FaliCaチップの脆弱性が公表--「Suicaは引き続き安心」とJR東日本

　脆弱性対策情報ポータルサイト「JVN」は7月21日、ソニーの非接触ICカード技術「FeliCa」の一部ICチップに関する脆弱性情報を公表した。対象は2017年以前に出荷された一部のチップ。暗号処理の過程で特定の操作をすると本来のセキュリティ強度が低下し、チップ内のデータを読み取られたり、改ざんされたりするおそれがあるという。

ソニーの発表
※クリックすると拡大画像が見られます

JR東日本の発表
※クリックすると拡大画像が見られます

　ソニーとJR東日本は同日、それぞれ案内を公表した。両社とも対策を進めてきたとして、利用者には「引き続き安心して利用してほしい」と説明している。JR東日本によると、この脆弱性に起因する影響は確認されていない。

　本件は2025年8月、ソニーが情報処理推進機構（IPA）の「情報セキュリティ早期警戒パートナーシップガイドライン」に基づく外部からの指摘を受けて公表し、一部で報道もされていた。今回、この枠組みに沿ってJVNで対策情報が公表された。報告者はアンノウン・テクノロジーズの切敷裕大氏で、JPCERT/CCが開発者との調整を行った。CVE番号は「CVE-2026-59776」。

　深刻度を示すCVSSの基本値は、v3で6.8、v4で7.0。いずれも攻撃元区分は「物理」で、カードそのものに接触できる状況を前提とする評価となっている。

　対策としてJVNはワークアラウンド（回避策）の実施を挙げる。サービス事業者にはソニーが提供する対策ガイドラインや技術文書に沿った影響確認と対策を、利用者にはカードが盗難やスキミングに遭わないような適切な管理を求めている。

　ソニーは、FeliCaを使うサービスのセキュリティはICチップ単体ではなく、サービスごとにシステム全体で構築されると説明する。指摘を受けて以降、関連事業者向けに対策ガイドラインを発行し、リスクアセスメントとセキュリティ向上の取り組みを進めてきたという。

　JR東日本は2025年8月にソニーから報告を受け、内容確認や監視体制の強化を進めてきた。Suicaについては、チップのセキュリティに加えてシステム全体で複数の対策を講じていると説明。そのうえで、不正利用による被害防止の観点から、カードの紛失や盗難には十分注意するよう呼びかけている。