インテグラルのホームページへの不正アクセス（不正ファイル設置によるリダイレクト、最大5,441件の個人情報漏えいのおそれ）
公表日
医療機器の輸入販売を行う株式会社インテグラルの運営するホームページ3サイトで、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。最大5,441件（延べ件数）の個人情報が漏えいしたおそれがあります。
対象者は？
同社が運営する3つのサイトで、お問い合わせフォームなどを通じて情報を預けた人が対象になる可能性があります。対象は最大5,441件（延べ件数）で、実際に流出が確認された件数は発表されていません。漏えいのおそれがあるのは、氏名、所属施設名、部署、職種、住所、電話番号、メールアドレスです。これ以外の項目については、渡された情報には書かれていません。
同社は、対象となる可能性がある人に個別に連絡したとしています。心当たりがある方は、同社からの連絡や同社の公表文を確認してください。
いますぐできること
- 同社から個別の連絡が届いていないか、メールや郵便を確認する。
- 身に覚えのないメールや電話、特に所属先や職種を知っているような連絡には、すぐに応じず、相手を別の方法で確かめる。
- 同じパスワードを他のサービスでも使い回している場合は、念のため変更する。
何が起きたのか
2026年1月23日、インテグラルは自社のホームページを開くと、関係のない不適切なサイトに移動してしまう状態になっていることに気づきました。調べると、サーバーに不正なファイルが置かれていました。同社はすぐにサイトを閉じ、不正なファイルを消して、仮の復旧を行いました。1月26日に個人情報保護委員会へ報告し、1月30日に第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。として公表しました。4月17日の最終報告では、専門業者の調査で、1月中旬より前から不正なプログラムが置かれ、一定の期間、外部から操作されていたことが分かったと説明しました。
なぜ起きたのか・なぜ広がったのか
最初の公表では、侵入された経路や原因は「調査中」とされました。最終報告でも、侵入の経路や原因については、渡された情報には書かれていません。最終報告では、情報が外に出された記録は確認されなかった一方で、不正プログラムが動いた記録は残っていたため、漏えいの可能性を完全には否定できないと説明されています。
いまの状況2026-05-08 時点
2026年5月8日時点の報道によると、同社は4月17日に最終報告を出し、専門業者による調査は4月に終わっています。対象となる可能性がある人への個別連絡と、パスワードリセットなどの強化策は実施済みで、今後は定期的に脆弱性診断（システムの弱点の点検）を行う方針です。実際に情報が外に出たと確認された件数、お詫びや補償については、まだ発表されていません。
企業として考えたいこと
自社のホームページや問い合わせフォームに預かっている個人情報は、いまどこに、どれくらいの期間残っていて、サイトが改ざんされたときにそれを後から追跡できるだけの記録がありますか。
技術的な要約
医療機器の輸入販売を行う株式会社インテグラルは、2026年1月23日に同社ホームページが不適切なサイトへリダイレクトされている事象を確認し、1月30日に第三者による不正アクセスとして公表した。調査でサーバー上に不正なファイルが設置されていたことが判明し、同社は確認後ただちにサイトを閉鎖して不正ファイルの削除と暫定復旧を行った。運営する3サイト合計で最大5,441件（延べ件数）の個人情報（氏名、所属施設名、部署、職種、住所、電話番号、メールアドレス）に漏えいのおそれがあるとされた。2026年4月17日の最終報告では、専門業者の調査により1月中旬以前から不正プログラムが設置され一定期間外部から操作されていたこと、漏えい成功の記録は確認されないものの実行記録が残るため可能性を完全には否定できないことが示された。同社は対象となる可能性がある人へ個別に連絡し、パスワードリセットなどを実施済みで、今後は定期的な脆弱性診断を行う方針である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第1報では侵入経路・原因は「現在調査中」とされた。最終報告までに判明した内容は、サーバー上に不正なファイル／プログラムが設置され外部から操作されていたことで、侵入経路は出典に記載がない。
- 脆弱性
- CVE 非公表不明侵入経路・原因は第1報で「現在調査中」とされ、脆弱性の有無・製品名・CVEは出典上確認できない。最終報告では定期的な脆弱性診断を行う方針が示された。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 事象確認後ただちにサイトを閉鎖し、不正ファイルの削除と暫定的な復旧作業を実施した。閉鎖期間の長さは出典に記載がない。
- データ
- おそれ上限 5,441確定 —件氏名住所電話メールその他対象は運営する3サイトの合計で最大5,441件（延べ件数）。項目は氏名、所属施設名、部署、職種、住所、電話番号、メールアドレス（所属施設名・部署・職種は「その他」）。最終報告では漏えい成功の記録は確認されなかったが、不正プログラムの実行記録が残るため漏えいの可能性を完全には否定できないとされた。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
確認から最終報告までの経過 事実
2026年1月23日、インテグラルは同社ホームページが不適切なサイトへリダイレクトされている事象を確認した。調査でサーバー上に不正なファイルが設置され、リダイレクトが発生していたことが判明し、同社は確認後ただちにサイトを閉鎖して、同日に不正ファイルの削除と暫定的な復旧作業を行った。1月26日に個人情報保護委員会へ報告し、1月30日に第三者による不正アクセスとして第1報を公表した。この時点で侵入経路・原因は「現在調査中」とされ、専門業者による原因調査が進められていた。フォレンジック調査は2026年4月に完了し、4月17日に最終報告が公表された。
漏えいのおそれがある情報と件数の位置づけ 事実
