岐阜県結婚支援関連システム受託業者サーバへの不正アクセス（会員ログインページ改ざん、データ流出は未確認）
公表日
岐阜県が管理を委託する会社のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、県の結婚支援関連システムの会員ログインページの一部が書き換えられました。個人情報等の流出はないことが確認できたと報告されています。
対象者は？
県結婚支援関連システムの会員が対象です。ログインページが一時使えなくなり、検索結果から開いたサイトが別のサイトへ移る状態でした。個人情報等のデータ流出はないことが確認できたと、受託業者から報告されています。対象となる会員の人数は発表されていません。
県の発表資料で、経緯と再開予定を確認できます。個別の被害の有無を知らせる案内は、発表資料には書かれていません。
いますぐできること
- システムを使う前に、県の発表資料で再開の状況を確認する。
- 検索結果から開いたサイトでログインを求められたら、アドレスを確かめる。県が案内する入り口から入り直す。
- ほかのサービスと同じパスワードを使っている場合は、念のため変更を検討する。
何が起きたのか
2025年11月4日、県が管理を委託している株式会社愛媛電算（松山市）から、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の形跡が見つかったと県に連絡がありました。県はすぐにシステムの利用を止め、調査を指示して、会員にも知らせました。会員ログインページのソースコードの一部が書き換えられており、ログインができなくなったほか、検索結果から開いたサイトが別のサイトへ移る状態でした。11月6日の中間報告で、原因が分かり、個人情報等の流出がないことが確認できたと報告されました。11月10日に最終報告があり、県が発表しました。
なぜ起きたのか・なぜ広がったのか
県の発表によると、委託先のサーバー内のソフトウェアの弱点（脆弱性）がねらわれたものです。ソフトウェアの名前や、侵入された日はまだ発表されていません。
いまの状況2025-11-10 時点
2025年11月10日の発表時点で、ソフトウェアを最新版に更新し、新しいサーバーでシステムを作り直す対応が示されました。あわせて、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の見張りを強め、セキュリティ対策を定期的に確認することも示されました。システムは11月13日13時に再開する予定とされました。再開後の状況や、侵入された日、ソフトウェアの名前、対象者の人数は、まだ発表されていません。
企業として考えたいこと
自社の会員向けサイトが取引先のサーバーで動いているとき、そのサーバーのソフトウェア更新と異常の連絡の仕組みを、自社で確認できていますか。
技術的な要約
岐阜県は2025年11月10日、県結婚支援関連システムの管理を委託する株式会社愛媛電算（松山市）のサーバが不正アクセスを受け、会員ログインページのソースコードが一部改ざんされたと発表した。サーバ内ソフトウェアの脆弱性を突かれたもので、会員ログインページからログインできなくなり、検索結果から開いたサイトが別サイトへ誘導される状態だった。受託業者は11月4日に不正アクセスの形跡を県へ連絡し、県はシステムを一時停止した。11月6日の中間報告で原因を特定し、個人情報等のデータ流出がないことが確認できたと報告された。ソフトウェアを最新版へ更新し、新たなサーバでシステムを再構築したうえで、11月13日13時に再開する予定とされた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認県の公表資料は原因を「サーバー内のソフトウェアの脆弱性をつかれたもの」としている。被害は「サーバー内のソフトウェアが攻撃され、会員ログインページのソースコードが改ざんされた」こと。製品名は公表されていない。
- 脆弱性
- CVE 非公表公表で確認受託業者サーバ内のソフトウェアの脆弱性とされるが、製品名・CVEは公表資料に記載がない。対応としてソフトウェアを最新版へ更新したとされる。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 会員ログインページからログインできない状況となり、検索結果に表示されたサイトにアクセスすると別サイトへ誘導された。県は調査のためシステムを11月4日から一時停止した。期間：2025-11-04から一時停止。2025-11-13 13時に再開予定
- データ
- なし上限 —確定 —11月6日の受託業者の中間報告で、個人情報等のデータ流出がないことが確認できたと報告された。件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 県が管理を委託する株式会社愛媛電算（松山市）のサーバが侵害され、県の結婚支援関連システムの会員ログインページが改ざんされた。
時系列
- 2025-11-04受託業者から、不正アクセスの形跡が確認されたと県に連絡があった。2
- 2025-11-04県は調査のためシステムの利用を一時停止し、受託業者に調査を指示して会員にも周知した。2
- 2025-11-06受託業者から中間報告があり、原因を特定し、個人情報等のデータ流出がないことが確認できたと報告された。2
