ひびしんキャピタルのホームページへの不正アクセス（スパムサイトへのリダイレクト）
公表日
福岡ひびき信用金庫の子会社、ひびしんキャピタル株式会社のホームページに2025年9月11日、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、スパムサイトへ転送される状態が確認されました。
何が起きたのか
2025年9月11日の午前11時ごろ、ひびしんキャピタル株式会社のホームページにアクセスできなくなりました。午前12時には、見に来た人が迷惑サイト（スパムサイト）へ転送される状態が確認されたため、ホームページの運営を任せている会社に、メンテナンス画面だけを表示するよう連絡しました。福岡ひびき信用金庫は9月25日にこの件を発表し、11月25日に調査結果を発表しました。
なぜ起きたのか・なぜ広がったのか
報道の見出しによると、運営を任されている会社が管理するWebサイトに対し、パスワードを何度も試す「ブルートフォース攻撃」が行われたことが起点とされています。詳しい経路は、今回確認できた情報には書かれていません。
いまの状況2025-12-08 時点
2025年12月8日時点の報道では、起点についての記事が出ています。情報漏えいの有無、影響を受けた人数、ホームページの再開時期、再発防止策については、確認できた情報の中ではまだ発表されていません。
企業として考えたいこと
自社のホームページを外部の会社に運営してもらっている場合、その管理画面のログイン保護や、異常時の連絡と切り替えの手順を確認できていますか。
技術的な要約
福岡ひびき信用金庫の子会社であるひびしんキャピタル株式会社のホームページで、2025年9月11日に外部からの不正アクセスが確認された。同日午前11時にアクセス不可となり、午前12時にスパムサイトへのリダイレクトの発生を確認したため、委託先にメンテナンス画面のみの表示へ変更するよう連絡した。同金庫は9月25日に第1報を発表し、11月25日に調査結果を発表した。報道によれば、委託先が管理するWebサイトへのブルートフォース攻撃が起点とされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者報道の見出しによれば、委託先が管理するWebサイトへのブルートフォース攻撃が起点になったとされる。詳細な侵入経路は提供された情報には記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ホームページへのアクセスが不可となり、スパムサイトへのリダイレクトを確認したためメンテナンス画面のみを表示した。
- データ
- 調査中上限 —確定 —提供された情報には情報漏えいに関する記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 報道の見出しによれば、委託先が管理するWebサイトへのブルートフォース攻撃が起点とされる。
時系列
- 2025-09-11ひびしんキャピタル株式会社のホームページへの外部からの不正アクセスが確認された。1
- 2025-09-11 11:00同社ホームページへのアクセスが不可となった。2
- 2025-09-11 12:00スパムサイトへのリダイレクトの発生を確認し、委託先にホームページをメンテナンス画面の表示のみに変更するよう連絡した。2
- 2025-09-11ホームページにはメンテナンス画面のみが表示される状態となった。1
- 2025-09-25福岡ひびき信用金庫が子会社ホームページへの不正アクセスについて発表した（第1報）。1
- 2025-10-03ScanNetSecurityが第1報を報道した。1
- 2025-11-25福岡ひびき信用金庫が調査結果を発表した。2
- 2025-12-08ScanNetSecurityが、委託先が管理するWebサイトへのブルートフォース攻撃が起点になったと報道した。2
技術解説
確認されている経過 事実
報道によれば、福岡ひびき信用金庫の子会社であるひびしんキャピタル株式会社のホームページで、9月11日に外部からの不正アクセスが確認された。同日午前11時にホームページへのアクセスが不可となり、午前12時にはスパムサイトへのリダイレクトの発生を確認したため、委託先に当該ホームページをメンテナンス画面の表示のみに変更するよう連絡した。同金庫は9月25日にこの件を発表し、11月25日に調査結果を発表した。記事の見出しは、リダイレクトを確認したためメンテナンス画面のみが表示されたとしている。
