近江八幡市 魅力発信課の公式Xアカウントへの不正アクセス（アカウント乗っ取り、個人情報流出は未確認）
公表日
滋賀県近江八幡市の魅力発信課が運用する公式X（旧Twitter）アカウントが、2025年9月19日頃に第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、乗っ取られていたことが判明した。2025年9月25日の記事公開時点で、個人情報の流出は確認されていない。
対象者は？
近江八幡市の公式Xアカウント @omigyu_hachiman のフォロワーや住民が対象。記事公開時点では、個人情報の流出や二次被害は確認されていない。
最新状況は市サイト上で順次公表される方針とされている。公式を装った連絡や、外部サイトに誘導するURL付きの投稿・DMには注意が必要である。
いますぐできること
- 公式アカウントを装った連絡や、外部サイトに誘導するURL付きの投稿・DMは、開かない、クリックしない。
- 最新の状況は、市サイトの発表で確認する。
何が起きたのか
滋賀県近江八幡市の魅力発信課が運用する公式X（旧Twitter）アカウント @omigyu_hachiman が、2025年9月19日頃に第三者の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、乗っ取られていたことが判明した。市はX社へ被害報告と復旧を依頼済みで、記事は2025年9月25日に公開された。
なぜ起きたのか・なぜ広がったのか
市の公表内容は「第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。」で、具体的な侵入経路は調査中である。記事は、過去の自治体SNSの事例で挙がる一般的な要因を紹介しているが、本件の原因を特定したものではない。
いまの状況2025-09-25 時点続報待ち
2025年9月25日の記事公開時点では、個人情報の流出や二次被害は確認されておらず、侵入経路は調査中である。市は最新状況を市サイト上で順次公表する方針である。復旧の状況はまだ発表されていません。
企業として考えたいこと
自社の公式SNSアカウントが乗っ取られたとき、誰が、どの手段で、利用者や顧客へ最初に知らせるか決まっているか。
技術的な要約
滋賀県近江八幡市の魅力発信課が運用する公式X（旧Twitter）アカウント @omigyu_hachiman が、2025年9月19日頃に第三者の不正アクセスを受け、乗っ取られていたことが判明した。市はX社へ被害報告と復旧を依頼済みで、最新状況は市サイト上で順次公表する方針である。記事公開時点（2025年9月25日）では個人情報の流出や二次被害は確認されておらず、具体的な侵入経路は調査中である。住民・フォロワーには、公式アカウントを装った連絡や外部サイトへ誘導するURL付きの投稿・DMを開かない・クリックしないよう注意喚起されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明市の公表内容は「第三者による不正アクセス」であり、具体的侵入経路は調査中。記事は過去事例の一般的要因（パスワードの類推・流出、MFA未設定、共用端末・共用アカウント運用、外部連携アプリからの漏えい）を挙げているが、本件の原因を特定したものではない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公式Xアカウントが乗っ取られた。業務停止の有無は出典に記載がない。
- データ
- なし上限 —確定 —記事公開時点では個人情報の流出や二次被害は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
報じられている事実の範囲 事実
滋賀県近江八幡市の魅力発信課が運用する公式X（旧Twitter）アカウント @omigyu_hachiman が、2025年9月19日頃に第三者の不正アクセスを受け、乗っ取られていたことが判明した。この日付は報道記事の記述であり、市の一次情報は今回渡された出典に含まれない。市の公表内容は「第三者による不正アクセス」で、具体的な侵入経路は調査中とされている。セキュリティ対策Labは、この件を2025年9月25日に記事として投稿している。
公表された対応と影響の状況 事実
