置 ソースネク 会員情報取得 API の不正利用 △〜✕ 正規の形の API 呼び出しは止まらない。回 スト 数制限で量は減らせた ○ 止められた可能性が高い ／ △ 手口次第 ／ ✕ WAF では防げない ／ ？ 判断材料なし 25 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ アプリ・API 経由の5件を WAF の目で見る 事案 バーガーキング公式 アプリ 焼肉きんぐ公式ア プリ ローソン ID 2026-11-08 | Quatrex × かーでぃ 会社の説明 不正アクセス。経路は調査中 WAF の見立て △ 手口次第 会員管理システムへの断続的な外 部アクセス 情報を表示する仕組みへの不正ア クセス アプリのサーバへの不正アクセス △ 断続的なら回数制限をすり抜けや すい △〜✕ 表示機能の悪用なら認可の問 題の可能性 △ 手口次第 セイコーマート ア プリ 大起水産 公式アプリ 公式アプリへの不正アクセス △ 手口次第 「WAF があれば防げた」と言い切れるものは、10件中 0件。 26 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ では、WAF で防げた事案は？ 2026-11-08 | Quatrex × かーでぃ 事案 原因（公表） WAF の見立て 玄海町ふるさと納税特設サイト SQL インジェクション。413,867人分が漏 ○ SQLi は WAF の得意 （2025年2月公表） えいと結論 分野 愛知全県模試のサイト（2025年7月 SQL インジェクション。約32万件が流出 ○ 同上 公表） の可能性 BI ツール Metabase を狙った攻撃 既知の脆弱性（CVE-2026-72898）の SQL ○ 既知 CVE の定型攻撃 （2026年、JPCERT/CC のケースC） インジェクション は、ルール配信後なら止め やすい Gyazo（2026年9月、約2,362万件 画像アップロードサーバの脆弱性で任意の △〜○ 脆弱性の種類次第 ※件数は要確認） コマンド実行（RCE）。脆弱性の種類は非 公表 原因が「形のおかしいリクエスト」だと分かっている事案なら、WAF は止められた可能性が高い。 27 / 31

6. 明日から WAF を見直そう 入れただけでは守れない 28 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 2026-11-08 | Quatrex × かーでぃ 職場で確かめる4つ ① 入ってる？ 公開している Web と API の全部の前に あるか。検証環境、 旧バージョンの API、アプリ専用の API は抜けていない か。オリジンを直接 叩けないか ② 古くない？ ルールセットやシグ ネチャは更新されて いるか。サポート切 れの機器やソフトで 動いていないか ③ ルール放置 してない？ Count のまま何年も 経っていないか。誤 検知で外したルール を戻したか。ログを 誰が見ているか ④ 防げない点 は分かってる？ IDOR、ロジックの 穴、委託先の SaaS は WAF の外。そこ はサーバ側の認可 と、委託先の確認で 守る 29 / 31

明日話せるセキュリティネタ会 #9 ｜ WAF、入ってますか？ 明日話せる3ポイント 2026-11-08 | Quatrex × かーでぃ 1. WAF は仮想パッチ。直すまでの時間を買う道具。金融庁も NICT も「暫定策」と して書いている 2. 正しい形をした悪意は止まらない。A2B 攻撃の本丸の IDOR は、サーバ側の認可 で守るしかない 3. 入れただけでは守れない。全部の入口にあるか、ルールは新しいか、ログは誰が 見るか 今年の事故10件で「WAF があれば防げた」と言い切れるものは0件。でも、時 間を稼いで被害を減らせた可能性はある。 30 / 31

ありがとうございました 次回もお楽しみに Quatrex × かーでぃ #明日話せるセキュリティネタ会