侵入の起点に関する報道と、情報の範囲 事実
ScanNetSecurityの12月8日付記事の見出しは、委託先が管理するWebサイトへのブルートフォース攻撃が起点になったとしている。一方、今回参照できた情報には、ブルートフォースの対象が管理画面かどうか、攻撃が成功した経緯、情報漏えいの有無、影響を受けた件数、攻撃者に関する記載はない。また、元の公開状態への復旧時期の記載もない。このため起点は報道見出しの範囲でしか把握できておらず、金庫側の発表原文の記述とは照合できていない。
委託運用という構造から読み取れること 解釈
ホームページの運用を委託先が担い、子会社側が委託先にメンテナンス画面への変更を連絡して対応している点から、公開サイトの変更に関わる権限や操作が委託先側にあった可能性がある。この構造では、委託先の環境で認証が破られると、発注側の組織名で公開されるページに転送や改ざんの影響が及び得る。ただしこれは見出しと対応経過からの推測で、実際の権限分担や認証方式は公表されていない。リダイレクトは閲覧者を別サイトへ誘導するため、閲覧者側への影響も論点になり得るが、実害の有無は不明である。
公表の進め方についての見方 解釈
発生と検知は9月11日、第1報は9月25日、調査結果は11月25日と、段階的に公表されている。公開サイトが対象で、アクセス不可から約1時間後にリダイレクトを確認し、メンテナンス画面へ切り替えるという初動の流れは、報道から追える。一方、今回の情報では公式原文を確認できておらず、調査結果の具体的な内容や再発防止策、情報漏えいの有無の記述は読み取れない。したがって公表全体の充実度を評価するには、金庫の発表原文の確認が必要である。
対応
- 封じ込め
- 2025年9月11日午前12時にスパムサイトへのリダイレクトの発生を確認し、委託先に当該ホームページをメンテナンス画面の表示のみに変更するよう連絡した。
- 公表の仕方
- 福岡ひびき信用金庫が2025年9月25日に不正アクセスを発表し、11月25日に調査結果を発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先が運用するWebサイトの認証が、発注側の公開ページの安全性に直結し得る。 | 委託先の管理画面・CMS・ホスティングの管理アカウントに多要素認証とIP制限を契約上の要件にし、年次で設定状況の証跡を提出させる。 |
| ブルートフォース攻撃は、試行回数の制御が無いと成功しやすい。 | ログイン試行のレート制限、一定回数でのアカウントロック、CAPTCHA、管理画面の公開範囲制限をWAFや設定で実装し、失敗ログのアラートを設ける。 |
| 公開サイトの異常は、閲覧者側の挙動から気づく場合がある。リダイレクトは外部監視で検知できる。 | 自社ドメインへの外形監視で、応答の転送先やコンテンツのハッシュ変化を検知し、異常時に担当者へ通知する。 |
| 異常時に委託先へ迅速に連絡し、公開内容を切り替える手順が重要である。 | 委託先との連絡窓口と、メンテナンス画面への切替やサイト停止を依頼する手順書を事前に整え、切替の所要時間を訓練で確認する。 |
| 調査結果の公表では、侵入経路と影響範囲の有無を明記することが読者の判断に役立つ。 | 公表テンプレートに、起点、影響データの有無、再発防止策、問い合わせ先の欄を設け、調査完了時に必ず埋めて公開する。 |
自組織などでの確認項目
- 自社の公開Webサイトの管理画面は誰が運用しており、多要素認証とログイン試行制限は有効になっているか。
- 委託先が管理するサイトで異常が起きたとき、誰が何分以内に連絡し、サイトを止めるか切り替えられるか。
- 自社ドメインの公開ページが別サイトへ転送される状態になった場合、外形監視で自社が先に気づける仕組みはあるか。
- 委託先のセキュリティ対策の実施状況を、契約や定期報告でどこまで確認できているか。
未解明点
- ブルートフォース攻撃の対象は管理画面か、どのアカウントが破られたのか。
- 情報漏えいの有無と、対象となる情報の範囲は公表されているか。
- ホームページがいつ通常の公開状態に戻ったのか、再発防止策は何か。
出典
- 1ScanNetSecurity2025-10-03報道本文確認済
- 2ScanNetSecurity2025-12-08報道本文確認済