洛西進学教室と進学館に不正アクセス
総合教育サービスを提供するアップは、運営する「洛西進学教室」と「進学館」の2サイトが不正アクセスを受け、サーバー内に保存していた個人情報が第三者に参照された可能性があると明らかにしました。不正アクセスは2026年8月24日に発覚し、利用プラグインの脆弱性が悪用されて、不正なプログラムが設置されていました。
対象は、洛西進学教室の講師採用応募者10人と、サイト管理者3人です。応募者の情報は氏名、住所、電話番号、性別、年齢、大学名、メールアドレス、希望内容などで、管理者の情報は氏名とメールアドレスです。
アップは、情報が外部へ持ち出された痕跡は確認されていない一方、第三者に参照された可能性があると説明しています。対象者にはメールで連絡し、個人情報保護委員会にも報告しました。
サーバーを隔離し、脆弱性を修正
アップは不正アクセスを受けたサーバーへのアクセスを遮断して隔離し、不正なプログラムを取り除きました。悪用された脆弱性も修正したとしています。
アップ教育企画の公式サイトでは、2026年9月4日に個人情報漏えいのおそれに関するお知らせ、9月9日にWebサイト復旧のお知らせが掲載されました。10月6日にはWebサイトの復旧状況に関する更新も掲載されています。
脆弱性が不正プログラムの設置につながる仕組み
Webサイトでは、CMS（コンテンツ管理システム）やプラグインなどのソフトウェアに脆弱性があると、攻撃者がそれを悪用してサーバーに不正なファイルを置く場合があります。JPCERT/CCが調査した別の事例では、CMSの脆弱性を使い、PHPで動く不正プログラムをサーバーへアップロードする手口が確認されています。
その事例のPHPマルウェアには、訪問者を不審なサイトへ転送する機能と、攻撃者から受け取ったコマンドを実行する機能がありました。コマンドを通じて、不正なページの作成や任意のPHPコードの実行も可能でした。
Webサイトのソースコードや利用ソフトウェアは、外部から判別される場合があります。脆弱性が見つかると攻撃に利用される可能性があります。
連絡先情報から広がる二次被害
氏名や住所、電話番号、メールアドレスが知られると、実在する企業を装ったメールや連絡に悪用されるおそれがあります。FNNが紹介した専門家は、漏えい情報が闇サイトに公開された場合、別の犯罪グループがフィッシングメールなどに利用するケースがあると説明しています。
実在企業を装う連絡では、添付ファイルを開かせてウイルスに感染させたり、リンク先でカード情報を入力させたりする手口が考えられます。漏えい情報と自宅の資産状況が結び付いた場合、犯罪に利用される危険性が高まるとも専門家は指摘しています。
別の個人情報流出事案では、氏名、メールアドレス、電話番号がフィッシング詐欺やなりすましに悪用される可能性が示されました。
脆弱性の修正と事後対応
JPCERT/CCは、CMSやプラグインを常に最新版へ更新することを勧めています。アップも今回、脆弱性を修正し、不正プログラムを除去したとしています。
JPCERT/CCが分析したPHPマルウェアの事例では、侵害後に多数の不正ページが作られたり、サイトマップに不審なURLが追加されたりすることがありました。こうしたファイルやURLは、改ざんの痕跡を調べる手掛かりとして挙げられています。