- 2025-11-10受託業者から最終報告（今後の対応策について）があった。2
- 2025-11-10
- 2025-11-13 13:00新サーバでの再構築、監視体制の強化、セキュリティ対策の定期確認の徹底を講じたうえで、システムを再開する予定とされた。2
- 2025-12-03ScanNetSecurityが本件を報じた。1
技術解説
公表された経緯 事実
岐阜県は2025年11月10日、県結婚支援関連システム管理事業の委託先への不正アクセスについて発表した。県の公表資料によると、11月4日(火)に受託業者から不正アクセスの形跡が確認されたと県へ連絡があった。県はシステムの利用を一時停止し、受託業者に調査を指示して、会員にも周知した。11月6日(木)には受託業者から中間報告があり、原因を特定し、個人情報等のデータ流出がないことが確認できたと報告された。11月10日(月)には受託業者から最終報告(今後の対応策について)があった。対応として、ソフトウェアを最新版へアップデートし、新たなサーバーでシステムを再構築する。システムは11月13日(木)13時から再開する予定とされた。
攻撃の構造と影響 事実
県の公表資料は、被害を「サーバー内のソフトウェアが攻撃され、会員ログインページのソースコードが改ざんされた」ことと説明している。原因は、サーバー内のソフトウェアの脆弱性をつかれたものとされる。対象は県が管理を委託する株式会社愛媛電算(松山市)のサーバーで、会員ログインページの一部が改ざんされていた。影響として、会員ログインページからログインできない状況となり、検索結果に表示されたサイトにアクセスすると別サイトへ誘導される状態だった。ソフトウェアの製品名とCVEは、公表資料の本文に記載がない。
公表内容から読み取れる論点 解釈
以下は公表内容からの解釈である。県自身のサーバーではなく委託先のサーバーが入口になった点で、委託先管理の論点を含む事案と読める。ログインページの改ざんは、利用者を別サイトへ誘導する経路になり得る。そのため、データ流出が確認されていなくても、利用者への周知は重要だったと考えられる。県は11月4日の連絡を受けて利用を一時停止し、会員にも周知した。その後、中間報告で原因とデータ流出の有無を確認し、再開前に最終報告を受けている。確認の順序が整理された公表と見ることができる。ただし、製品名や侵入時期が公表されていないため、同種の環境を持つ他組織が自社への影響を判断する材料は限られる。
対応
- 封じ込め
- 11月4日からシステムを一時停止し、受託業者に調査を指示した。ソフトウェアを最新版へ更新し、新たなサーバでシステムを再構築する。不正アクセスの監視体制の強化とセキュリティ対策の定期確認の徹底も行う。
- 公表の仕方
- 県が2025年11月10日に公表した。会員には11月4日の一時停止時に周知した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先のサーバーが、自組織の利用者向け画面の改ざん経路になり得る。 | 委託先が運用する公開サーバーについて、ソフトウェア一覧(SBOMまたは棚卸し表)とパッチ適用期限を契約に明記する。四半期ごとに脆弱性スキャン結果の提出を受ける。 |
| ログインページの改ざんは、利用者を別サイトへ誘導する経路になり得る。 | ログインページとその読み込みスクリプトのハッシュを定期的に比較し、差分があれば通知する。CSPとSRIを設定して、想定外の外部読み込みやリダイレクトを抑える。 |
| 委託先が侵害の形跡を見つけた際に、委託元へすぐ連絡できる体制が要る。 | 委託契約に、検知から連絡までの時間と連絡窓口を定める。年1回、連絡訓練を行い、連絡後に委託元が停止判断をする手順をRunbookに書いておく。 |
| 再開前に、原因の特定とデータ流出の有無を確認する手順が要る。 | 再開の条件を、原因特定、ソフトウェア更新、アクセスログとファイル整合性の確認、監視強化の4点としてチェックリスト化する。再開判断の記録を残す。 |
| 再構築と監視強化は、再発防止の要になる。 | 新サーバーはIaCやゴールデンイメージで構築し、更新を自動化する。Webサーバーのファイル改ざん検知(FIM)とWAFのログ監視を導入し、アラートの送り先を明確にする。 |
自組織などでの確認項目
- 自組織の利用者向けサイトのうち、委託先のサーバーで動いているものはどれか。その委託先のソフトウェア更新状況を、直近3か月以内に確認できているか。
- 自組織のログインページが改ざんされた場合、何分以内に気づける仕組みがあるか。改ざん検知やリダイレクトの監視は設定されているか。
- 委託先から不正アクセスの形跡の連絡を受けたとき、停止判断と利用者への周知を誰がどの順で行うか。その手順は文書化され、訓練されているか。
未解明点
- 侵入された日時と、改ざんされていた期間は公表されていない。
- 脆弱性があったソフトウェアの製品名とCVEは、公表資料の本文に記載がない。
- 別サイトへの誘導先と、利用者への具体的な影響の有無は公表されていない。
- 会員の人数など、対象となる利用者の規模は公表されていない。
- 同じ受託業者のサーバーを使う他の顧客への影響の有無は公表されていない。
出典
- 1ScanNetSecurity2025-12-03報道本文確認済
- 2岐阜県2025-11-10公式本文確認済
- 3岐阜県2025-11-12公式本文確認済