「FeliCaに脆弱性」で不安になった人へ｜見るべきはCVSSの数字ではなく「AV:P」

セキュリティ・脆弱性

「FeliCaに脆弱性」でビクッとした人へ。見るべきは数字じゃなく “AV:P” の3文字です

通勤前のホームで「FeliCaに脆弱性」というニュースの見出しを見て、毎日タッチしているSuicaやスマホのおサイフケータイは大丈夫なのか、と一瞬ヒヤッとした方。実は、パソコン修理を生業にしている私も、この6文字で一瞬ビクッとしました。情けない話です。

でも、JVN（脆弱性情報の公式ポータル）の原文を開いて、ある3文字を見た瞬間、肩の力が抜けました。「あ、これ物理で殴られない限り大丈夫なやつだ」と。今日はその3文字、”AV:P” の話をします。よろしくお願いします。

先に結論だけ

・対象は「2017年以前に出荷された一部のFeliCa ICチップ」だけです。

・JR東日本は「Suicaへの影響は確認されていない」と公表済み。通常利用を止める必要はありません。

・そして今回の脆弱性は、ネット越しに勝手に抜かれる類いのものではありません。攻撃には対象チップへの物理的なアクセスが必要です。その根拠が “AV:P” です。

まず、何が起きたのか

2026年7月21日、脆弱性情報ポータル「JVN（Japan Vulnerability Notes）」が、FeliCaの一部ICチップに関する脆弱性（管理番号 JVN#40509781／CVE-2026-59776）を正式に公表しました。開発元はソニー。対象は、くり返しになりますが「2017年以前に出荷された一部のFeliCa ICチップ」です。

技術的には、暗号処理のプロセスに必要な処理が欠けていて、特定の操作を行うと本来のセキュリティ強度が下がってしまう、というもの。悪用されると、ICチップ内のデータの読み取りや改ざんが行われるおそれがある、とされています。

ニュースでは「深刻度スコア 6.8」「7.0」という数字が飛び交いました。これは CVSS という10点満点の脆弱性評価指標で、6.8（CVSS v3.0）と7.0（CVSS v4.0）は「警告〜重要」あたりのレベルにあたります。

……で、多くの記事はここで終わります。でも、この数字だけを見て「7点か、けっこう高いな」と布団に潜りたくなるのは、実はいちばんの罠なんです。

数字じゃない、”AV:P” を見てくれ

CVSSのスコアには、点数の裏に必ず「ベクター」という設計図がくっついています。今回の原文には、こう書いてあります。

CVSS:3.0 / AV:P / AC:L / PR:N / UI:N / C:H / I:H / A:H

呪文みたいですよね。でも、今日は先頭の「AV」だけ見れば大丈夫です。AV は Attack Vector、つまり「攻撃の経路」。そして今回の値は “P”。P は Physical、物理という意味です。

これが何を意味するか。この脆弱性を突くには、攻撃者が対象のICチップに物理的にアクセスできる状態が必要だ、ということです。ネットワーク越し（AV:N）でもなければ、少し離れた無線（AV:A）でもない。手元でチップそのものを、それなりの時間と機材でいじれる状況が要る。

言い換えるとこうです。あなたのカードが、あなたの財布の中にある限り、リモートで中身を抜かれることはありません。抜こうと思ったら、まず誰かがあなたのカードそのものを手に入れる必要がある。

私が勝手に呼んでいる「AV:P安心スイッチ」

私はこの読み方を、勝手に「AV:P安心スイッチ」と呼んでいます。脆弱性のニュースを見たら、まずベクターの先頭の AV を探す。そこが P（物理）なら、少なくとも「今この瞬間、世界中から一斉に狙われる」話ではない、と一段落ち着ける。頭の中でカチッとスイッチを切り替える感じです。

店長より

数字の 6.8／7.0 は「もし物理で触れたら、被害はそれなりに大きい」という深刻度。いっぽう AV:P は「でも、そこに辿り着くのが物理限定」という条件です。深刻度と条件はセットで読む。ここを分けて読めるだけで、脆弱性ニュースの景色はガラッと変わります。

Suica・電子マネーは今すぐ危険なのか

交通系ICカードのSuicaにFeliCaを採用しているJR東日本も、7月21日付けで本件について公表しています。Suicaはシステム全体でセキュリティを確保しており、引き続き安心して利用できる、本件に起因する影響も確認されていない、という内容です。

開発元のソニーも、対象チップを利用する事業者向けに対策ガイドラインをすでに発行済みで、関連事業者からの情報を踏まえて引き続き安心して利用してほしい、とアナウンスしています。

ここは正直に、モヤっとする点も書いておきます。「自分のカードやスマホが、その”2017年以前の一部チップ”に当たるのかどうか」を、利用者が自力で判定する公式な方法は、今のところ案内されていません。ただ、これは事業者側で対策確認が進む前提の話。私たち利用者がやるべきことは、次の章のとおり「通常利用」＋「物理的な管理」に尽きます。

脆弱性は「数字」で怖がるものじゃない

ここで一段だけ、真面目な話をさせてください。今回のいちばんの教訓は、たぶん脆弱性そのものより、「脆弱性は数字で怖がるものではなく、条件で読むもの」ということです。

CVSSの点数は、被害の大きさ・攻撃の難しさ・必要な権限……いろんな要素を混ぜて、ひとつの数字に丸めたものです。便利なんですが、丸めた瞬間に「誰が、どうやって攻撃できるのか」という肝心の条件が、数字の中に埋もれてしまう。報道は数字だけを切り取りがちなので、読者の手元には「7点＝怖い」だけが残る。

でも本当は、同じ7点でも「ネット越しに誰でも撃てる7点」と「物理で手元に置いて初めて撃てる7点」は、日常のリスクがまるで違います。前者は今すぐ布団に潜りたくなるやつ。後者は「まあ、カードは落とさないようにしよう」で済むやつ。今回は、はっきり後者です。

……と、CVSSの話をしだすと私はいくらでも早口になれるんですが、これ以上いくと脆弱性オタクの独演会になるのでブレーキを踏みます。持ち帰ってほしいのは一つだけ。数字の前に、条件を見よう。それで十分です。

じゃあ、私たちは何をすればいい？

✓

通常利用を止める必要はありません。改札もタッチ決済も、これまでどおりで大丈夫です。

✓

カードを物理的に落とさない・盗まれないよう管理する。FeliCaに限らず、キャッシュレス全般の基本です。

✓

スマホのおサイフケータイは、画面ロック（PINや生体認証）を必ずかける。紛失・盗難時にリモートでロック・データ消去できる設定（iPhoneの「探す」／Androidの「デバイスを探す」）を、今のうちに確認しておく。