金融庁と内閣官房がサイバー注意喚起 2026年10月9日、士業の確認3点

金融庁と内閣官房国家サイバー統括室は2026年10月9日、サイバー対策の注意喚起を公表しました。

金融庁は令和8年（2026年）10月9日、金融機関等に向けてサイバーセキュリティ対策の強化と、各種取引申込等における対応についての注意喚起を行いました。同じ日に内閣官房国家サイバー統括室も、不正アクセスによる漏えい等の事案を踏まえた対応について、事業者向けの文書を公表しています。どちらも宛先は金融機関や大量の個人情報を扱う事業者ですが、依頼者の本人確認書類や機微な情報を日常的に預かる士業事務所にとっても、読み返す価値のある内容です。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。行政の見解は各府省庁の公表資料で確認しており、個別の事案への当てはめは行いません。

金融庁の注意喚起で示された内容

一次情報は金融庁の現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応についてです。令和8年10月9日付で、金融機関等への注意喚起として公表されました。

背景として、インターネット上に公開している顧客向けサービスや業務システムへの不正アクセスが相次ぎ、運転免許証等の本人確認書類の画像情報を含む顧客情報が漏洩するサイバーインシデントが発生していることが挙げられています。そのうえで、金融機関等に対し、次の3点の対応が示されました。

1点目は、内閣官房国家サイバー統括室の注意喚起や、今後公表される攻撃の原因・手口等を踏まえ、サードパーティリスク管理やインシデント発生時の対応態勢も含めて、サイバーセキュリティ対策を点検することです。点検で不十分な点が認められた場合は、リスクに応じた措置を速やかに講じることが求められています。2点目は、非対面で本人確認を行う際に、本人確認書類の画像と顧客の容貌の画像に不自然な点がないかを改めて確認することです。

3点目は、犯罪収益移転防止法施行規則の改正への対応です。同発表によると、施行日の令和9年（2027年）4月1日から、本人確認書類の画像送信を受ける方法は廃止され、不正対策として効果が高いICチップ情報の読取に原則として一本化されます。金融庁は、現下の情勢を踏まえ、施行日を待たずに可及的速やかな対応を図ることを求めています。

内閣官房国家サイバー統括室の文書が示す3つの柱

もう一つの一次情報は、内閣官房国家サイバー統括室の不正アクセスによる漏えい等の事案を踏まえた対応についてです。2026年10月9日付で、ウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などにより、大量の個人情報を扱う事業者の情報システムに不正アクセスがあり、データが窃取される事案が複数確認されている、と説明されています。

文書は対策のポイントを3つに分けています。1つ目はウェブシステム等の適切な管理で、セキュリティパッチの速やかな適用、多要素認証の導入、ログの取得・保管などが挙げられています。2つ目はサプライチェーンを通じた侵害への対策です。攻撃者が比較的防御の弱い委託先企業を足掛かりに侵入する手口があることから、委託先の対策状況の把握や、委託契約におけるセキュリティ要件の明確化が示されています。

3つ目はデータの適切な管理です。保有する情報資産の把握、利用目的を終えた情報の速やかな削除といった保有情報の最小化、保存データや通信経路の暗号化、アクセス権の最小化が並びます。文書は、AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化していることにも触れ、経営層に対して、対策を経営課題と位置づけることを求めています。

士業事務所にとっての論点

2つの文書は、士業を名指ししたものではありません。ただし、内閣官房の文書は「機微な情報を取り扱う事業者等」も対象に挙げています。顧客の本人確認書類や財務情報、相続・紛争に関する情報などを預かる士業事務所は、読み方によっては同じ立場にあります。

本人確認の面では、犯罪収益移転防止法の特定事業者に司法書士が含まれると説明する司法書士事務所の解説記事があります。事務所の職種ごとに対象となる業務や場面が異なるため、自事務所が対象かどうかは所管官庁や職能団体の公表資料での確認が必要です（要確認）。改正の内容は、法律事務所のTMIのブログなどでも整理されており、令和9年4月1日の施行日までに、本人確認方法の見直しが進む見込みです。

情報管理の面では、委託先の管理が目を引きます。クラウドの会計ソフト、電子契約、メール、オンラインストレージ、生成AIサービスなどは、事務所にとって情報を預ける委託先に近い存在です。内閣官房の文書がいう「委託先企業と共に管理する」という考え方を、事務所のツール運用にどう取り込むかが論点になります。保有情報の最小化も同様で、業務が終わった依頼者データの保管期間や削除の運用を見直す事務所があります。

今後の動きと初動の確認事項

金融庁の発表は、今後の公表情報等で攻撃の原因・手口等が明らかになることを前提にしています。続報によって、点検の観点が追加される可能性があります。現時点で、次のような確認から始める事務所があります。

依頼者から預かった本人確認書類の画像データの保管場所、アクセスできる人、保管期間を棚卸しする
事務所が使うクラウドサービスや外部ツールの一覧を作り、多要素認証の設定状況を確認する
委託先や利用ツールの運営会社について、事故時の連絡経路と報告の取り決めを確認する
本人確認の方法について、令和9年4月1日の施行日に向けた切り替え計画を立てる

これらは公表資料に示された観点を、事務所の運用に引き寄せて整理したものです。具体的な対応は、事務所の規模や取り扱う情報によって異なります。

まとめ

金融庁と内閣官房国家サイバー統括室は、いずれも2026年10月9日に、相次ぐ不正アクセスを受けた注意喚起を公表しました。金融庁は、ICチップ読取への一本化を施行日の令和9年4月1日より前倒しで進めることも求めています。士業事務所は名指しされていませんが、本人確認書類や機微な情報を預かる立場として、委託先管理、保有情報の最小化、アクセス権の見直しという3つの観点を、自事務所の運用に照らして確認する段階にあります。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

引用元: 金融庁

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。