シーエーシー「Academic Support Navi」への不正アクセス（暗号資産マイニング目的、サービス停止は2025年12月25日から継続）
公表日
寄附金のWeb申請サービス「Academic Support Navi」のサーバーに、外部から不正なプログラムが設置されました。約1週間、仮想通貨の採掘に使われたとされ、個人情報の漏えいは確認されていません。
対象者は？
Academic Support Naviを使った3つのサイト(三和化学研究所の「SKK奨学寄附サポート助成申請フォーム」、JCRファーマの「JCR奨学寄附プログラム」、日本臓器製薬の奨学寄付サイト)の登録者・申請者です。対象となる人数はまだ発表されていません。見られる状態だったのは、氏名・メールアドレス・性別・生年月日・所属団体や機関の情報と、申請時に入力した情報(代表者・関係者の情報を含む)です。日本臓器製薬では、一部の申請者の所属団体・機関の金融機関口座情報も含まれます。
日本臓器製薬は、対象となった申請者に個別に連絡しているとしています。ご自身が対象かどうかは、利用したサイトの運営会社のお知らせを確認してください。
いますぐできること
- 三和化学研究所、JCRファーマ、日本臓器製薬、シーエーシーを名乗る、身に覚えのないメール・SMS・電話には注意してください。
- 上記3つのサイトを使ったことがある場合は、運営会社のお知らせを確認してください。
- 運営会社から個別の連絡が届いた場合は、その内容を確認してください。
何が起きたのか
2025年12月18日深夜から25日夕刻までの約1週間、シーエーシーが提供するAcademic Support NaviのWebサーバーに、外部から不正なプログラムが設置・実行されました。目的は、暗号資産のマイニング(仮想通貨の採掘)にサーバーの計算能力を使うことと推定されています。シーエーシーは12月25日夕刻に不審な動きに気づき、サービスを止め、外部との通信を遮断しました。その後、2026年1月5日、1月13日、2月12日に調査状況を発表しました。利用事業者3社には1月13日に報告があり、JCRファーマは3月19日、三和化学研究所は3月27日にお知らせを出しました。日本臓器製薬の公表日は確認できていません。
なぜ起きたのか・なぜ広がったのか
利用事業者の公表では、Academic Support Naviで使っている一部の部品(コンポーネント)の弱点(脆弱性)が悪用されたとされています。部品の名前や識別番号は公表されていません。外部の専門機関の調査では、第三者が管理者権限を不正に使っていたことも確認されたとされています。具体的な侵入経路は公表されていません。複数の事業者が同じサービスを使っていたため、3つの事業者のサイトが影響を受けました。
いまの状況2026-03-27 時点続報待ち
外部の専門機関は、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。をした人が一定期間、サービスの全ての情報を見られる状態だったと推定しています。一方で、個人情報や機密情報が漏れた可能性は極めて低いとも推定しています。漏えいや二次被害の事実は確認されていません。シーエーシーは、個人情報保護委員会とJISAに報告したとしています。三和化学研究所のサイトは2026年3月27日に再開されましたが、2026年5月末を目途に終了し、登録された個人情報を削除する予定とされています。日本臓器製薬は、安全性を確認できた時点でサービスを再開する予定としています。シーエーシー自身のサービス再開時期は、まだ発表されていません。
企業として考えたいこと
自社が使っているクラウドサービスや委託先で、同じような不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が起きたとき、いつ誰から連絡を受け、利用者への案内を誰がどう判断するか、決まっていますか。
技術的な要約
