アジア学院ウェブサイトへの不正アクセス（CI/CDツールの脆弱性悪用・マルウェア感染、決済機能が一時停止）
公表日
学校法人アジア学院のウェブサイトを運用するサーバーに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、2026年1月27日にサーバーが緊急停止された。一部ページと決済機能が使えなくなったが、2月4日付で再開が告知された。
対象者は？
アジア学院のウェブサイトや決済機能を利用しようとした方が、サービス停止の影響を受けた。情報が外部に出たかどうかや、対象となる人の数や情報の種類は、確認できた情報には書かれていない。
アジア学院の公式サイトのお知らせ欄で、2月2日付のお詫びとご報告、2月4日付の復旧のお知らせを確認できる。
いますぐできること
- アジア学院の公式サイトのお知らせで、最新の案内を確認する。
- 停止中に決済の手続きをしていて不安がある場合は、公式サイトに載っている窓口に問い合わせる。
何が起きたのか
1月27日、アジア学院が運用する一部のWebサーバーで、サイトの運用に使うシステム（CI/CDツール）の弱点を突いた不審な動きが確認されたと報じられた。同校は安全を優先して、そのサーバーを緊急停止した。2月2日付で、外部からの不正なアクセスがあったとするお詫びとご報告を公表した。サイトにつながりにくくなり、一部ページと決済機能が使えない状態になった。2月4日付で、ウェブサイトと決済機能の再開を知らせるお知らせが掲載された。
なぜ起きたのか・なぜ広がったのか
公式には「システム脆弱性を突いたマルウェア感染パソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。など」と書かれている。報道では、サイトの運用システム（CI/CDツール）に元からあった弱点が使われたとされている。どの製品か、どのように入られたかは、まだ発表されていません。
いまの状況2026-02-19 時点続報待ち
2月4日付でウェブサイトと決済機能の再開が告知された。情報流出の有無や件数、再発防止策については、まだ発表されていません。
企業として考えたいこと
自社のサイトを更新したり運用したりする仕組み（自動化ツールなど）は、インターネットから見える場所にあるか、最新の状態に保たれているか、異常時に誰がすぐ止められるかを説明できますか。
技術的な要約
学校法人アジア学院は2026年2月2日付で、同校が運用する一部のWebサーバーに外部から不正アクセス（システム脆弱性を突いたマルウェア感染など）があったと公表した。報道によれば、1月27日にサイトの運用システム（CI/CDツール）に内在する脆弱性を悪用した不正な挙動を確認し、安全確保を最優先として当該サーバを緊急停止した。ウェブサイトのアクセスが不安定となり、一部ページと決済機能が利用できない状況となった。2月4日付で「ウェブサイトおよび決済機能の再開について」と題する復旧のお知らせが掲載された。情報流出の有無や件数は、提供された情報からは確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者公式は「外部からの不正なアクセス（システム脆弱性を突いたマルウェア感染など）」と記載。報道では、サイトの運用システム（CI/CDツール）に内在する脆弱性を悪用した不正な挙動を1月27日に確認したとされる。具体的な製品名・CVEは提供された情報にない。
- 脆弱性
- CVE 非公表報道・研究者CI/CDツール（製品名非公表）報道によれば、サイトの運用システム（CI/CDツール）に内在する脆弱性が悪用された。製品名・CVEは不明。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ウェブサイトへのアクセスが不安定となり、一部ページおよび決済機能が利用できない状況となった。当該サーバは緊急停止された。2月4日付で復旧（ウェブサイトおよび決済機能の再開）のお知らせが掲載された。期間：1月27日のサーバ緊急停止から、2月4日付の再開のお知らせまで
- データ
- 調査中上限 —確定 —提供された情報には、情報流出の有無・件数に関する記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-01-27同校が運用する一部のWebサーバで、運用システム（CI/CDツール）に内在する脆弱性を悪用した不正な挙動を確認（報道）。2
- 2026-01-27安全確保を最優先として当該サーバを緊急停止（報道）。2
- 2026-02-02アジア学院が、システム障害および一部サービス停止に関するお詫びとご報告を掲載。外部からの不正アクセス（システム脆弱性を突いたマルウェア感染など）に言及。1
- 2026-02-02報道各社に対し、ウェブサイトへの不正アクセスによるマルウェア感染について発表したと報じられた。2
- 2026-02-04ウェブサイトへのアクセスが不安定となり、一部ページおよび決済機能が利用できない状況が公式のお知らせに記載された。1
- 2026-02-04「【復旧】ウェブサイトおよび決済機能の再開について」と題するお知らせを掲載。1
