非接触型ICカード技術 FeliCa の一部のICチップに脆弱性
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月21日、非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。アンノウン・テクノロジーズ株式会社の切敷裕大氏が報告を行っている。影響を受けるシステムは以下の通り。
2017年以前に出荷された一部のFeliCa ICチップ
ソニー株式会社より2017年以前に出荷された一部のFeliCa ICチップでは、暗号処理プロセスにおいて特定の操作を行うことにより、本来のセキュリティ強度が低下する事象が発生し、本脆弱性を悪用された場合、ICチップ内のデータの読み取りや改ざんが行われる可能性がある。
JVNでは、それぞれ下記のワークアラウンドを実施するよう案内している。
・サービス事業者：開発者が提供する対策ガイドラインおよび開発者のWebサイトに記載されている各種技術文書にしたがって、サービスシステムでの影響確認と対策を実施
・サービス利用者：所有しているICカードが盗難されたりスキミングされたりしないように、適切な管理を行う
FeliCaの一部ICチップの脆弱性をJVNが発表、ソニーは「引き続き安心してご利用ください」
ソニーが2017年以前に出荷した一部のFeliCa ICチップに脆弱性があるとして、脆弱性情報ポータルサイトJVN（Japan Vulnerability Notes）が7月21日に情報を公開した。ソニーも本件に関する情報を更新している。
このFeliCaの脆弱性に関しては、2025年8月に共同通信が報道したが、脆弱性関連情報を適切に取り扱うための指針である「情報セキュリティ早期警戒パートナーシップガイドライン」に則した情報開示でないとして問題になり、ソニーが緊急に情報を公開したり、経済産業省らが脆弱性情報の取り扱いに関する「お願い」を発信するなどしていた。今回のJVNにおける情報公開は、同ガイドラインに基づいて行われたものとなる。
情報が公開された脆弱性は、暗号処理における必要な処理の欠如（CVE-2026-59776）。2017年以前に出荷された一部のFeliCa ICチップが影響を受け、暗号処理プロセスにおいて特定の操作を行うことにより、本来のセキュリティ強度が低下し、ICチップ内のデータの読み取りや改ざんが行われるおそれがある。CVSS v4.0のスコアは7.0、CVSS v3.0のスコアは6.8。
JVNでは対策として、サービス事業者向けには、開発者が提供する対策ガイドライン、および開発者のウェブサイトに記載されている各種技術文書にしたがって、サービスシステムでの影響確認および対策を実施するようにとしている。また、利用者に向けては、所有しているICカードが盗難されたりスキミングされたりしないように、適切な管理を行うようにとしている。
開発者であるソニーでは、指摘を受けて脆弱性の存在を確認した後、情報セキュリティ早期警戒パートナーシップの枠組みの中で関係事業者や機関との連携により、FeliCa ICチップを利用する関連事業者向けに対策ガイドラインを発行する、リスクアセスメントとセキュリティ向上のための対策を進めるなどの取り組みを行っているとしている。そして、「ご関係の皆様におかれましては、関連事業者からの情報を踏まえ引き続き安心してご利用ください」とアナウンスしている。
FaliCaチップの脆弱性が公表--「Suicaは引き続き安心」とJR東日本
脆弱性対策情報ポータルサイト「JVN」は7月21日、ソニーの非接触ICカード技術「FeliCa」の一部ICチップに関する脆弱性情報を公表した。対象は2017年以前に出荷された一部のチップ。暗号処理の過程で特定の操作をすると本来のセキュリティ強度が低下し、チップ内のデータを読み取られたり、改ざんされたりするおそれがあるという。
発表文
ソニーとJR東日本は同日、それぞれ案内を公表した。両社とも対策を進めてきたとして、利用者には「引き続き安心して利用してほしい」と説明している。JR東日本によると、この脆弱性に起因する影響は確認されていない。
本件は2025年8月、ソニーが情報処理推進機構（IPA）の「情報セキュリティ早期警戒パートナーシップガイドライン」に基づく外部からの指摘を受けて公表し、一部で報道もされていた。今回、この枠組みに沿ってJVNで対策情報が公表された。報告者はアンノウン・テクノロジーズの切敷裕大氏で、JPCERT/CCが開発者との調整を行った。CVE番号は「CVE-2026-59776」。
深刻度を示すCVSSの基本値は、v3で6.8、v4で7.0。いずれも攻撃元区分は「物理」で、カードそのものに接触できる状況を前提とする評価となっている。
対策としてJVNはワークアラウンド（回避策）の実施を挙げる。サービス事業者にはソニーが提供する対策ガイドラインや技術文書に沿った影響確認と対策を、利用者にはカードが盗難やスキミングに遭わないような適切な管理を求めている。
ソニーは、FeliCaを使うサービスのセキュリティはICチップ単体ではなく、サービスごとにシステム全体で構築されると説明する。指摘を受けて以降、関連事業者向けに対策ガイドラインを発行し、リスクアセスメントとセキュリティ向上の取り組みを進めてきたという。
JR東日本は2025年8月にソニーから報告を受け、内容確認や監視体制の強化を進めてきた。Suicaについては、チップのセキュリティに加えてシステム全体で複数の対策を講じていると説明。そのうえで、不正利用による被害防止の観点から、カードの紛失や盗難には十分注意するよう呼びかけている。
