これまでの連載では、2026年に多発している「数千万件規模の個人情報漏洩」と、Webの土台を揺るがすPHPの欠陥「PHP2Shell」という2つの大きなセキュリティ危機について、それぞれの実態と背景にある構造的な課題を紐解いてきました。どちらの脅威も「従来のやり方や古い常識のままでは、もはや組織も個人も守れない」という現実を突きつけています。最終回となる今回は、これら深刻な脅威に対して、企業組織と私たち個人が具体的にどのような対策を講じるべきなのか、その実践的なアプローチを整理します。

今こそやるべき漏洩対策ガイド｜ゼロトラスト＆API防衛

　まず、個人情報漏洩の猛威に直面している企業において求められるのは、「ゼロトラストアーキテクチャ」の徹底です。「社内ネットワークだから安全」という前提を排除し、すべてのアクセスを厳格に検証する仕組みや、パスワードに依存しない「パスキー」などの認証方式への移行が急務となっています。

　さらに、今回の漏洩の大きな原因となっているAPIの脆弱性を防ぐため、アプリへの秘密鍵の埋め込み禁止やサーバー側での厳格な認証・認可、レート制限の導入が不可欠です。

　あわせて、退会者などの不要な個人情報を持ち続けず定期的に消去するデータガバナンスの徹底や、本人確認における画像送付の廃止とICチップ読み取りへの前倒し移行、さらにはなりすましメール対策としてのDMARCの受信拒否設定など、様々な対策が求められます。

放置サイトは「閉鎖」の決断も。今すべき脆弱性への対応と保守の鉄則

　PHP2Shellのような基盤の脆弱性に対しては、システムを定期的に更新し、運用を継続する仕組みづくりが欠かせません。納品されたまま誰も触れない状態のシステムを放置せず、保守体制をしっかりと確保することが重要です。PHP 8.2も2026年12月31日でサポートが終了するため、現在は大丈夫だとしても、引き続き確認と更新が必要になってきます。

　万が一、更新によってシステムが崩壊したり、コストや人員の面で対応が困難な古いサイトについては、思い切って閉鎖するという判断も企業を守るための有効な選択肢となります。

　事故が起きてしまった場合には、まずは影響範囲の調査が必要です。脆弱性の悪用が観測された10月17日まで遡り確認しましょう。その後は、パスワードやAPIのキーなどを変更し、二次被害を防ぐようにしましょう。

【個人の自衛策】パスキー・MFA・履歴監視で「突破されない盾」を作る

　組織側の対策と並行して、個人でも自衛策を講じる必要があります。最も基本であり強力な盾となるのが、パスワードの使い回しを禁止し、パスワードマネージャーを活用してサービスごとに強固で異なるパスワードを設定することです。さらに、SNSや金融機関、主要なサービスにおいて多要素認証（MFA）やパスキーを積極的に有効化することも重要です。

　また、メールに記載されたリンクから直接ログインするのではなく、公式アプリやブックマークからアクセスする習慣を徹底することや、利用しているサービスのログイン履歴や決済明細を定期的にモニタリングすることも、被害を最小限に抑えるために今すぐできる大切なアクションです。

終わりに

　セキュリティの危機が浮き彫りにした教訓は、対策は一過性ではなく、継続的なメンテナンスが重要であるということです。本連載を通じて整理した現状と対策の知見を活かし、それぞれの現場で安全性を高め、予測困難なデジタル社会を確かな足取りで歩いていきましょう。