サイバーセキュリティ

非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性

ソニー株式会社が2017年以前に出荷した一部のFeliCa ICチップに、暗号処理プロセスにおける特定の操作によりセキュリティ強度が低下する脆弱性が確認されました。この脆弱性（CVE-2026-59776）を悪用されると、ICチップ内のデータ読み取りや改ざんの可能性があります。サービス事業者には対策ガイドラインに基づく影響確認と対策実施、サービス利用者にはICカードの適切な管理が求められています。

この発表の要点

2017年以前に出荷された一部のFeliCa ICチップに、暗号処理プロセスにおけるセキュリティ強度低下の脆弱性が存在。
脆弱性を悪用されると、ICチップ内のデータ読み取りや改ざんの可能性がある。
サービス事業者は対策ガイドラインに基づき影響確認と対策を、サービス利用者はICカードの適切な管理を実施する必要がある。

企業・自治体への影響

FeliCa技術を利用している交通、決済、入退室管理、社員証などのシステムを運用する企業や自治体は、自社システムが脆弱なICチップを使用していないか確認し、必要に応じて対策を講じる必要があります。データ改ざんのリスクがあるため、顧客情報や認証情報に関わるシステムでは特に注意が必要となります。

対応すべきこと

自社が利用するシステムやサービスにおいて、2017年以前に出荷されたFeliCa ICチップが使用されていないか確認する。
ソニー株式会社が提供する対策ガイドラインおよび技術文書を参照し、影響の有無と具体的な対策方法を確認する。
該当するICチップを使用している場合、速やかにワークアラウンドの実施を検討し、必要な対策を講じる。
サービス利用者に対し、ICカードの適切な管理（盗難・スキミング対策）を周知・啓発する。

対象部門： 経営者情シス広報法務

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CC
発表日	2026-07-21
分類	サイバーセキュリティ

発表された内容

公開日：2026/07/21 最終更新日：2026/07/21

JVN#40509781
非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性

ソニー株式会社より2017年以前に出荷された一部のFeliCa ICチップでは、暗号処理プロセスにおいて特定の操作を行うことにより、本来のセキュリティ強度が低下する事象が発生します。

2017年以前に出荷された一部のFeliCa ICチップ

暗号処理における必要な処理の欠如（CWE-325）

CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 7.0
CVSS:3.0/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 6.8
CVE-2026-59776

本脆弱性を悪用された場合、次のような影響を受ける可能性があります。

ICチップ内のデータの読み取りや改ざん

ワークアラウンドを実施する

サービス事業者は、開発者が提供する対策ガイドライン、および開発者のWebサイトに記載されている各種技術文書にしたがって、サービスシステムでの影響確認および対策を実施してください
サービス利用者は、所有しているICカードが盗難されたりスキミングされたりしないように、適切な管理を行ってください

ベンダ

リンク

ソニー株式会社

2017年以前に出荷された一部のFeliCa ICチップの脆弱性に関する指摘について

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：アンノウン・テクノロジーズ株式会社切敷裕大氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-59776

JVN iPedia

JVNDB-2026-000100

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN40509781/

時系列

2017年以前　ソニー株式会社より一部のFeliCa ICチップが出荷
2026-07-21　JPCERT/CCおよびIPAにより脆弱性情報が公開

この事例から確認すべきポイント

本件は、ソニー株式会社が2017年以前に出荷したFeliCa ICチップに存在する脆弱性に関する情報です。暗号処理プロセスにおける特定の操作によりセキュリティ強度が低下し、ICチップ内のデータ読み取りや改ざんのリスクがあることが指摘されています。CVSS基本値は7.0（v4.0）と評価されており、影響度は高いと考えられます。サービス事業者は、開発者提供の対策ガイドラインや技術文書に基づき、システムへの影響確認と対策実施が求められます。また、サービス利用者はICカードの盗難やスキミング対策として適切な管理が重要となります。過去に出荷された製品の脆弱性であるため、既に広く流通している可能性があり、影響範囲の特定と迅速な対応が課題となるでしょう。特に、FeliCa技術は交通系ICカード、電子マネー、社員証など多岐にわたる用途で利用されているため、関連するシステムやサービスを提供する企業は、自社製品やサービスが影響を受けるかどうかを早急に確認する必要があります。

公式出典

JPCERT/CC

更新履歴

公開日: 2026-07-21