【セキュリティニュース】2026年11月11日｜無印良品のリスト型攻撃と政府の緊急対策
「大きな会社のニュースばかりですが、うちのような規模でも同じことが起きるのでしょうか」。11月に入り、国内で大きなセキュリティの動きが続いています。この記事では直近数日のニュース3本を取り上げ、岐阜・愛知の中小企業が今週のうちに手をつけられる対応だけを、落ち着いて整理します。
この記事でわかること
- 無印良品ネットストアで確認された「リスト型攻撃」と、パスワード使い回しの危うさ
- 政府が11月6日に決めた緊急対策パッケージで、中小企業に関係する部分
- Google Chromeの脆弱性(CVE-2026-125350)と、更新の確認方法
- 今週のチェックリスト(費用のかからないものから)
1. 無印良品ネットストアに「リスト型攻撃」約27万件で不正ログインの可能性
良品計画は2026年11月9日、MUJIアプリ・ネットストアへの不正アクセスに関する第4報を公表しました。同社の発表によると、外部で不正に入手されたとみられるIDとパスワードを使った大量のログイン試行(リスト型攻撃)が確認され、一部の利用者アカウントに第三者が不正ログインした可能性があるとしています。
- メールアドレス・生年月日・性別・会員IDが対象となりうる件数: 最大約2,726万件
- 氏名・住所・電話番号まで含む可能性: 約52万件から約75万件に修正
- 購入履歴・ポイントまで含む可能性(不正ログイン分): 約27万件
- ネットストアは11月6日から停止中で、再開は延期。再開時に全利用者へパスワード再設定を依頼予定
中小企業にとっての意味
リスト型攻撃は、どこか別のサービスから漏れたID・パスワードの組み合わせを使い回すだけの攻撃です。つまり自社のシステムが堅牢でも、社員が同じパスワードを他社サービスで使っていれば侵入されるという構図で、規模に関係なく成立します。
今日からできる対策
- Microsoft 365・Google Workspace・クラウド会計などで、まず管理者アカウントの多要素認証を有効にする(標準機能・追加費用なし)
- 「業務で使うパスワードは、他社サービスと同じものを使わない」を一文だけ社内ルールに加える
- 自社サイトに会員・管理画面がある場合、ログイン失敗が続いたときに一時ロックされる設定を確認する
- 退職者・使っていないアカウントを棚卸しして削除する
出典: 良品計画(第4報) / 出典: ITmedia NEWS
2. 政府が「サイバーセキュリティ緊急対策パッケージ」を決定
2026年11月6日、サイバーセキュリティに関する関係閣僚会議で緊急対策パッケージが決定されました。被害の予防から発生後の支援までを4つの柱で整理したもので、予備費約100億円の措置も同日決定されたと報じられています。
| 柱 | 内容 |
|---|---|
| 予防 | AIも活用した基本的な対策の徹底 |
| 情報の集約・分析 | 情報収集、捜査・分析体制の強化 |
| 対処 | サイバー攻撃への対処の戦略的な実施 |
| 被害 | 被害者支援・被害拡大防止策の強化 |
中小企業にとっての意味
中小企業向けには「サイバーセキュリティお助け隊サービス」に復旧やバックアップのメニューを追加し、初動から復旧まで一貫して支援する方針が示されています。事業者全体に対しては、Webサイトやモバイルアプリの運用・管理、設計・開発、取引先を経由した攻撃への基本対策の徹底が求められています。公的な支援が広がる一方、基本対策は自社でやる前提と読めます。
今日からできる対策
- 自社サイトの土台(サーバー・CMS・PHPのバージョン)が保守対象かを制作会社に確認する → PHPのサポート終了と重大な脆弱性
- バックアップが「取れているか」ではなく「戻せるか」を一度試す
- 被害時の連絡先(制作会社・保守会社・警察・IPA)を1枚の紙にまとめておく
出典: 内閣官房(決定本文PDF) / 出典: INTERNET Watch
3. Google Chromeに悪用済みの脆弱性 Chrome 157で修正
Googleは11月9日、デスクトップ版Chromeの安定版更新を公開し、9件の脆弱性を修正しました。このうちCVE-2026-125350については、修正公開前から攻撃に使われていること(悪用の事実)を把握していると説明しています。
| 項目 | 内容 |
|---|---|
| 対象 | Google Chrome(Windows / Mac / Linux) |
| 脆弱性 | CVE-2026-125350 ほか計9件(深刻度「高」7件) |
| 修正版 | 157.0.8103.50 / .51(拡張安定版は156.0.8078.96) |
今日からできる対策
- Chromeの右上「︙」→「ヘルプ」→「Google Chromeについて」でバージョンを確認し、更新後に再起動する(更新は再起動で完了します)
- EdgeなどChromeと同じ基盤のブラウザも同時期に更新が出るため、あわせて確認する
- 社内PCは月に1回、ブラウザとOSの更新を全台まとめて確認する日を決める
今週のチェックリスト
| やること | 担当 | 費用 |
|---|---|---|
| 管理者アカウントに多要素認証を設定 | IT担当 | 0円(標準機能) |
| パスワード使い回し禁止を社内に周知 | 経営者 | 0円 |
| ChromeとOSを全台更新・再起動 | 各自 | 0円 |
| バックアップから実際に戻せるか確認 | IT担当・保守会社 | 0円〜 |
| サイトのサーバー・CMSの保守状況を確認 | 制作会社に依頼 | 要相談 |
よくある質問
Q. パスワードは定期的に変えたほうがよいですか。
A. 定期変更よりも「他社サービスと同じパスワードを使わない」ほうが効果的と考えられます。漏えいの連絡が来たとき、そのサービスのパスワードを変える運用が現実的です。
Q. 多要素認証は費用や手間がかかりませんか。
A. 主要なクラウドサービスでは標準機能のため追加費用はかかりません。スマホアプリでの承認なら、ログイン時に数秒増えるだけです。
Q. 自社サイトに会員機能はありません。それでも関係しますか。
A. 関係します。狙われるのは会員情報だけでなく、社員が使うクラウドサービスやサイトの管理画面です。まず管理者アカウントから見直すとよいでしょう。
Q. 公的な支援はどこに相談すればよいですか。
A. IPAの相談窓口や「サイバーセキュリティお助け隊サービス」が入口になります。被害が疑われる段階でも相談できます。
まとめ
- 無印良品ネットストアではリスト型攻撃により約27万件で不正ログインの可能性。使い回しパスワードが最大の弱点です
- 政府は11月6日に緊急対策パッケージを決定。中小企業向け支援は広がるが、基本対策は自社で行う前提です
- Chromeは悪用確認済みの脆弱性を修正済み。更新と再起動で対応が完了します
- 今週は「多要素認証・パスワード使い回しの停止・ブラウザ更新」の3点から着手するのが現実的です
オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のIT環境とセキュリティ対策を支援しています。自社で何から手をつけるべきか分からない段階からご相談ください。
