岡山県の個別PRサイト群への不正アクセス・改ざん（民間レンタルサーバー上の8サイトを公開停止）
公表日
岡山県が民間のレンタルサーバー上で公開していた8つの個別ホームページで、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。による改ざんが見つかり、公開を一時停止した。個人情報の流出は確認されていない。
何が起きたのか
2025年10月14日、岡山県は、民間のレンタルサーバーで公開していた個別ホームページ群の公開を止めたと発表しました。イベント情報を載せたPRサイトに入れなくなり、調べたところ、何者かが不正に入って内容を書き換えた跡が見つかりました。そのサイトを直したあと、同じサーバーの他のサイトを調べると、別のサイトにも改ざんの跡がありました。その後も改ざんが続いたため、サーバー上の全サイトの公開を止めました。止めたのは8サイトです。11月6日の最終報によると、10月9日から13日にかけてサーバー上のソフトウェアが攻撃され、7サイトに外部のサイトへ誘導するコードが埋め込まれていました。
なぜ起きたのか・なぜ広がったのか
原因は特定に至っていません。最終報では、ソフトウェアの更新が十分に行き届いていなかったことが一因とみられるとされています。侵入口や使われていたソフトウェアの名前は発表されていません。複数のサイトが同じサーバーで公開されていたため、改ざんは複数のサイトにわたりました。県の他のホームページには影響がないとされています。
いまの状況2025-11-06 時点
2025年11月6日時点で、県はセキュリティの点検と更新作業を終え、安全を確認したうえで順次サイトを再開しました。「岡山 私のみらい発見カフェ」はイベント終了により閉鎖されました。対象のサーバーには個人情報は保存しておらず、流出は確認されていません。県は監視の強化と定期点検の恒常化を進め、岡山県警に捜査を依頼しています。原因の詳しい特定結果は、まだ発表されていません。
企業として考えたいこと
自社で公開しているキャンペーンサイトなどが、いくつ・どこのサーバーにあり、ソフトウェアが最新かどうかを、今すぐ一覧で示せるでしょうか。
技術的な要約
岡山県は2025年10月14日、民間のレンタルサーバー上で公開していた個別ホームページ群（8092-okayama.jpドメイン配下）で不正アクセスと改ざんの形跡が見つかったとして、全サイトの公開を一時停止したと発表した。県の最終報によると、10月9日〜13日にサーバー上のソフトウェアが攻撃され、7サイトで外部サイトへ誘導するコードが埋め込まれる改ざんが確認された。イベント情報を掲載するPRサイトのアクセス不能を契機に調査が始まったが、復旧後も別サイトで改ざんが見つかり、改ざんの進行が続いたため全サイトを停止した。対象サーバーに個人情報は保持しておらず、流出は確認されていないとされ、県の他のホームページへの影響もない。県は11月6日、セキュリティ点検と更新作業を終えて順次再開（「岡山 私のみらい発見カフェ」はイベント終了により閉鎖）したと最終報を発表した。原因は特定に至っておらず、ソフトウェア更新の徹底不足が一因とみられるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明県は原因を特定できていない。最終報では、サーバー上のソフトウェアが攻撃され、ソフトウェア更新の徹底不足が一因とみられるとしている。対象は民間のレンタルサーバー上のサイト群。
- 脆弱性
- CVE 非公表報道・研究者製品名・CVEは非公表。サーバー上のソフトウェアが攻撃され、更新の徹底不足が一因とみられるとの記述のみ。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 民間レンタルサーバー上の全サイト（一覧掲載8サイト）の公開を停止。7サイトで外部サイトへ誘導するコードが埋め込まれる改ざんを確認。11月6日にセキュリティ点検・更新作業後、順次再開。「岡山 私のみらい発見カフェ」はイベント終了により閉鎖。期間：2025年10月14日の発表時点で公開停止、2025年11月6日に順次再開（停止開始日の正確な日付は非公表）
