ConoHa WING byGMOへの不正アクセス（426アカウントのWebサーバー領域に不正プログラム設置）
公表日
レンタルサーバー「ConoHa WING byGMO」で、第三者の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により426アカウントのWebサーバー領域に不正なプログラムが設置されました。会員情報や支払い情報には漏えいはないと説明されています。
対象者は？
不正プログラムが設置された426アカウントの利用者。対象の利用者には、契約情報に登録されたメールアドレス宛に個別連絡が届いています。個別連絡がない利用者は影響対象ではないと説明されています。影響が及んだ情報は、利用者のWebサーバー領域に保存されたデータです。会員情報・契約情報・支払い情報などは別の環境で管理されており、漏えいはないと説明されています。ただし、Webサーバー領域のデータが見られたり持ち出されたりしたかは、まだ発表されていません。
契約情報に登録したメールアドレスの受信箱（迷惑メールフォルダも含む）に、ConoHa WINGからの個別連絡があるかを確認してください。個別連絡がなければ、影響対象ではないと説明されています。
いますぐできること
- 契約情報のメールアドレス宛にConoHa WINGからの個別連絡が届いていないか確認する。
- 連絡が届いた場合は、Webサーバー領域のファイルの改変、不審な管理者アカウント、ログイン履歴、設定ファイルに保存した認証情報やAPIキーを確認し、影響を否定できないものは再発行する。
- 本件に便乗したフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールに注意する。同社はメールでパスワードやクレジットカード情報を尋ねることはないとしている。
何が起きたのか
ConoHa WINGの一部のサーバーで、9月3日に第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が始まり、利用者のWebサーバー領域に不正なプログラムが設置されました。同社は9月16日に気づいて調べ始め、9月18日に原因と影響範囲を特定して不正なプログラムを取り除きました。9月20日に公表し、対象は426アカウントとされています。対象の利用者にはメールで個別に連絡されました。
なぜ起きたのか・なぜ広がったのか
侵入に使われた方法や、悪用された弱点があったのかは、まだ発表されていません。不正プログラムの種類もまだ発表されていません。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の開始から気づくまでに13日間あったことは公表されています。
いまの状況2026-09-24 時点続報待ち
2026-09-24時点で確認できる報道では、不正プログラムは取り除かれ、会員情報や支払い情報には漏えいがないと説明されています。侵入経路、不正プログラムの種類、Webサーバー領域のデータが持ち出されたかは、まだ発表されていません。同社は、新たに公表すべき事実が分かれば速やかに知らせるとしています。問い合わせはお客様センターで受け付けており、集中時は返答に時間がかかることがあります。
企業として考えたいこと
自社のサイトを共有型のレンタルサーバーで運用している場合、サーバー事業者から通知が届いたとき、そのサーバー領域に何を保存しているかをすぐに洗い出せますか。
技術的な要約
GMOインターネットのレンタルサーバー「ConoHa WING byGMO」は2026年9月20日、一部の収容ホスト（Webサーバ）で第三者による不正アクセスがあり、一部利用者のWebサーバー領域に不正なプログラムが設置されたと公表した。不正アクセスと設置は9月3日に始まり、同社は9月16日に検知し、9月18日に原因と影響範囲を特定して不正プログラムを排除した。対象は426アカウントで、影響が及んだ情報は利用者のWebサーバー領域に保存されたデータとされる。会員情報・契約情報・支払い情報などは別環境で管理されており漏えいはないと説明されている。侵入経路、悪用された脆弱性、不正プログラムの種類、Webサーバー領域のデータの閲覧・持ち出しの有無は第一報の段階で公表されておらず、同社は新たに公表すべき事実が判明すれば速やかに知らせるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明具体的な侵入経路は公表されていない。第三者による不正アクセスが一部の収容ホスト（Webサーバ）で発生し、一部利用者のWebサーバー領域に不正なプログラムが設置されたとされる。
- 脆弱性
- CVE 非公表不明悪用された脆弱性は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 本件による業務停止の記載は確認できない。別告知として、一部収容ホストでDB接続不可の障害があり9月18日に復旧したと公表されているが、不正アクセスとの関連は説明されていない。
- データ
- 調査中上限 426確定 —アカウントその他対象は426アカウントで、影響が及んだ情報は利用者のWebサーバー領域に保存されたデータ。同領域のデータの閲覧・取得や外部持ち出しの有無は第一報の段階で明らかにされていない。会員情報・契約情報・支払い情報などは別環境で管理され、漏えいはないと説明されている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-09-03
- 2026-09-16
- 2026-09-16 14:35
- 2026-09-18
- 2026-09-18 01:55DB接続不可の障害が復旧した。1
- 2026-09-20 00:25
- 2026-09-20
- 2026-09-20
- 2026-09-24
技術解説
公表された経過と対象 事実
ConoHa WING byGMOは2026年9月20日、一部の収容ホスト（Webサーバ）で第三者による不正アクセスがあり、一部利用者のWebサーバ領域に不正なプログラムが設置されたと公表した。報道によれば、不正アクセスと設置は9月3日に始まり、同社は9月16日に検知して調査を開始、9月18日に原因と影響範囲を特定して不正プログラムを排除した。発表文は9月20日0時25分時点の情報とされる。対象は426アカウントで、影響が及んだ情報として挙げられているのは利用者のWebサーバ領域に保存されたデータである。侵入開始から検知までは13日間あった。なお、ここでの記述は報道を通じた内容で、公式発表文そのものは今回の出典に含まれていない。
