2026年7月21日、SuicaやPASMOなどにも採用されている非接触ICカード技術「FeliCa」の一部に関する脆弱性情報が、脆弱性対策情報ポータルサイト「JVN」で公開されました。
脆弱性の識別番号は「CVE-2026-59776」です。
手元のSuicaやPASMOを交換する必要があるのか、残高や利用情報が盗まれる危険があるのか、不安を感じている人もいるでしょう。
最初に結論を整理します。
この記事の要点
- 2026年7月21日時点で、SuicaやPASMOの一律交換や利用停止は案内されていません。
- 対象は、2017年以前に出荷された一部のFeliCa ICチップです。
- 今回公表された脆弱性の悪用には、カードへの物理的な接近や操作が必要です。
- インターネット経由で全国のカードを一斉に直接攻撃するタイプの問題ではありません。
- モバイルFeliCaプラットフォームには、今回指摘された脆弱性がないと確認されています。
- カードの紛失、盗難、スキミングには引き続き注意が必要です。
「脆弱性があるのに安全」という意味ではありません。
正確には、脆弱性そのものは存在するものの、対象範囲や攻撃条件、サービス全体で実施されている対策を踏まえ、SuicaやPASMOの事業者が現在のカードを継続して利用できると案内している状況です。
今回公表されたFeliCaの脆弱性とは
FeliCaは、ソニーが開発した非接触ICカード技術です。
SuicaやPASMOなどの交通系ICカードをはじめ、電子マネー、社員証、学生証、入退室カードなど、幅広いサービスに使われています。
今回公表された脆弱性の概要は次のとおりです。 項目 内容 脆弱性識別番号 CVE-2026-59776 対象 2017年以前に出荷された一部のFeliCa ICチップ CVSS 4.0基本値 7.0 攻撃元の評価 物理アクセス 想定される影響 ICチップ内のデータの読み取りや改ざん
JVNによると、対象となる一部のICチップでは、暗号処理の過程で特定の操作を行うことで、本来のセキュリティ強度が低下する可能性があります。
悪用された場合には、ICチップ内のデータを読み取られたり、改ざんされたりするおそれがあります。
CVSS 7.0でも、すぐに利用停止にならない理由
今回の脆弱性は、CVSS 4.0で基本値7.0と評価されています。
CVSSは、脆弱性の技術的な深刻度を数値で示す指標です。ただし、数値が高いからといって、誰でも簡単に遠隔攻撃できるという意味ではありません。
今回の評価では、攻撃元を示す項目が「物理」とされています。
つまり、今回公表された脆弱性を直接悪用するには、対象のカードやICチップに物理的に接近し、特定の操作を行う必要があります。oai_citation:1‡JVN
インターネットに接続しているだけで、離れた場所からSuicaやPASMOの残高を直接抜き取られるような脆弱性とは性質が異なります。
ただし、「物理アクセスが必要だから危険ではない」と考えるのも適切ではありません。
カードを盗まれたり、第三者に長時間預けたり、不正な機器で読み取られたりする危険には、引き続き注意が必要です。
SuicaやPASMOをすぐに交換しなくてよい4つの理由
対象となるFeliCaチップは一部に限られる
今回の対象は、FeliCaを利用するすべてのカードや機器ではありません。
JVNとソニーが対象としているのは、2017年以前に出荷された一部のFeliCa ICチップです。oai_citation:2‡JVN
「2017年以前に購入したカードはすべて対象」という意味ではありません。
ICチップの出荷時期と、利用者がカードを購入または発行した時期が一致するとは限らないため、カードを入手した年だけで対象かどうかを判断することは困難です。
また、一般利用者がカード表面を確認して、対象チップかどうかを判別できる情報も公表されていません。
そのため、カードが古いという理由だけで、自己判断による交換や廃棄を行う必要はありません。
遠隔から直接悪用するタイプではない
今回の脆弱性は、カードやICチップへの物理的なアクセスを前提としています。
Webサイトを閲覧したり、自宅のWi-Fiへ接続したりしただけで、離れた場所から全国のSuicaやPASMOを一斉に直接攻撃できる問題ではありません。oai_citation:3‡JVN