市はX社へ被害報告と復旧を依頼済みで、最新状況は市サイト上で順次公表する方針とされている。記事公開時点（2025年9月25日）では、個人情報の流出や二次被害は確認されていないと記載されている。記事は住民・フォロワーに対し、公式アカウントを装った連絡や外部サイトへ誘導するURL付きの投稿・DMを開かない、クリックしないよう注意喚起している。検知日、復旧の状況、業務停止の有無は、渡された出典には記載がない。
記事が挙げる一般的な要因と本件との関係 事実
記事は、行政・自治体のSNSの過去事例における典型的な要因として、パスワードの類推・流出、MFA未設定、共用端末・共用アカウント運用、外部連携アプリからの漏えいを挙げている。ただしこれらは過去事例に基づく一般論であり、本件の原因を特定したものではない。市の公表内容も、侵入経路は調査中とするにとどまる。本件でどれが当てはまるかは出典から読み取れないため、初期侵入の分類は「不明」としている。
公式SNSアカウントを狙う不正アクセスの構造（解釈） 解釈
公式アカウントは、住民からの信頼が高い発信元である。そのため、乗っ取られた場合は偽の案内や外部サイトへの誘導に使われる懸念があり、記事が注意喚起を行っているのもこの点に対応すると考えられる。一方で、本件で実際にそのような投稿があったかは出典に記載がない。また、自治体のSNSは複数の職員が関わることが多く、認証情報や端末の管理が分散しやすい。ただし、これは一般的な見方であり、本件の運用実態は公表されていない。原因は調査結果の公表を待って判断する必要がある。
対応
- 封じ込め
- 市はX社へ被害報告と復旧を依頼済み。
- 公表の仕方
- 市は最新状況を市サイト上で順次公表する方針。住民・フォロワーに、公式アカウントを装った連絡や外部サイトへ誘導するURL付きの投稿・DMを開かない・クリックしないよう注意喚起。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公式SNSアカウントも、基幹システムと同じ重要資産として認証を強化する必要がある | X等の公式アカウントでは、SMS以外のMFA（認証アプリ・セキュリティキー）を必須にする。パスワードは推測されにくい固有のものにし、パスワード管理ツールで保管する。 |
| 共用端末・共用アカウント運用は、侵害時の原因特定を難しくする | 可能な範囲で担当者ごとの権限分離を行い、共用する場合は利用者・端末・時刻の記録を残す。退職・異動時の認証情報の変更手順を決めておく。 |
| 外部連携アプリは、アカウントへの経路になりうる | アカウントに連携済みのアプリを定期的に棚卸しし、不要なものや用途の不明なものは連携を解除する。新規連携は申請制にして、付与する権限を最小限にする。 |
| 乗っ取りが起きた際に、住民へ素早く注意喚起できる代替の連絡手段が必要である | 市サイトなど、SNS以外の公式の発信経路をあらかじめ決めておく。乗っ取り時の告知文の雛形、プラットフォーム事業者への連絡先、復旧依頼の手順を事前に文書化する。 |
| 調査中の段階でも、確認済みの事項と未確認の事項を分けて公表することが、利用者の混乱を減らす | 公表文には、日時、影響範囲、確認していない事項、続報の掲載場所を項目として定める。続報の予定を示し、更新日時も明記する。 |
自組織などでの確認項目
- 自組織の公式SNSアカウントには、誰がどの端末からログインできるか。その一覧は最新になっているか。
- 公式SNSアカウントにMFAは設定されているか。担当者の異動・退職時に、認証情報を変更する手順はあるか。
- 公式SNSが乗っ取られたとき、SNS以外のどの手段で住民・顧客に知らせるか。その告知文はすぐ出せる状態にあるか。
- 公式SNSアカウントに連携しているアプリは把握できているか。不要な連携を最後に見直したのはいつか。
未解明点
- 具体的な侵入経路（パスワード、MFA、共用運用、外部連携アプリのいずれか、または別の原因か）は公表されているか。
- 市が乗っ取りに気づいた日時、アカウントの復旧状況、乗っ取り中に投稿やDMが送られたかは公表されているか。
- 市が公表した一次情報は、どの内容か。今回の出典は報道のみで、市の発表は含まれていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-25報道本文確認済