漏えいの説明と未公表の事項 事実
会員情報、契約情報、支払い情報などの個人情報は対象の収容ホストとは別の環境で管理されており、漏えいはないと説明されている。一方、Webサーバ領域のデータについて、第三者による閲覧・取得や外部への持ち出しがあったかは第一報の段階では明らかにされていない。具体的な侵入経路、悪用された脆弱性、不正プログラムの種類や働きも公表されていない。対象利用者には契約情報として登録されたメールアドレス宛に個別連絡が送られ、連絡がない利用者は影響対象ではないとされる。同社は便乗フィッシングへの注意を呼びかけ、新たに公表すべき事実が判明すれば速やかに知らせるとしている。
同じ週に告知された別の障害 事実
同じ週に、ConoHa WINGの一部収容ホストでDBに接続できない障害が公表されている。報道によって、発生を9月16日14時35分ごろとするものと、9月17日とするものがあり、復旧は9月18日1時55分ごろとされる。いずれの報道でも、この障害は不正アクセスとは別の告知として扱われており、両者の関連は説明されていない。そのため、本件の原因や影響と結びつけて理解できる材料は現時点でない。また、本件による業務停止についての記載は確認できていない。発生日の記載が報道間で異なる点も、公式の告知で確認する必要がある。
「漏えいなし」の範囲をどう読むか 解釈
公表では、会員情報・契約情報・支払い情報などは別環境にあり漏えいはないとされる一方、Webサーバ領域のデータの閲覧・持ち出しの有無は第一報時点で示されていない。つまり「漏えいなし」の説明が及ぶ範囲と、利用者が実際に保存していたデータの扱いは分けて読む必要があると考えられる。Webサーバ領域には、利用者ごとにCMSの設定、スクリプト、認証情報、顧客データなど様々なものが置かれうるため、影響の大きさは各利用者の使い方に左右される可能性がある。これは出典から直接言える事実ではなく、一般的な構成を踏まえた読み方である。
検知までの13日間と利用者側の確認 解釈
侵入開始から検知まで13日間あったことは、その間に設置されたプログラムが動作しうる期間があったことを意味しうる。ただし、実際に何が行われたかは公表されておらず、断定はできない。報道では、事業者側で不正プログラムが削除されたことだけで対応を終えず、CMS・PHPスクリプトの改変、SSH/FTP/SFTPの認証履歴、設定ファイル内の認証情報、APIキー、バックアップとの差分、CMS管理者アカウントの追加などを確認するよう勧めている。持ち出しの有無が未公表である間は、利用者側で影響を否定できる材料を自ら集める運用が現実的だと考えられる。
対応
- 封じ込め
- 9月18日までに原因と影響範囲を特定し、不正プログラムを排除した。対象利用者には契約情報のメールアドレス宛に個別連絡を実施した。
- 公表の仕方
- 2026年9月20日に第一報を公表（0時25分時点の情報）。便乗フィッシングへの注意喚起、お客様センターの窓口案内を行い、新たに公表すべき事実が判明すれば速やかに知らせるとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共有ホスティングでは、事業者側の排除完了だけでは利用者側の安全確認が終わらない | 事業者から通知を受けたら、Webサーバ領域の全ファイルをバックアップ・既知の正常版と差分比較（diff/ハッシュ照合）し、改変されたPHP・スクリプトや見覚えのない管理者アカウントがないか確認する。 |
| Webサーバ領域に置いた認証情報は、閲覧された可能性を前提に扱う必要がある | .envや設定ファイル、APIキーを洗い出し、対象期間（9月3日〜18日）の利用ログを確認する。影響を否定できないものは失効・再発行し、今後はシークレット管理サービスに移して公開領域に平文で置かない。 |
| 侵入から検知まで13日間あり、検知の早さが影響期間を左右する | 収容ホストやサーバ上のファイル整合性監視（AIDE/Tripwire等）と、Webルート配下への新規ファイル作成のアラートを設定し、検知までの時間を計測して短縮目標を持つ。 |
| 個人情報などの重要データを別環境に分離する設計は、被害範囲の限定に働く | 会員・決済系と顧客コンテンツ系のネットワーク・認証基盤を分離し、ホスト間の経路をACLで最小化する。分離が効いているかを定期的に侵入テストで確認する。 |
| 便乗フィッシングは公表直後に増えやすいため、利用者への周知が重要 | 自社ドメインにSPF/DKIM/DMARC（p=reject）を設定し、通知メールには本文中のログイン用リンクを載せず公式サイトの掲載経由で案内する運用を決めておく。 |
自組織などでの確認項目
- 自組織が共有レンタルサーバーを使っている場合、Webサーバ領域にどんな認証情報やAPIキーが置かれているか、一覧を作れるか。
- 事業者から不正アクセスの通知が届いたとき、対象期間のSSH/FTP/SFTPや管理画面のログを自組織で確認できるか。ログの保存期間は足りているか。
- Webルート配下のファイル改変や新規管理者アカウントの追加を、何日以内に自組織で気づける仕組みがあるか。
- 通知メールの宛先（契約情報のメールアドレス）が、今も担当者に届く状態になっているか。
未解明点
- 具体的な侵入経路と、悪用された脆弱性があったのか（製品名・CVE）はどうだったのか。
- 設置された不正プログラムの種類と働きは何か。
- Webサーバ領域のデータが第三者に閲覧・取得・持ち出しされたのか。
- 426アカウントはどのような基準で特定されたのか。収容ホストのうち何台が対象だったのか。
- 9月16日ごろのDB接続障害は、本件の不正アクセスと関連があったのか。
- 公式の発表文と、その後の続報の内容はどうなっているのか（今回の出典には公式発表文が含まれていない）。
出典
- 1Innovatopia2026-09-24報道本文確認済
- 2GMOインターネット株式会社2026-05-26公式本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-20報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-24報道本文確認済
- 5Hosting News (vpsranking.com)2026-09-20報道本文確認済