旧世代のソニー「FeliCa」カードに暗号化の脆弱性、JVNが正式公表――修正パッチは提供不可
2026年7月22日 11:26
日本の脆弱性ポータルサイト「JVN」は、2017年以前に出荷されたソニーの非接触ICチップ「FeliCa」に、ハードウェアレベルの暗号化の脆弱性が存在することを正式に公表した。この脆弱性はシリコンに組み込まれているため修正パッチの適用は不可能であり、影響は物理カードに限定され、スマートフォン向けの「モバイルFeliCa」は対象外となる。物理カードの利用者は紛失やスキミングへの注意が必要であり、サービス事業者にはシステム側での監視強化やハードウェアの順次更新といった対策が求められている。
■JVNが旧世代FeliCaの脆弱性を正式公表
JVN（Japan Vulnerability Notes）は2026年7月21日、ソニーの非接触ICチップ「FeliCa」の一部に、ハードウェアレベルの暗号化の脆弱性が存在することを正式に公表した（JVN#40509781、CVE-2026-59776）。この脆弱性は2017年以前に出荷されたチップのシリコン自体に起因するため、ソフトウェアパッチによる修正は不可能である。
JVNはJPCERTコーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）が共同で運営している。今回の脆弱性の評価は、CVSS v4.0のベーススコアで7.0（高）、CVSS v3.0で6.8となっており、攻撃元区分（攻撃ベクトル）は「物理（Physical）」に分類されている。これは、攻撃者が脆弱性を悪用するためにカードに物理的に接近する必要があることを意味する。
■影響範囲とFeliCaの普及規模
FeliCaはソニーが開発した13.56MHz帯の非接触RFIDスマートカード技術であり、ISO/IEC 18092（NFC-F）規格に準拠している。香港の交通ICカード「オクトパス（Octopus）」で初めて実用化されて以来、日本国内およびアジアの一部地域における非接触サービスのデファクトスタンダード（事実上の標準）インフラとして普及してきた。
ソニーが2020年世代のチップを発売した時点で、世界累計で14億個以上のFeliCaチップが製造されている。この技術は、日本全国の鉄道・バス網における乗車券（Suica、PASMO、ICOCAなど多数の地域限定カードを含む）をはじめ、コンビニや自動販売機、小売店での電子マネーサービス、社員証やビル入館証、大学の学生証、マンションのドアロックなどに幅広く採用されている。
JVN警告が特に対象としているのは、2017年以前に出荷されたチップである。この基準は、ソニーが2020年に現行世代のチップを導入する前のハードウェアに相当する。なお、2020年世代のチップは、ICシステム向けとして最高峰のセキュリティ評価基準であるISO/IEC 15408 EAL6+認証を取得している。
■暗号化脆弱性の仕組みと攻撃の現実性
今回の脆弱性は、MITREの分類で「CWE-325：暗号ステップの欠如（Missing Cryptographic Step）」に該当する。これは、製品が暗号アルゴリズムにおいて必要な処理を省略した結果、公表されている仕様よりもセキュリティ強度が低下する脆弱性である。JVNの公表によると、影響を受けるカードに物理的にアクセスできる攻撃者が、暗号通信プロセス中に特定の操作を行うことで、チップが本来備えているセキュリティ強度を低下させることが可能になり、その結果、カード内に保存されたデータの読み取りや改ざんが行われるおそれがある。
CWE-325に関するMITREのドキュメントでは、メモリ制限やCPU速度の遅い「リソース制約のあるハードウェア」において、この種の脆弱性が発生しやすいと指摘されている。設計者が、処理負荷の高いステップを不要と誤認して省略してしまうことがあるためである。ICカードのチップは、リーダーからの非接触給電のみで動作し、約0.1秒という極めて短い通信時間内にすべての処理を完了しなければならないため、まさにこの制約プロファイルに合致する。
FeliCaカードの通信距離は10センチメートル以下であるため、改札口や共有スペース、混雑した通勤環境などでリーダーを近づけることで、カードとの通信を開始できる。CWE-325による暗号強度の低下は1回のタッチで即座に発生するわけではなく、攻撃者はその通信セッション中に、特別に細工した操作を用いてカードの認証プロセスを実行する必要がある。しかし、CVSSで攻撃ベクトルが「物理」に分類されていることは、非接触カードへの「物理的アクセス」が、物理ポートを備えたデバイスへのアクセスよりも実質的に容易であることを反映している。バッグの中の財布に入っているカードは、ロックされたノートPCとは全く異なる攻撃対象となるためである。