シーエーシーが提供する寄附金Web申請クラウドサービス「Academic Support Navi」のWebサーバーに、2025年12月18日深夜から25日夕刻までの約1週間、外部から不正プログラムが設置・実行され、暗号資産マイニングを主目的としたサーバーリソースの不正利用が行われた。同社は12月25日夕刻に不審な挙動を把握し、システム停止とネットワーク遮断を実施、2026年1月5日に第1報、1月13日に第2報、2月12日に第3報（フォレンジック調査結果）を公表した。利用事業者の公表（三和化学研究所、JCRファーマ、日本臓器製薬）では、一部コンポーネントの脆弱性が悪用されたとされ、不正アクセス者は一定期間、技術的に全情報へアクセス可能な状態だったと推定されるが、個人情報・機密情報の漏えいの可能性は極めて低いとされ、漏えいや二次被害の事実は確認されていない。同社は本件を「個人データの漏えいが生じたおそれがある事態」として個人情報保護委員会とJISAに報告した。三和化学研究所のサイトは2026年3月27日に再開されたが、日本臓器製薬は再開予定としており、事業者ごとに状況が異なる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認三和化学研究所・JCRファーマの公表では、「Academic Support Navi」で利用している一部のコンポーネントにおける脆弱性が悪用され、不正プログラムが設置・実行されたとされる。コンポーネント名・バージョン・CVEの記載はない。シーエーシーの第3報を伝える報道では「具体的な侵入経路は公表されていない」とされる。第2報では、外部専門機関の調査により第三者による管理者権限の不正使用が確認されたと説明されている。
- 脆弱性
- CVE 非公表公表で確認Academic Support Navi で利用している一部のコンポーネント（名称非公表）コンポーネント名・バージョン・CVE番号は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年12月25日にシーエーシーがサービスを停止。三和化学研究所の「SKK奨学寄附サポート助成申請フォーム」サイトは2026年3月27日に再開。日本臓器製薬は十分な安全性確認後にサービスを再開する予定としている。期間：2025年12月25日から（三和化学研究所のサイトは2026年3月27日に再開）
- データ
- おそれ上限 —確定 —氏名メール性別生年月日口座その他件数は公表されていない。アクセス可能となった情報は、アカウント登録者の氏名・メールアドレス・性別・生年月日・所属団体・機関の情報（名称、所属部署等、所在地、連絡先等）と、申請時の入力情報（申請者のほか代表者・関係者等の情報を含む）。日本臓器製薬の公表では、一部の申請者について所属団体・機関の金融機関口座情報も含まれる。不正アクセス者は一定期間、技術的に全情報へアクセス可能な状態だったと推定されるが、外部専門機関は漏えいの可能性は極めて低いと推定しており、漏えい・二次被害は確認されていない。core_daysは2025年12月25日の停止から2026年3月27日の三和化学研究所サイト再開までの日数（92日）。
- 波及先
- —
- 三和化学研究所（SKK奨学寄附サポート助成申請フォーム）
- JCRファーマ（JCR奨学寄附プログラム）
- 日本臓器製薬（奨学寄付サイト）
- 金銭影響
- —
- サプライチェーン
- シーエーシーが提供するクラウドサービスが侵害され、同サービスを利用する複数の事業者（三和化学研究所、JCRファーマ、日本臓器製薬）の申請者情報が影響範囲となった。三和化学研究所は本件が複数の利用事業者に共通する事象であると説明している。
時系列
- 2025-12-18
- 2025-12-25
- 2025-122025年中に、Academic Support Navi以外の同社サービスについても緊急点検を実施し、他サービスに不審なアクセスや異常な挙動は確認されなかったとしている。3
- 2026-01-05
- 2026-01-13
- 2026-01-13
- 2026-02-12
- 2026-03-19JCRファーマが「JCR奨学寄附プログラム」に関するお知らせを公表。漏えい・二次被害の事実はないことを確認しているとした。8
- 2026-03-27三和化学研究所が「SKK奨学寄附サポート助成申請フォーム」サイトに関するお知らせを公表し、安全性を確認したうえで同日サイトを再開した。7
- 2026-05三和化学研究所が、2026年5月末を目途にサイトを終了し、登録された全ての個人情報を削除する予定とした（公表時点の予定）。7
技術解説
公表された経過と不正利用の内容 事実
シーエーシーは2025年12月25日夕刻にAcademic Support Naviを構成するサーバーの不審な挙動を把握した。直ちにシステム停止と、当該サーバーへの外部からのアクセスおよび外部への通信の遮断を実施した。公表は2026年1月5日に第1報、1月13日に第2報、2月12日に第3報の順で行われた。第3報によると、2025年12月18日深夜から25日夕刻までの約1週間、Webサーバーに不正プログラムが設置・実行され、暗号資産マイニングを目的としたサーバーリソースの不正利用が行われた。利用事業者3社の公表では、不正アクセスの発生期間は12月18日〜25日、発覚日(シーエーシーから各社への報告日)は2026年1月13日とされている。