第1報では、サーバー内に保存されていた個人情報に漏えいのおそれがあると判断され、対象は運営する3サイトの合計で最大5,441件（延べ件数）とされた。項目は氏名、所属施設名、部署、職種、住所、電話番号、メールアドレスである。最終報告では、対象はお問い合わせフォームなどを通じて同社が預かっていた個人情報とされた。専門業者の調査では、2026年1月中旬以前から不正なプログラムが設置され、一定期間にわたり外部から操作されていたことが判明したという。情報漏えいが成功した記録は確認されなかったが、不正プログラムの実行記録は残っていたため、同社は漏えいの可能性を完全には否定できないと判断している。流出が確定した件数は、渡された出典には示されていない。
検知の契機と調査結果の読み方 解釈
リダイレクトという閲覧者にも見える症状が検知の契機になったと読める。一方、最終報告では設置時期が1月中旬以前とされており、設置から確認までに一定の間があった可能性がある。ただし侵入経路や外部操作の具体的な期間は出典にないため、その長さは判断できない。また「漏えい成功の記録は未確認だが、実行記録は残る」という説明は、ログから言える範囲と言えない範囲を区別して示したものと受け取れる。件数は上限（最大5,441件）で、実際に外部へ出た件数とは別の数字として扱うのが適切である。第1報から最終報告まで約2.5か月で、原因調査の結果を改めて公表した点は、続報を約束した第1報の内容に沿っている。
情報の性質から考えられる二次的な影響 解釈
漏えいのおそれがある項目には、氏名や連絡先に加えて所属施設名・部署・職種が含まれる。これらが仮に外部へ渡った場合、業務上の連絡を装ったメールや電話に使われやすい種類の情報であると考えられる。ただし、二次被害の発生は出典では報告されておらず、これはあくまで一般的なリスクの整理である。また、最終報告で示されたパスワードリセットなどの強化策が、どの範囲のアカウントを対象にしたかは出典から読み取れない。お問い合わせフォーム経由の情報が中心であるため、利用者側のログイン情報の扱いについては、同社の公表文の確認が必要である。個別連絡を受けた人は、その案内を優先して確認するのが望ましい。
対応
- 封じ込め
- 事象確認後ただちにサイトを閉鎖し、同日に不正ファイルの削除と暫定的な復旧作業を実施。最終報告までに各サイトの閉鎖と復旧を実施し、パスワードリセットなどのセキュリティ強化策を実施済み。
- 公表の仕方
- 2026年1月30日に第1報を公表（原因調査中、最大5,441件のおそれ）。2026年4月17日に最終報告を公表し、1月中旬以前から不正プログラムが設置され外部から操作されていたこと、漏えい成功の記録は未確認だが可能性は否定できないことを説明。対象となる可能性がある人へ個別に連絡を行ったとしている。今後は定期的な脆弱性診断を行い再発防止に努める方針。
- 当局対応
- 個人情報保護委員会（2026年1月26日に報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 見た目の異常（不審なリダイレクト）は侵害の最終症状であり、設置はそれ以前に起きている可能性がある | サイト閉鎖・ファイル削除の前にディスクイメージとアクセスログを保全する。Webルート配下のファイルをハッシュ化して定期的に差分監視（ファイル改ざん検知）し、更新日時が不自然に新しいファイルや .htaccess の変更を通知する。 |
| 実行記録が残る一方で漏えい成功の記録が無い場合、漏えいの可能性は否定しきれない | Webサーバー・アプリ・DB・送信側のアクセスログとプロキシ／FWの外向きログを最低でも1年相当保存し、時刻同期（NTP）を揃える。不正プログラムの実行時刻とデータ参照・外部送信を突き合わせられる状態にしておく。 |
| 問い合わせフォーム等のサーバー内に個人情報が蓄積していると、被害対象が広がる | フォーム送信内容をWebサーバー上に長期保存せず、受付後は社内の別環境へ転送して公開サーバーからは削除する。保存が必要な場合は保持期限を決め、暗号化して公開領域の外に置く。 |
| 複数サイトを運営していると、同種の不正ファイルが他サイトにも及ぶ恐れがある | サイトごとにアカウント・ディレクトリ権限を分離し、Web実行ユーザーの書き込み権限を必要最小限にする。CMS・プラグインの棚卸しとバージョン管理を行い、公開前と四半期ごとに脆弱性診断を実施する。 |
| 原因が未確定の段階でも、第1報で範囲の上限と今後の予定を示すことが利用者の判断に役立つ | インシデント対応手順に、上限件数の算出方法、個人情報保護委員会への報告期限、続報の目安時期、問い合わせ窓口を事前にテンプレート化しておき、初動の数日内に第1報を出せるようにする。 |
自組織などでの確認項目
- 自組織の公開サイトのWebルート配下で、直近のファイル追加・改変を検知する仕組み（ハッシュ比較やEDRのアラート）は動いているか。通知先は誰か。
- 問い合わせフォームなどで受け付けた個人情報は、公開サーバー上にどれくらいの期間、どの形式で残っているか。不要なものを削除する運用は定着しているか。
- 不正プログラムの実行時刻とデータの参照・外部送信を突き合わせられるだけのログを、どの期間・どの場所に保存しているか。実際に過去の日付で追跡できるか試したことはあるか。
- 運営する複数のサイトについて、CMS・プラグイン・サーバー設定の一覧と最終診断日を即座に出せるか。委託先が管理するサイトも含まれているか。
未解明点
- 侵入経路と原因（脆弱性の有無、製品名、認証情報の流用など）は、渡された出典では示されていない。
- 一定期間の外部操作が具体的にいつからいつまでだったかは示されていない。
- 最大5,441件（延べ件数）のうち、実際に外部へ出た件数と、重複を除いた実人数は示されていない。
- サイト閉鎖の期間と、3サイトそれぞれの復旧時期は示されていない。
- パスワードリセットなどの強化策が、どの範囲のアカウント・システムを対象にしたかは示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-02報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-21報道本文確認済
- 3ScanNetSecurity2026-05-08報道本文確認済