ソニーは脆弱性の存在を認め、FeliCaを採用したサービスのセキュリティはチップ単体だけでなく、各サービス事業者が構築するシステム全体のアーキテクチャによって担保されると説明している。同社はサービス事業者向けに対策ガイドラインを発行し、影響評価と対策のために技術ドキュメントポータルを参照するよう案内している。
■パッチ不可のハードウェア――利用者と事業者の対策
ソフトウェアの脆弱性とは異なり、ベンダーがアップデートを配信して修正することはできない。2017年以前のFeliCaチップにおけるCWE-325の脆弱性は、シリコンの設計段階で暗号ステップが欠落しているため、設定変更などで対応できるものではない。
一般利用者に対するJVNの具体的な推奨対策は、盗難やスキミングを防ぐためにICカードを厳重に管理することである。具体的には、RFID遮断機能付きの財布やカードスリーブにカードを保管すること、電子マネーや交通系ICカードの利用履歴に不審な取引がないか監視すること、紛失や盗難の際には速やかに利用停止手続きを行うことなどが挙げられる。
サービス事業者（交通事業者、ビル管理者、企業、大学など）に対しては、JVNはソニーの対策ガイドラインおよびFeliCa開発者向けサイトの技術ドキュメントに従うよう求めている。主な対策手段としては、サービスレベルでの認証や異常検知（被害が発生する前に不審なカードの動きを検知する）、不正利用が疑われる特定のカードのブラックリスト登録、そして2017年以前の旧型カードを回収・更新するためのハードウェア交換サイクルの加速が挙げられる。
Suicaを運営するJR東日本は、システム全体で広範なセキュリティ対策を講じているため、引き続き安全に利用できるとしている。また、ICOCAを運営するJR西日本は、2025年8月にソニーから報告を受けて以来、監視体制を強化しており、今後もソニーや関係事業者と連携していくと表明した。交通インフラや決済ネットワークの事業者は、通常数年単位の交換サイクルを設けており、日本の自動改札機などのインフラは5〜7年周期で更新されるため、影響を受けるカードを段階的に廃止する仕組みは既に整っている。
なお、日本の交通技術アナリストが指摘する実用的な注意点として、おサイフケータイやApple Pay、Google Payを通じてスマートフォンに組み込まれている「モバイルFeliCa」は、この脆弱性の影響を受けない。この欠陥は物理的なICカードのみに限定されている。そのため、SuicaやPASMOをApple Pay or Google Payに移行している乗客や通勤者は、今回の警告の対象外となる。
■公表までに約1年を要した経緯とその教訓
今回のJVNによる正式公表は、最初の情報流出から約11ヶ月を経て行われた。これはソニーの対応が遅れたためではなく、日本の共同脆弱性公表枠組みが、想定していなかったタイプの脆弱性に直面したためである。
経済産業省が2004年に策定した「情報セキュリティ早期警戒パートナーシップガイドライン」に基づく標準的なワークフローでは、発見者がIPAに脆弱性を報告し、JPCERT/CCが開発者と調整を行い、開発者が対策や回避策を用意した上で、通常は最初の連絡から45日以内に公表することになっている。株式会社Unknown Technologiesの霧敷友大氏は、2025年7月下旬にIPAにこの脆弱性を報告した際、このプロセスに従っていた。
しかし、このプロセスは2025年8月28日に崩れた。共同通信が、情報開示に関与した関係者から得た情報に基づき、ソニーが対策を完了し、すべての影響を受けるサービス事業者に通知する前に、未承認の独占記事を報じたためである。ソニーは対策ガイドラインなどの十分な情報を提供できないまま、脆弱性の存在を認める緊急声明の発表を余儀なくされた。セキュリティ専門家の徳丸浩氏はこの事態について、「安全性を高めることなく利用者の不安だけを煽る結果になった」と指摘している。経済産業省とIPAは2025年9月、メディアや研究者に対して、確立された開示プロトコルに従うよう求める共同通知を出した。
正式なJVNの公表が、霧敷氏のIPA報告から45日後ではなく、共同通信のリークから11ヶ月も経った2026年7月になった理由は、単一の資料には明記されていないが、問題の構造自体に現れている。ソフトウェアの脆弱性であれば、開発者がパッチを作成して配布し、準備が整い次第公表できる。しかし、パッチが存在しないハードウェアの脆弱性の場合、影響を受けるすべてのサービス事業者が個別に影響を評価し、監視を強化し、ユーザーへの案内を用意し、ブラックリスト登録やカード交換のワークフローを準備する必要がある。これらは、数十に及ぶ交通事業者、決済事業者、ビル管理者、政府のIDシステム運用者などで同時に進められなければならない。日本の標準的な共同開示ルールは、このような多者間におよぶハードウェアの対策期間を想定して作られてはいなかった。
