結ネットのセキュリティ対策について（開発元への確認結果のお知らせ）
ネットをご利用の町内会・自治会の皆さまへ
最近、スマートフォンアプリの接続先サーバーを狙った不正アクセスや、個人情報の漏えいが相次いでおり、結ネットをお使いの皆さまからも、不安の声をいただいています。
そこで、結ネットの販売代理店である株式会社スマイルファームから、開発・運営元の株式会社シーピーユーに、セキュリティ対策の状況を確認しました（2026年10月19日付で照会）。いただいた回答をお知らせします。
A. 直近の攻撃（NICT「A2B攻撃」注意喚起）への対応
- 2026/10/13のNICT注意喚起で推奨されている「侵害の確認」「脆弱性の点検」「暫定的な緩和策」の実施状況と結果
Ａ：重要かつ急ぎ対応が可能なものについては既にリリース済み
今後も継続確認を行い対応が必要な場合は重要度に応じて順次リリースで対応
- 2026年8月以降のアクセスログ確認、および注意喚起掲載のIoC（侵害指標）との照合の有無と結果
Ａ：照合の結果、攻撃を受けた形跡は確認されなかった
- 公開アプリ（Android／iOS）内に、APIキー・認証情報・内部URLなどが埋め込まれていないかの確認状況
Ａ：確認済、該当なし
B. アプリ・API層の対策
- API・Web管理画面に対する第三者脆弱性診断の直近実施日と、指摘事項の対応状況
Ａ：第三者による脆弱性チェックはおこなっていないが親会社の脆弱性管理システムで最善の対応を継続的に
実施
- APIの認可チェック（他の利用者・他団体のデータをIDの書き換え等で取得できないこと）の検証方法
Ａ：現在集中確認実施中、対応要事項あれば重要度に応じて順次対応、リリースを実施
- WAF、API利用回数の制限、不審アクセスの検知・遮断の有無
Ａ：WAFによるAPIの脆弱性を突いた通信の遮断、海外からのアクセスの禁止
- 管理者（役員）アカウントの多要素認証の有無、ない場合の導入予定
Ａ：メール認証機能を開発済
近々リリース予定の次バージョンより利用可能
C. サーバー・ミドルウェア
- 現在稼働中のOS・Java・Tomcat・PostgreSQLのバージョン（構成図は2023/12時点のTomcat 8記載のため）
Ａ：最新版、もしくはそれに準ずるバージョンに更新済
- セキュリティパッチの適用方針（適用までの目安日数）
Ａ：親会社の脆弱性管理システムによる最新脆弱性内容を確認し、条件が当てはまる内容で必要に応じて
アップデートを実施
リスク度や影響度に準じて緊急対応もしくはアプリケーションリリースのタイミングに合わせ十分な検証
を踏まえてアップデートを実施
- OCIの管理コンソール・サーバー管理アカウントの多要素認証と、管理経路の制限状況
Ａ：Oracleの認証アプリによる2段階認証の実施
D. データ保護・ログ
- DB・ファイルストレージ・バックアップの暗号化状況
Ａ：暗号化済み
- バックアップの取得頻度、世代数、ランサムウェア対策（改ざん不可・隔離保管など）
Ａ：7世代、毎日
- アクセスログ・操作ログの保管期間（事故時に侵入経路を確定できる期間か）
Ａ：現状は1ヵ月だが変更を検討中
E. 外部連携・委託先
- Google翻訳、メール配信（さくらインターネット）、プッシュ通知（Apple／Google）に送られるデータの範囲
Ａ：組織体名、投稿された記事のタイトルや内容
メールに限り、結ネット内のアカウント氏名も有り
- メール配信に使っているさくらインターネットのサービス名と、2026年8月の同社不正アクセス事案による影響の有無
Ａ：影響なし
- 開発・運用の外部委託先の有無と、委託先の管理方法（アクセス権限・監査）
Ａ：開発者の準委任契約あり、社内規定に基づく企業間契約と管理により適切に実施
F. 事故時の対応・体制
- 事故発生時の販売代理店・利用団体への連絡手順と、連絡までの目安時間
Ａ：状況に応じて最善の対応で実施
- 予防的なサービス停止を判断する基準と、停止中の利用団体向け代替手段（特に防災モード・安否確認）
Ａ：元より保証はないので代替手段もなし
- 個人情報保護委員会への報告・本人通知の担当と手順（マニュアルへの追記予定）
Ａ：社内規定に準拠
G. 規約・認証
- アプリ・プライバシーポリシーの第4-2条と第6条（第三者提供）の食い違い、第5条の番号の修正予定
Ａ：結ネットプライバシーポリシーを修正し、反映済
- 御社のISMS（ISO/IEC 27001）等、Pマーク以外の認証・外部監査の有無
Ａ：無し
以上となります。