ただし、「インターネット経由の被害が絶対に発生しない」とまで断定することはできません。
今回とは別に、SuicaやPASMOを装ったフィッシングメール、偽サイト、アカウントの乗っ取りなどが行われる可能性はあります。
今回のFeliCa脆弱性と、一般的なフィッシング詐欺やアカウント不正利用は、別の問題として考える必要があります。
ICチップだけでなくシステム全体で対策している
SuicaやPASMOのセキュリティは、カード内部のFeliCa ICチップだけで成り立っているわけではありません。
改札機、店舗の決済端末、カード、管理システム、利用状況の監視など、複数の仕組みを組み合わせてサービス全体を守っています。
JR東日本は、2025年8月にソニーから報告を受けて以降、内容確認や監視体制の強化などを進めてきたと説明しています。
2026年7月21日時点では、今回の問題に起因するSuicaへの影響は確認されておらず、現在所有しているSuicaを引き続き利用できると案内しています。oai_citation:4‡JR東日本
PASMOも、FeliCa ICチップ単体だけでなく、システム全体で複数のセキュリティ対策を実施していると説明しています。
同日時点で、今回の問題に起因する被害や影響は確認されておらず、現在のPASMOを引き続き利用できると案内しています。oai_citation:5‡PASMO
したがって、現時点では利用者が一斉にカードを利用停止したり、交換したりする状況ではありません。
モバイルFeliCaプラットフォームには今回の脆弱性がない
フェリカネットワークスは、同社が提供するモバイルFeliCaプラットフォームについて、ソニーが公表した今回の脆弱性がないことを確認したと発表しています。oai_citation:6‡フェリカネットワークス
スマートフォンで利用するモバイルSuicaやモバイルPASMOについて、不安を感じている人にとって重要な情報です。
ただし、これはスマートフォンを使った決済に関するすべての危険がなくなるという意味ではありません。
スマートフォンの紛失、画面ロックの未設定、Apple IDやGoogleアカウントの乗っ取り、フィッシング詐欺などには、今回の脆弱性とは別に注意が必要です。
「絶対に安全」ではなく「継続利用できると案内されている」
今回の情報を説明する際に、「SuicaやPASMOは安全です」とだけ表現するのは適切ではありません。
脆弱性自体は存在しており、悪用された場合には、ICチップ内のデータを読み取られたり、改ざんされたりする可能性があります。
より正確には、次のように理解する必要があります。
SuicaやPASMOの事業者は、ICチップだけでなくシステム全体で実施している対策や監視体制を踏まえ、現在のカードを継続して利用できると案内しています。ただし、脆弱性自体が無害という意味ではなく、カードの紛失、盗難、スキミングには引き続き注意が必要です。
「絶対に安全」と「直ちに利用停止が必要」の二択で考えてはいけません。
脆弱性の危険性は、攻撃された場合の影響だけでなく、対象範囲、攻撃の難しさ、必要となる条件、事業者側の対策などを含めて判断する必要があります。
一般の利用者が行うべき5つの対策
今回の発表を受けて、特別な防犯機器を購入したり、カード交換のために駅の窓口へ行ったりする必要はありません。
現時点では、次の基本的な対策を続けることが重要です。
1．カードを第三者へ安易に渡さない
カードを他人に貸したり、目の届かない場所で長時間預けたりしないようにします。
今回の脆弱性は物理的なアクセスを前提としているため、カードそのものを適切に管理することが重要です。
2．紛失や盗難に気付いたら早めに届け出る
SuicaやPASMOを紛失した場合は、そのまま放置せず、各事業者の案内に従って利用停止や再発行の手続きを確認してください。
記名式カード、定期券、会員登録済みのモバイルサービスなどでは、条件を満たすことで再発行できる場合があります。
3．不審な機器へカードをかざさない
管理者や用途が分からないカードリーダーへ、Suica、PASMO、社員証などを不用意にかざさないようにします。
JVNも、サービス利用者向けの対策として、ICカードの盗難やスキミングを防ぐために適切に管理するよう案内しています。oai_citation:7‡JVN