侵入に関して公表されている範囲 事実
三和化学研究所とJCRファーマの公表では、Academic Support Naviで利用している一部のコンポーネントの脆弱性が悪用された。その結果、サーバー資源(計算能力およびネットワーク帯域)の利用が目的と推定される不正プログラムが設置・実行されたとされる。コンポーネント名、バージョン、CVEは記載されていない。第2報を伝える報道では、外部専門機関の調査により第三者による管理者権限の不正使用が確認されたと説明されている。第3報を伝える報道は、具体的な侵入経路は公表されていないとしている。第3報では、主目的以外の具体的な活動の痕跡は確認されなかったとされる。
情報へのアクセス可能性と確認状況 事実
JCRファーマと日本臓器製薬の公表では、不正アクセス者は一定期間、技術的にサービスの全ての情報にアクセス可能な状態だったと推定されている。一方で外部専門機関は、個人情報・機密情報の漏えい等の可能性は極めて低いと推定している。三和化学研究所の公表も、漏えい等の可能性は極めて低いとしている。アクセス可能となった情報は、アカウント登録者の氏名・メールアドレス・性別・生年月日・所属団体・機関の情報と、申請時の入力情報(代表者・関係者等の情報を含む)である。日本臓器製薬の公表では、一部の申請者について所属団体・機関の金融機関口座情報も含まれる。3社とも、漏えいおよび二次被害の事実は確認されていないとしている。対象件数は、確認した公表には示されていない。
共通基盤で起きたことによる対応の分散(解釈) 解釈
本件はシーエーシーが提供する共通のクラウドサービスで起きた。三和化学研究所は、複数の利用事業者に共通する事象だと説明している。そのため、一つのサーバーでの事象について、利用事業者ごとに公表と対応が必要になったと考えられる。各社の発覚日は1月13日だが、確認できた公表はJCRファーマが3月19日、三和化学研究所が3月27日で、シーエーシーの第2報から2か月以上後である。再開状況も、三和化学研究所は3月27日に再開し、日本臓器製薬は再開予定としていて、事業者ごとに異なる。委託元が自社の安全性確認を経て判断する構造が、足並みの違いにつながった可能性がある。ただし各社の内部事情は公表されておらず、断定はできない。
「おそれ」と「確認なし」の併記をどう読むか(解釈) 解釈
本件の公表には、一見すると相反する二つの表現が並んでいる。一つは、不正アクセス者が技術的に全情報へアクセス可能だったと推定されるという点である。もう一つは、漏えいの可能性は極めて低く、漏えいや二次被害は確認されていないという点である。シーエーシーは本件を「個人データの漏洩が生じたおそれがある事態」として個人情報保護委員会とJISAに報告した。これは、確認された漏えいではなく、可能性を踏まえた報告だと読める。主目的がマイニングと推定され、参照や外部流出を目的とした活動の痕跡が確認されていない点は、安心材料になる。ただし、痕跡がないことは、ログなどの調査で確認できた範囲の結果である。対象者への影響は、件数や確認の根拠が公開されるまで、「おそれ」の段階として扱うのが妥当である。
対応
- 封じ込め
- 2025年12月25日夕刻に不審な挙動を把握し、直ちにサービス停止と、当該サーバーへの外部からのアクセスおよびサーバーから外部への通信の遮断を実施した。社内セキュリティチームと外部専門機関によるフォレンジック調査を実施し、他サービスの緊急点検も行った。外部専門機関の助言を得て再発防止策とサービス再開準備を進め、外部機関による安全性の診断・評価を経て体制が整い次第、再開時期を案内する方針とされた。日本臓器製薬は対象の申請者に個別連絡を行い、三和化学研究所・日本臓器製薬は不審な連絡（メール・SMS・電話等）への注意を呼びかけている。
- 公表の仕方
- シーエーシーは2026年1月5日に第1報、1月13日に第2報、2月12日に第3報を公表した。利用事業者は個別に公表しており、JCRファーマは2026年3月19日、三和化学研究所は3月27日に公表した。日本臓器製薬の公表日は出典から確認できない。
- 当局対応
- 個人情報保護委員会（個人情報保護法に基づく報告）