- データ
- なし上限 —確定 —第一報・最終報とも個人情報の流出は確認されていない。最終報では対象サーバーに個人情報は保持していないとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 民間のレンタルサーバー上で公開していたサイト群で、同一サーバー内の他サイトにも改ざんが及んだ。県の他のホームページへの影響はないとされている。
時系列
- 2025-10-09この日から10月13日にかけて、レンタルサーバー上のソフトウェアが攻撃され、外部サイトへ誘導するコードが埋め込まれる改ざんが発生（県の最終報による）。2
- 2025-10
- 2025-10
- 2025-10
- 2025-10-13最終報が示す攻撃期間（10月9日〜13日）の終期。2
- 2025-10-14
- 2025-10-24ScanNetSecurityが第一報の内容（改ざんと復旧の繰り返し、個人情報漏えいなし）を報道。3
- 2025-11-06
- 2025-11-06県は監視強化や定期点検の恒常化に加え、岡山県警に捜査を依頼済みと公表。2
- 2025-11-28ScanNetSecurityが公開停止していたPRサイトの復旧を報道。4
技術解説
第一報までの経緯と公表内容 事実
岡山県は2025年10月14日、民間のレンタルサーバー上で公開していた個別ホームページ群で不正アクセスと改ざんの形跡が見つかったとして、公開を一時停止したと発表した。きっかけは、イベント情報などを掲載する個別のPRサイトにアクセスできなくなったことで、原因を調べたところ、何者かが不正にアクセスし改ざんした形跡が確認された。当該サイトを復旧した後に同じサーバー内の他サイトを調べると、別のサイトでも改ざんの形跡があり、復旧を行った。それでも改ざんの進行が見られたため、被害拡大を防ぐ目的でサーバー上の全サイトの公開を停止した。停止対象は8092-okayama.jpドメイン配下の8サイトとして公表された。第一報では個人情報の流出は確認されておらず、原因は調査中とされた。
最終報で示された内容 事実
11月6日の最終報（報道経由で確認）では、セキュリティ点検と更新作業を終え、安全を確認のうえ順次再開したとされる。10月9日〜13日にかけてサーバー上のソフトウェアが攻撃され、7サイトで外部サイトへ誘導するコードが埋め込まれる改ざんが確認された。「岡山 私のみらい発見カフェ」はイベント終了により閉鎖された。対象サーバーに個人情報は保持しておらず、流出は確認されていない。原因は特定に至っていないものの、ソフトウェア更新の徹底不足が一因とみられるとされた。県は監視強化や定期点検の恒常化を進めるほか、岡山県警に捜査を依頼済みである。県の他のホームページへの影響はないとされている。
攻撃の構造と被害が続いた理由の読み取り 解釈
以下は公表された事実からの解釈であり、断定ではない。複数のサイトが同一のレンタルサーバー上に置かれていたため、一つのサイトで見つかった改ざんが、他サイトの点検や再改ざんの確認につながったと読める。また、サイトを復旧し他サイトを点検した後も改ざんの進行が続いたことから、コンテンツを直すだけでなく、サーバー上のソフトウェアという入口側に課題が残っていた可能性がある。最終報が「サーバー上のソフトウェアが攻撃された」と述べている点とも整合する。ただし、侵入口、ソフトウェア名、脆弱性の有無は公表されておらず、MITRE ATT&CKのT1190などへの対応づけも公表文言からの仮の整理にとどまる。
公表の評価と読む際の注意点 解釈
公表は、第一報で停止サイトの一覧と流出未確認の状況を示し、最終報で再開・閉鎖、改ざん確認数、原因の見立て、警察への捜査依頼まで示す二段構えで、利用者が状況を追いやすい構成だったと評価できる。一方で数字の扱いには注意が要る。公開停止の対象は8サイト、改ざんが確認されたのは7サイトで、両者は別の数字である。個人情報は「保持していない」とされ、流出の「確認なし」とは根拠の種類が異なる。なお、検知日時、公開停止の開始日、停止日数、利用ソフトウェア名は、渡された公表情報には記載がなく、本分析では補っていない。また最終報は公式文書ではなく報道経由での確認である点にも留意したい。
