　2025年7月24日にアンノウン・テクノロジーズの切敷裕大氏がIPAに届出をした後、25年8月28日に共同通信が報じ、大きな騒ぎになった脆弱性が、約1年経ってようやく公表された。当時は正式公開前に報道が先行したことが問題視され、経産省などが脆弱性情報の取り扱いに関する異例の要請を出す事態になっていた。

　JVNの発表によると、脆弱性の深刻度を示すCVSS v4.0のスコアは7.0、CVSS v3.0は6.8（いずれも10点満点中）。攻撃には対象となるカードなどへの物理的なアクセスが必要と評価されており、ネット経由などで遠隔から狙えるものではない。

　対象は2017年以前に出荷された一部のICチップ。暗号処理に必要な処理が欠如しており、特定の操作によりチップ内データの読み取りや改ざんが可能になるという。

　攻撃にはカードへの物理的なアクセスが前提（攻撃元区分：物理）で、攻撃の複雑性は「低」。JVNは、サービスシステム側で実施するワークアラウンドを対策として案内している。

ソニーの告知より

JR東の告知より

　JVNはサービス事業者に対し、ソニーが提供する対策ガイドラインや技術文書に従ってシステム側で影響確認と対策を行うよう求めた。利用者向けには、カードの盗難やスキミングを防ぐよう求めている。

　ソニーも同日付でお知らせページを更新し、関連事業者向けに対策ガイドラインを発行して対策を進めてきたと説明。JR東日本もSuicaについて本件に起因する影響は確認されていないと発表した。

　報告からJVNでの情報公開まで約1年を要しているが、長期化の理由は公表されていない。

脆弱性情報、勝手に開示しないで　経産省などがクギを刺す　FeliCaの事例念頭か
経済産業省は9日、報道におけるソフトウェアなどの脆弱性情報の取り扱いについて、改めて「情報セキュリティ早期警戒パートナーシップガイドライン」に即した対応を求める声明を出した。
「FeliCa」の脆弱性で共同通信の報道が波紋　ソニーが公表していなかった“真っ当”な理由とは？
共同通信が8月28日夕方に配信した「FeliCa」の脆弱性に関する記事が話題になっている。報道後に、ソニーをはじめとした各社がプレスリリースを出しているが、詳細についてはコメントできないと一様に述べている。これは「脆弱性」による被害を最小限に抑えることを目的とした、とあるガイドラインにのっとった行動である。
「Suica」などに採用の「FeliCa」に脆弱性見つかる　それでもソニーが「引き続き安心」とアピールする理由
交通系ICカードなどに使われる非接触型IC技術「FeliCa（フェリカ）」のICチップに脆弱性があると指摘された件でソニーやNTTドコモ、JR東日本が相次いで声明を出した。
Suicaの脆弱性を指摘したセキュリティ企業トップが「暗号領域の情報が読み取れるSuicaビューア」公開で物議　目的を聞いた
Suicaの暗号領域の情報が読み取れるというビューアがGitHubで公開された。開発者は8月に話題になったSuicaの脆弱性を指摘したセキュリティ企業のCEOだ。
Felica脆弱性問題、「楽天Edy」「nanaco」「WAON」「QUICPay」も「安心して使って」と声明
ソニーの非接触ICカード技術「FeliCa」のICチップの一部に脆弱性が見つかったことを受けて8月28日、FeliCaを利用した電子マネーサービス運営各社がそれぞれ、「サービスは安全に利用し続けられる」とのコメントを発表した。