Suicaやnanacoが使うFeliCaに脆弱性——JVNが正式公表、ソニー「引き続き安心して」の中身

Shiritomo編集部 @shiritomoAI_jp 2026年7月21日更新

CVSS基本値7.0。
これが、2026年7月21日にJVN(Japan Vulnerability Notes)が公表した、SuicaやWAON、nanacoなど数多くの電子マネーで使われているFeliCa ICチップの脆弱性の深刻度です。
10段階評価の7点というと、決して低い数字ではありません。

普段、改札やコンビニのレジで何気なくタッチしているあのカード。
中身がどうなっているのか、財布の中身をどう扱えばいいのか、気になった人も多いはずです。
ガジェットとしてのICカードに何が起きているのか、公式情報をもとに整理しました。

先に結論をまとめると：
– 2017年以前に出荷された一部のFeliCa ICチップに、データの読み取り・改ざんにつながりうる脆弱性（CVE-2026-59776）が見つかった
– Suica・PASMO・WAON・nanaco・楽天Edy・QUICPayなど主要な電子マネー各社が「引き続き安心して利用してほしい」と声明を出している
– 2026年7月時点で、この脆弱性を悪用した金銭的被害は1件も確認されていない。
ただし今回の公表自体、2025年夏の「先走った報道」への反省を踏まえたものである

何が起きたのか

ことの発端は2025年8月にさかのぼります。
共同通信が「フェリカに重大な脆弱性」と報じ、交通系ICカードでデータ改ざんの恐れがあると伝えました。
この報道は当時、ちょっとした騒ぎになりました。

ただ、この報道には後から問題が指摘されます。
脆弱性情報は本来「情報セキュリティ早期警戒パートナーシップガイドライン」に沿って、IPA(情報処理推進機構)経由で正式に公表される手はずになっていました。
それが正式な手続きを経る前に報じられてしまったため、利用者を不安にさせる一方で、具体的な対処法は示されないという中途半端な状態が続いたのです。
ITmediaはこの経緯を振り返り、ソニーが今も「引き続き安心」を訴え続けている理由を報じています。

「Suica」などに採用の「FeliCa」に脆弱性見つかる　それでもソニーが「引き続き安心」とアピールする理由https://t.co/7dmgydpzki
— ITmedia NEWS (@itmedia_news) 2025年8月28日

そこから約1年。
今回のJVNの発表は、その反省を踏まえて正規の手続きを経た「正式版」にあたります。
何が変わったのか、実際のところどうなのかを深掘りしました。

調べて分かったこと

脆弱性の中身は何なのか

JVN#40509781によると、対象は2017年以前に出荷された一部のFeliCa ICチップです。
問題は暗号処理の過程にあり、本来必要な処理が欠けているために、特定の操作を行うとセキュリティ強度が下がってしまう状態にあるといいます。
その結果として、ICチップ内のデータの読み取りや改ざんが行われる恐れがあるとされています。

深刻度はCVSS 4.0で7.0、CVSS 3.0で6.8。
数値だけ見ると軽視できない水準ですが、JVNも報道各社も「具体的にどの製品が対象か」までは明かしていません。
これは悪用のヒントを与えないための一般的な対応です。

なぜ「安心して」と言えるのか

ソニーは「関連事業者からの情報を踏まえ、引き続き安心してご利用ください」とコメントしています。
根拠のひとつが、チップ単体の暗号強度が下がっても、サービス全体としては別のセキュリティの層で守られているという構造です。

実際、WAONは自社の公式アカウントで次のように説明しています。
対象となるカードが一部含まれることを認めつつ、独自のセキュリティが有効に機能しており安心して利用できると確認した、という内容です。

8月28日にソニー㈱が開発するFeliCaチップの一部に改ざんが可能となる脆弱性があると報道されました。
WAONにも対象のカードが一部ありますが、ソニー㈱からの情報をもとに検証を行った結果、WAONは独自のセキュリティが有効に機能しており、安心してご利用いただけることを確認しております。
— 電子マネーWAON【公式】 (@waon_official) 2025年8月29日

Suica・PASMO・QUICPay・楽天Edyなど他の主要事業者も同様の趣旨の声明を出しており、2026年7月時点で、この脆弱性を突いた不正利用や金銭的被害の報告は1件も確認されていません。

なぜ去年ではなく今なのか

もう一つ気になるのが、タイミングです。
去年8月の報道時点ですでに「脆弱性がある」ことは伝わっていたのに、なぜ今になって改めてJVNが公表したのでしょうか。

Impress Watchの解説記事によれば、去年の報道は正規の届け出制度を形骸化させかねないものだったうえ、回避策が示されないまま「数分で偽造できる」といった煽り気味の表現が先行していたと指摘されています。
経済産業省も適切な情報の取り扱いを求める声明を出したという経緯があり、今回のJVNの発表は、そうした混乱を経て正式な調整の末にようやくたどり着いた「本来あるべき形」の情報公開だといえます。

Shiritomo GADGET編集部の考察：ハードの弱点はソフトのように簡単に直せない

今回の件で改めて浮き彫りになったのは、組み込み型のICチップは、ソフトウェアのように「アップデートで直す」ことができないという、ハードウェア特有の難しさです。
スマートフォンのアプリなら脆弱性が見つかれば数日でパッチが配信されますが、すでに数千万枚単位で発行済みのICカードに埋め込まれたチップを一斉に交換するのは現実的ではありません。
だからこそ各事業者は、チップ単体ではなくサービス全体で多層的に守る設計をとっているわけです。

もう一つの論点は情報開示のタイミングです。
セキュリティの世界では「早く知らせる」ことと「正しい手順で知らせる」ことがしばしば対立します。
今回のケースは、性急な報道がかえって利用者の不安だけを増幅させ、実効性のある対策情報を伴わなかった典型例といえるでしょう。
ガジェットを長く安心して使うためには、メーカー側の設計だけでなく、こうした情報公開のプロセスにも目を向ける価値がありそうです。