対応
- 封じ込め
- 改ざんの進行が続いたため、被害拡大防止を目的にサーバー上の全サイトの公開を停止。最初に改ざんされたサイトと別の改ざんサイトは個別に復旧対応を実施。その後、セキュリティ点検と更新作業を終え、安全を確認のうえ順次再開した（2025年11月6日）。公聴広報課とデジタル推進課を中心に原因究明と再発防止策を検討し、監視強化と定期点検の恒常化を進める。
- 公表の仕方
- 2025年10月14日に第一報を発表（個人情報流出は未確認、原因調査中、判明次第改めて公表）。2025年11月6日に最終報を発表し、再開・閉鎖の状況、改ざん確認サイト数、原因の見立てを公表。
- 当局対応
- 岡山県警に捜査を依頼済み
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 同一サーバーに複数サイトが同居していると、一つの弱点が全サイトの停止判断につながる。 | サイトごとに、利用ソフトウェアとバージョン、管理担当を台帳化する。スキャナ（例：CMS向け脆弱性検査ツール）を定期実行し、未更新を一覧で検知する。可能ならサイトごとにアカウントや領域を分離する。 |
| 復旧後も改ざんが進行した事例では、見た目の復旧だけでは原因が除去されたと言えない。 | 復旧時は上書きではなく、クリーンな環境へ再構築し、認証情報（管理画面・FTP・DB）を全て更新する。ファイルのハッシュ比較による整合性監視を入れ、再改ざんを自動検知する。 |
| ソフトウェア更新の徹底が一因とみられており、運用上の更新漏れが課題になりうる。 | 更新の責任者と期限（例：重要な修正は一定日数以内）を運用ルールにする。自動更新が使える部分は有効化し、使えない部分は月次の更新確認をチケット化する。 |
| 改ざんが続く場合に全サイトを止める判断は、被害拡大防止に有効だった。 | 公開停止の判断基準と手順を事前に決める。停止時に表示するメンテナンスページ（静的）を別環境に用意し、DNSやWAFで切り替えられるようにしておく。 |
| 個人情報を保持しない構成は、流出の有無を早く整理する助けになる。 | 広報・キャンペーン用サイトには、問い合わせフォームや会員データを持たせない方針を設計段階で決める。データ分類表で、各サイトが保持する情報種別を明記する。 |
自組織などでの確認項目
- 自組織の公開サイトやキャンペーンサイトは、いくつ・どのサーバーで動いているか。終了したイベントのサイトも含め、台帳と実態は一致しているか。
- 公開サイトで使っているCMS・プラグイン・サーバーソフトの最新バージョンと更新状況を、担当者が即座に一覧で示せるか。
- サイトの改ざんを検知したとき、誰がどの基準で全サイト停止を決め、静的な代替ページへ切り替えられるか。復旧後に再改ざんを確認する手順はあるか。
- レンタルサーバーや委託先で運用するサイトについて、ログの保全、更新の担当、連絡経路が契約や運用書に明記されているか。
未解明点
- 改ざんの侵入口と、攻撃されたサーバー上のソフトウェア名・バージョンは何か（原因は特定に至っていないとされている）。
- アクセス不能の発生や検知の日時、全サイトの公開停止を始めた日、停止期間の正確な日数はいつか。
- 外部サイトへ誘導するコードの誘導先や、停止前に閲覧者が実際に誘導された事実の有無はどうか。
- 8サイトのうち改ざん確認が7サイトとされているが、残る1サイトの状況はどうか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-21報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-11報道本文確認済
- 3ScanNetSecurity2025-10-24報道本文確認済
- 4ScanNetSecurity2025-11-28報道本文確認済
- 5岡山県2025-10-14公式本文確認済