ITmediavor 14 StundenTechnik1 Min. LesezeitJapan

ソニーFeliCa ICチップに深刻度「高」の脆弱性、JVNが約1年越しに公表

Auf einen Blick

JVNはソニーのFeliCa ICチップの一部に深刻度「高」の脆弱性を公表。2017年以前出荷品が対象で、物理アクセスでデータ読み取り・改ざんが可能。約1年前の報告から公開まで長期化し、過去には報道先行で問題視された経緯がある。

KI-generierte Zusammenfassung

Warum es wichtig ist

ソニーの非接触ICカード技術「FeliCa」の一部ICチップに深刻度「高」の脆弱性が見つかり、JVNが約1年越しに公表した。この脆弱性は2025年7月にIPAに届け出られ、同年8月には正式公開前に共同通信が報じ、経産省が異例の要請を出す事態となっていた。

Schriftgröße

IPAとJPCERT/CCが共同で運営する脆弱性対策情報ポータルサイト「Japan Vulnerability Notes」（JVN）は7月21日、ソニーの非接触ICカード技術「FeliCa」の一部ICチップに、深刻度「高」の脆弱性（CVE-2026-59776）が見つかったと公表した。

2025年7月24日にアンノウン・テクノロジーズの切敷裕大氏がIPAに届出をした後、25年8月28日に共同通信が報じ、大きな騒ぎになった脆弱性が、約1年経ってようやく公表された。当時は正式公開前に報道が先行したことが問題視され、経産省などが脆弱性情報の取り扱いに関する異例の要請を出す事態になっていた。

JVNの発表によると、脆弱性の深刻度を示すCVSS v4.0のスコアは7.0、CVSS v3.0は6.8（いずれも10点満点中）。攻撃には対象となるカードなどへの物理的なアクセスが必要と評価されており、ネット経由などで遠隔から狙えるものではない。

対象は2017年以前に出荷された一部のICチップ。暗号処理に必要な処理が欠如しており、特定の操作によりチップ内データの読み取りや改ざんが可能になるという。

攻撃にはカードへの物理的なアクセスが前提（攻撃元区分：物理）で、攻撃の複雑性は「低」。JVNは、サービスシステム側で実施するワークアラウンドを対策として案内している。

JVNはサービス事業者に対し、ソニーが提供する対策ガイドラインや技術文書に従ってシステム側で影響確認と対策を行うよう求めた。利用者向けには、カードの盗難やスキミングを防ぐよう求めている。

ソニーも同日付でお知らせページを更新し、関連事業者向けに対策ガイドラインを発行して対策を進めてきたと説明。JR東日本もSuicaについて本件に起因する影響は確認されていないと発表した。

報告からJVNでの情報公開まで約1年を要しているが、長期化の理由は公表されていない。