B&G財団へのマルウェア攻撃（サーバー障害・外部流出は未確認）
公表日
B&G財団が、サーバーへのマルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。攻撃でシステム障害が起きたと2026年4月27日に公表しました。個人情報や機密情報の外部流出は、現時点で確認されていません。
いますぐできること
- 財団の関係者は、身に覚えのないメールや、差出人が不自然なメールに注意する。
- 財団からの新しい発表がないか、公式サイトを時々確認する。
何が起きたのか
2026年4月21日、B&G財団のサーバーでシステム障害が起きました。調べたところ、マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。という悪質なプログラムによる不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認されました。財団は被害が広がらないように、対象のサーバーを切り離し、ネットワークも遮断しました。4月27日に公式サイトで公表し、警察への相談と個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。も済んでいるとしています。
なぜ起きたのか・なぜ広がったのか
原因や、どこから入られたのかは、まだ発表されていません。財団は全国の自治体・施設・指導員などの情報を保有していますが、それらが取られたかどうかは確認されていません。
いまの状況2026-04-27 時点続報待ち
財団は原因の調査とシステムの復旧を最優先で進めています。個人情報や機密情報の外部流出は、現時点で確認されていません。復旧の時期や調査の結果、新しい事実についての続報は、まだ発表されていません。
企業として考えたいこと
もし御社のサーバーが突然止まったら、マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。による攻撃かどうかを調べて、被害を広げないように切り離す判断を、誰がどの手順で行いますか。
技術的な要約
公益財団法人B&G財団は2026年4月27日、同財団のサーバーが第三者によるマルウェア攻撃を受け、システム障害が発生したと公式サイトで公表した。2026年4月21日にサーバーでシステム障害が発生し、調査の結果マルウェアによる不正アクセスが確認された。対象サーバーの隔離とネットワークの遮断を即日実施した。現時点で個人情報および機密情報の外部流出は確認されておらず、愛宕警察署への相談と個人情報保護委員会への報告は完了している。原因究明とシステム復旧作業を最優先で進めており、新たな事実が判明した場合は速やかに公表するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公表されているのはマルウェアによる不正アクセスが確認されたことのみで、侵入経路は示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サーバーでシステム障害が発生し、対象サーバーの隔離とネットワークの遮断を実施。原因究明とシステム復旧作業を進めている。
- データ
- 調査中上限 —確定 —現時点で個人情報および機密情報の外部流出は確認されていない。財団は全国の自治体・施設・指導員等の情報を保有している。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事実の範囲 事実
B&G財団は2026年4月27日、同財団のサーバーが第三者によるマルウェア攻撃を受け、システム障害が発生したと公式サイトで報告を公表した。報道によると、2026年4月21日にサーバーでシステム障害が発生し、調査の結果マルウェアによる不正アクセスが確認された。発覚のきっかけはこのシステム障害だった。被害拡大を防ぐため、対象サーバーの隔離とネットワークの遮断を即日実施したとされる。この出典の範囲では、侵入経路、マルウェアの種類、影響を受けたサーバーの台数や範囲は示されていない。
情報の取扱いと届出の状況 事実
報道によると、財団は現時点で個人情報および機密情報の外部流出は確認されていないとし、新たな事実が判明した場合は速やかに公表するとしている。愛宕警察署への相談と個人情報保護委員会への報告は完了しており、原因究明とシステム復旧作業を最優先で進めているという。財団は全国453か所のB&G海洋センターと289か所のB&G海洋クラブを支援しており、全国の自治体・施設・指導員等の情報を保有している。流出した情報の件数や種類は、この出典の範囲では示されていない。
「流出は未確認」の読み方 解釈
「外部流出は確認されていない」という表現は、調査の途中段階で使われることが多い。ここで読み取れるのは、現時点で流出を裏付ける証拠が見つかっていないということであり、流出がなかったことまでは意味しない。障害発生から公表まで6日あり、この間に調査と届出を進めていたとみられる。ただし調査の範囲や方法は公表されておらず、結論が出る時期も見通せない。今後の続報で、確認の範囲がどこまで広がるかが評価の分かれ目になる。
支援先へ波及する可能性の整理 解釈
財団は多数の自治体・施設・指導員等の情報を保有しているため、仮に情報が取得されていた場合は、財団の外にも影響が及ぶ構造にある。一方で、取得の有無は現時点で確認されていない。報道には、保管されているメールアドレス・氏名・連絡先が取得されている可能性を指摘し、なりすましメールへの注意を促す記述がある。これは媒体の見解であり、財団の発表ではない。流出が未確認の段階でも、関係者が不審なメールへの警戒を保っておくことは、費用の小さい備えになる。
対応
- 封じ込め
- 対象サーバーの隔離とネットワークの遮断を即日実施。原因究明とシステム復旧作業を最優先で進めている。
- 公表の仕方
- 2026-04-27に公式サイトで報告を公表。新たな事実が判明した場合は速やかに公表するとしている。
- 当局対応
- 愛宕警察署（相談）
- 個人情報保護委員会（報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 障害の発生を、不正アクセスの調査の入口として扱う | 原因不明のサーバー障害が起きたときは、ハード故障だけで判断せず、EDRのアラート、認証ログ、プロセス起動履歴、外向き通信の履歴を同時に確認する運用手順（Runbook）を用意する。 |
| 隔離と遮断を即日実施できる体制が、被害拡大の抑制につながる | 対象サーバーをネットワークから切り離す手順を、VLANやスイッチのポート単位で事前に文書化する。EDRのネットワーク隔離機能も使えるようにし、夜間や休日の連絡先と判断権限を決めておく。 |
| 流出の有無を後から判断できるよう、ログを残しておく | ファイルサーバーやプロキシ、DNS、FWのログを一定期間保存する。改ざん対策を施した別の場所へ集約し、外部へのデータ送信量を後から追跡できるようにする。 |
| 多数の外部関係者の情報を預かる組織は、連絡先情報の管理を見直す | 自治体・施設・指導員などの連絡先を保管する場所を棚卸しし、アクセス権限を最小化する。保管先を暗号化し、不要になったデータの削除ルールを定める。 |
| 届出と公表は、調査中でも段階的に行う | 警察と個人情報保護委員会への連絡手順、公表文のひな形、続報を出す基準を事前に決めておく。不明点は「調査中」と明記する。 |
自組織などでの確認項目
- 自組織のサーバーに原因不明の障害が起きたとき、不正アクセスの可能性を調べる手順と担当者は決まっているか。
- 対象サーバーを即日ネットワークから切り離す判断は、誰が、どの手順で行えるか。夜間や休日でも実行できるか。
- 自組織が保管している取引先・関係団体・担当者の連絡先は、どこに何件あるか。万一取得された場合、関係者へどう連絡するか。
未解明点
- マルウェアがどの経路でサーバーに入ったのか（侵入経路）は、まだ公表されていない。
- 影響を受けたサーバーの台数や範囲、障害の継続期間、システムの復旧時期は公表されていない。
- 外部流出の有無を確認するための調査の範囲と、結論が出る時期は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-30報道本文確認済
- 2ScanNetSecurity2026-05-15報道本文確認済