ソフトウェアパッチを前提とした「45日」という窓口と、パッチのないハードウェアの調整に求められた「11ヶ月」という期間のギャップこそが、今回の開示プロセスが浮き彫りにした構造的な教訓である。IoTハードウェアや組み込みシステム、非接触インフラが老朽化していく中で、このギャップは今後さらに重要な課題となるだろう。
■現行世代のチップと今後の展望
ソニーの2020年以降のFeliCaチップは、CVE-2026-59776の影響を受けない。2020年世代のハードウェアはISO/IEC 15408 EAL6+認証を取得しており、ソニーは2020年の発表時に、高度化する攻撃手法に対応するためのセキュリティ強化を施したと説明している。ビル入館証や社員証、IoT導入などで依然として2017年以前のハードウェアを運用している組織にとって、今回のJVNによる公表は、ハードウェアの更新スケジュールを優先させる具体的な契機となる。
今回のFeliCaの脆弱性公表が持つ広範な意義は、ソニーや日本市場だけに留まらない。2010年代のRFIDや非接触ハードウェアが、アジア内外の交通システム、アクセス制御インフラ、IoT環境で稼働し続ける中、近接型の暗号攻撃を実行するために必要な計算能力は大幅に低下している一方で、ハードウェア自体をアップデートすることはできない。CVE-2026-59776は、このような状況が正式な公表に至った際のケーススタディであり、パッチで修正できない脆弱性に対して、共同脆弱性公表の枠組みが今後どのように対応すべきかを示す事例となっている。
■注目ポイントQ&A
●ソニーのFeliCaの脆弱性は、自分が持っているSuicaやPASMOなどの交通系ICカードに影響しますか？新しいカードに交換する必要はありますか？
2017年以前に製造された物理的なSuica、PASMO、ICOCAなどのFeliCa搭載交通系ICカードは、今回の脆弱性（CVE-2026-59776）の対象となります。ただし、JR東日本（Suica）やJR西日本（ICOCA）などの主要な交通事業者は、オンラインでの検証や異常検知、特定のカードのブラックリスト登録といったシステム側でのセキュリティ対策を講じているため、引き続き安全に利用できると説明しています。なお、スマートフォンで「モバイルSuica」や「モバイルPASMO」を利用している場合、モバイルFeliCaは今回の脆弱性の影響を受けないため、移行することで対象から完全に外れることができます。
●攻撃者は私のカードに一切触れることなく、この脆弱性を悪用できますか？
いいえ、悪用にはカードへの物理的な接近が必要です。今回の脆弱性の攻撃ベクトルは「物理（Physical）」に分類されており、攻撃者がカードと非接触通信を開始する必要があります。FeliCaの通信距離は最大10センチメートル程度であるため、改札口や混雑した場所などで、攻撃者がリーダーをカードに極めて近づける必要があります。RFID遮断機能付きのカードスリーブや財布を使用することで、このような通信を完全に防ぐことができます。遠隔地やネットワーク経由での攻撃は不可能です。
●修正パッチがない場合、事業者や企業はFeliCaを利用した入退室管理システムなどをどのように保護しているのですか？
サービス事業者は、ソニーが提供する対策ガイドラインに基づき、2025年末からシステムレベルでの対策を進めています。具体的には、取引パターンの監視強化、不正の兆候があるカードのブラックリスト登録、2017年以前の旧型ハードウェアの交換サイクルの加速などです。2017年以前のFeliCaカードでビル入館証や社員証システムを運用している企業は、ソニーのFeliCa開発者向けサイトで技術情報を確認することが推奨されます。高いセキュリティが求められる組織では、監視だけでなく、対象カードを順次交換することが適切な対応となります。
●最初の情報流出から、今回の正式なJVNアドバイザリ公表までに約1年もの時間がかかったのはなぜですか？
日本の共同脆弱性公表の枠組みは、開発者が約45日以内に修正パッチを用意して公表することを前提に設計されています。しかし、今回の脆弱性はアップデートが不可能なハードウェアの設計上の欠陥であり、パッチが存在しません。そのため、ソニーが対策ガイドラインを作成した上で、数十に及ぶ交通事業者や決済事業者、ビル管理者などの各事業者と個別に調整を行う必要がありました。各事業者が影響を評価し、監視体制を強化し、カード交換の準備を整えるまでに多大な時間を要したためです。このようなパッチのないハードウェア脆弱性における多者間の調整は、2004年に策定された既存の公表枠組みが想定していなかったシナリオであり、その構造的なギャップが約11ヶ月という期間に反映されています。
元記事: Japan Confirms Cryptographic Flaw in Legacy Sony FeliCa Cards, No Patch Available