- 一般社団法人情報サービス産業協会（JISA、プライバシーマーク審査機関）への報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開サーバーで使うコンポーネントの脆弱性は、侵入の入口になる。構成部品を把握していないと、悪用が公表されても影響を判断できない。 | サービスごとにSBOMまたは依存コンポーネント一覧を自動生成して保管する。SCA/脆弱性スキャンを日次で実行し、重大度別のパッチ適用期限(例: 緊急は72時間以内)を運用ルールに定める。 |
| 今回の主目的はサーバー資源の不正利用だった。情報窃取を伴わない侵入でも、計算資源の異常として検知できる可能性がある。 | CPU使用率・ネットワーク帯域の持続的な上昇にしきい値アラートを設定する。サーバーからのアウトバウンド通信は許可リスト方式に絞り、不審なプロセス起動はEDRで検知・通知する。 |
| 第三者による管理者権限の不正使用が確認されたと説明されている。管理者権限は、侵入後の影響範囲を大きく左右する。 | 管理画面・管理用APIは送信元IP制限と多要素認証を必須にする。管理者操作ログを別アカウントのログ基盤へ転送して改ざんを防ぎ、管理者権限の付与は期限付きにする。 |
| 「全情報にアクセス可能だったが流出の痕跡は確認されていない」と説明するには、判断材料となるログが必要である。ログがなければ、「おそれ」の範囲を狭められない。 | アクセスログ・認証ログ・ネットワークフローログを、本番環境とは別の保管先に一定期間(例: 1年以上)保持する。フォレンジック調査に提出できる形式と手順を事前に決めておく。 |
| 共通基盤のサービスで事案が起きると、利用事業者ごとに公表と再開判断が必要になる。委託元との連絡と判断の手順を事前に決めておかないと、対応にずれが生じる。 | 委託契約にインシデント通知の期限(例: 検知後24時間以内に一次報告)と、報告に含める項目を定める。利用事業者向けの情報共有テンプレートと、共同公表・再開判断の手順を用意し、年1回は机上訓練を行う。 |
自組織などでの確認項目
- 自組織が公開しているサーバーやクラウドサービスで使っているコンポーネント(ライブラリ・ミドルウェア)を、バージョンまで一覧で把握できているか。重大な脆弱性が公表されたとき、何時間で影響有無を判定できるか。
- 自組織のサーバーで、CPU使用率や外向き通信量が通常より長時間高い状態が続いたとき、誰がいつ気づく仕組みになっているか。アラートの宛先と対応手順は決まっているか。
- 自組織の管理者アカウントとその操作ログは、多要素認証・送信元制限・外部保管で守られているか。「情報が外に出た痕跡はない」と説明するためのログは、必要な期間そろっているか。
- 委託先や利用しているクラウドサービスで事案が起きた場合、何日以内に連絡を受けられる契約になっているか。連絡を受けた後、自組織の利用者への通知や公表を誰が判断するか決まっているか。
未解明点
- 悪用された「一部のコンポーネント」の名称・バージョン・CVEは、公表されているか。
- 脆弱性の悪用と「管理者権限の不正使用」は、どう結びついていたのか。具体的な侵入経路は公表されていない。
- 対象となった申請者・アカウント登録者の件数は何件か。金融機関口座情報を含む申請者の人数も示されていない。
- 日本臓器製薬の公表日、およびシーエーシーのサービス再開時期と、日本臓器製薬サイトの再開日はいつか。
- Academic Support Naviを利用していた他の事業者はいたか。いた場合、各社の対応状況はどうか。
- シーエーシーの第1〜3報の原文は、今回の出典一覧に含まれていない。原文との照合は行われたのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-15報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-16報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-07報道本文確認済
- 4ScanNetSecurity2026-01-22報道本文確認済
- 5ScanNetSecurity2026-01-29報道本文確認済
- 6ScanNetSecurity2026-03-10報道本文確認済
- 7株式会社三和化学研究所 / 株式会社シーエーシー2026-03-27公式本文確認済
- 8JCRファーマ株式会社2026-03-19公式本文確認済
- 9日本臓器製薬公式本文確認済