4．残高や利用履歴を確認する
アプリ、駅の券売機、チャージ機などを利用して、残高や利用履歴を定期的に確認します。
身に覚えのない利用が確認された場合は、カードやサービスの事業者へ相談してください。
5．公式発表を確認する
今後、特定のカードやサービスについて交換などの対応が必要になった場合は、事業者から追加の案内が公表される可能性があります。
SNSの投稿や出所の分からない情報だけで判断せず、JR東日本、PASMO、ソニー、JVNなどの公式情報を確認してください。
よくある質問
古いSuicaやPASMOは交換した方がよいですか？
2026年7月21日時点では、古いという理由だけで一律に交換するよう案内されていません。
JR東日本とPASMOは、現在所有しているカードを引き続き利用できると説明しています。oai_citation:8‡JR東日本
今後、交換などが必要になった場合は、各事業者の公式案内に従ってください。
2017年以前に作られたカードはすべて対象ですか？
すべてが対象ではありません。
公表されている対象は、2017年以前に出荷された一部のFeliCa ICチップです。oai_citation:9‡JVN
カードを購入した時期だけでは、対象かどうかを正確に判別できません。
インターネット経由で残高を盗まれますか？
今回公表された脆弱性は、インターネット経由で遠隔からカードを直接攻撃するタイプではありません。
JVNの評価では、悪用に必要な攻撃元は「物理」とされています。oai_citation:10‡JVN
ただし、フィッシングメールや偽サイトによるアカウント情報の窃取など、今回とは別の手口には注意が必要です。
モバイルSuicaやモバイルPASMOも対象ですか？
フェリカネットワークスは、同社のモバイルFeliCaプラットフォームについて、今回指摘された脆弱性がないことを確認したと公表しています。oai_citation:11‡フェリカネットワークス
ただし、スマートフォンの紛失やアカウントの乗っ取りなど、通常のスマートフォン利用に伴う危険には引き続き注意してください。
今回の脆弱性による被害は発生していますか？
2026年7月21日時点で、JR東日本は今回の問題に起因するSuicaへの影響は確認されていないと説明しています。
PASMOも、今回の問題に起因する被害や影響は確認されていないと発表しています。oai_citation:12‡JR東日本
これは将来の被害が絶対に発生しないという意味ではないため、カードの適切な管理は必要です。
まとめ
今回公表されたFeliCaの脆弱性「CVE-2026-59776」は、技術的に無視できない問題です。
悪用された場合には、対象となるICチップ内のデータを読み取られたり、改ざんされたりする可能性があり、CVSS 4.0では基本値7.0と評価されています。
一方で、対象は2017年以前に出荷された一部のFeliCa ICチップであり、悪用にはカードへの物理的な接近や操作が必要です。
SuicaやPASMOは、FeliCa ICチップだけでなく、サービス全体で複数のセキュリティ対策を行っています。
2026年7月21日時点では、今回の問題に起因する影響や被害は確認されておらず、事業者は現在のカードを継続して利用できると案内しています。
現時点で利用者が行うべき対応は、慌ててカードを交換することではありません。
事業者の案内に従って利用を続けながら、カードの紛失、盗難、スキミングを防ぎ、今後の公式発表を確認することが現実的な対応です。
参考にした公式情報
- JVN「非接触型ICカード技術FeliCaの一部のICチップにおける脆弱性」oai_citation:13‡JVN
- ソニー「2017年以前に出荷された一部のFeliCa ICチップの脆弱性に関する指摘について」oai_citation:14‡ソニー株式会社
- JR東日本「FeliCaの脆弱性に関連する情報の公表について」oai_citation:15‡JR東日本
- PASMO「FeliCaの脆弱性に関するお知らせ」oai_citation:16‡PASMO
- フェリカネットワークス「2026年7月21日付お知らせ」oai_citation:17‡フェリカネットワークス