技術解説
公表された内容の整理 事実
アジア学院は2026年2月2日付で、同校が運用する一部のWebサーバーにおいて、外部からの不正なアクセス（システム脆弱性を突いたマルウェア感染など）があったとして、システム障害および一部サービス停止に関するお詫びとご報告を掲載した。報道によれば、1月27日に一部のWebサーバで、サイトの運用システム（CI/CDツール）に内在する脆弱性を悪用した不正な挙動が確認された。同校は安全確保を最優先として、当該サーバを緊急停止したと伝えられている。なお、製品名やCVE番号、侵入経路の詳細は、確認できた情報には含まれていない。
サービスへの影響と復旧の告知 事実
公式のお知らせには、ウェブサイトへのアクセスが不安定な状態となり、一部ページおよび決済機能がご利用いただけない状況になったと記載されている。その後、2026年2月4日付で「【復旧】ウェブサイトおよび決済機能の再開について」と題するお知らせが掲載された。一方、確認できた公式の見出しや抜粋、報道のいずれにも、情報流出の有無、件数、対象となる情報の種類に関する記載は見当たらない。被害額や影響を受けた利用者数も示されていない。このため、流出があったとも、なかったとも、これらの情報からは判断できない。
CI/CDツールの脆弱性が持つ意味（解釈） 解釈
CI/CDツールは、サイトの更新やデプロイを自動化する仕組みである。サーバ上で高い権限を持ち、公開側のシステムと密接につながることが多い。そのため、ここに脆弱性があると、外部からの不正な操作がサイト本体の改ざんやマルウェア設置につながり得る。今回の事案もこうした構造に当てはまる可能性があるが、具体的な製品や悪用された手順は公表されておらず、あくまで一般論としての見方にとどまる。公開サーバの脆弱性悪用という分類も、報道ベースの情報に基づく暫定的なものである。
対応と公表の評価（解釈） 解釈
検知が確認された1月27日に、安全確保を優先してサーバを緊急停止し、2月2日にお詫びとご報告を、2月4日に復旧のお知らせを掲載したという流れは、報道と公式見出しから読み取れる。停止を先に判断し、復旧時に告知した点は、被害拡大を抑える姿勢がうかがえる対応と受け取れる。ただし、公開されている情報は見出しと抜粋、報道1件に限られる。原因の特定状況、データへの影響調査の結果、再発防止策などは確認できないため、公表全体の十分性を評価するのは時期尚早である。
対応
- 封じ込め
- 安全確保を最優先として、当該サーバを緊急停止した（報道）。その後、2026年2月4日付でウェブサイトおよび決済機能の再開を告知した。
- 公表の仕方
- 2026年2月2日付でお詫びとご報告を公式サイトに掲載し、2月4日付で復旧のお知らせを掲載した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 自動化・運用基盤（CI/CD）も公開サーバと同等の攻撃対象になる | CI/CDツールを資産台帳に載せ、バージョンを管理する。管理画面や実行ノードを社内ネットワークやVPN、IP制限の内側に置き、インターネットから直接到達できないようにする。 |
| 運用ツールの脆弱性情報を素早く把握し適用する体制が必要 | 利用製品のセキュリティ通知（ベンダーのアドバイザリやJVN）を購読する。重大度の高い修正は一定日数以内に適用するSLAを定め、適用状況を定期的に棚卸しする。 |
| 異常を検知したら先にサーバを止める判断基準を用意しておく | 不正な挙動を検知した際の隔離手順（ネットワーク遮断、スナップショット取得、停止の承認者）をランブックに書く。年に1回は停止と復旧の訓練を行う。 |
| 決済など利用者に直結する機能は影響範囲を切り分けて設計する | 決済機能をサイト本体と分離したネットワーク・権限に置く。外部の決済サービスを使う場合も、停止時の代替案内ページと連絡手段を事前に用意する。 |
| データへの影響の有無は調査結果とともに明確に伝える | サーバのアクセスログやCI/CDの実行ログを十分な期間保管する。調査後に、流出有無・対象範囲・調査状況を利用者向けに公表するテンプレートを準備する。 |
自組織などでの確認項目
- 自組織で使っているCI/CDツールやデプロイ用ツールの一覧と、それぞれのバージョン・公開状況（インターネットから到達できるか）を把握していますか。
- 公開Webサーバで不審な挙動を検知したとき、誰が停止を判断し、何分以内に隔離できるか、手順として文書化されていますか。
- サイトの決済機能が止まった場合、利用者へ何で知らせるか（代替ページ、問い合わせ窓口）と、データ影響の有無を確認するためのログが残っているかを確認していますか。
未解明点
- 悪用されたCI/CDツールの製品名・バージョン・CVEは何か。
- 情報流出や改ざんの有無、対象となった情報の種類と件数はどうか。
- 侵入の日時と、1月27日に確認された不正な挙動に至るまでの経緯はどうか。
- 再発防止策や調査の最終結果は公表されるのか。
出典
- 1学校法人アジア学院2026-02-18公式本文確認済
- 2ScanNetSecurity2026-02-19報道本文確認済