コスミックコーポレーションのコーポレートサイトへの不正アクセス（高負荷によるサイト断続停止）
公表日
株式会社コスミックコーポレーションの会社紹介のサイト（コーポレートサイト）が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、2025年12月6日から10日にかけてサイトがときどき止まりました。情報漏えいの有無や件数は、まだ発表されていません。
何が起きたのか
2025年12月6日から10日にかけて、同社のコーポレートサイトに急に大きな負荷がかかり、サイトがときどき止まりました。同社は安全のために問題のWebサーバを止め、対策をした別のWebサイトに切り替えて、原因と影響の範囲を調べました。12月17日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を発表し、2026年1月30日に調査結果を発表しました。
なぜ起きたのか・なぜ広がったのか
調査結果を伝えた報道は、見出しで「フレームワーク（サイトを作るための土台となるソフトウェア）の脆弱性によりシステム内に侵入」としています。どの製品のどの弱点だったかは、まだ発表されていません。侵入された日もまだ発表されていません。
いまの状況2026-01-30 時点続報待ち
同社は対策をしたWebサイトに切り替えています。2026年1月30日に調査結果を発表しました。情報漏えいがあったかどうか、再発防止策の詳しい内容は、まだ発表されていません。
企業として考えたいこと
自社のホームページが使っているソフトウェアの種類と版を把握していて、サイトが急に重くなったときに「攻撃かもしれない」と調べる担当と手順が決まっていますか。
技術的な要約
株式会社コスミックコーポレーションは2025年12月17日、同社コーポレートサイトへの不正アクセスを発表した。2025年12月6日から10日にかけてサイトの負荷が急激に高まり、サイトが断続的に停止した。同社は安全確保のため該当Webサーバを停止し、対策済みのWebサイトに切り替えて原因と影響範囲を調査した。2026年1月30日の調査結果の発表について、報道は見出しで「フレームワークの脆弱性によりシステム内に侵入」と伝えているが、本文には製品名やCVEの記載はない。情報漏えいの有無や件数は、渡された情報からは確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者報道の見出しは「フレームワークの脆弱性によりシステム内に侵入」としている。本文には製品名・CVE等の詳細の記載はない。
- 脆弱性
- CVE 非公表報道・研究者報道見出しでフレームワークの脆弱性とされるが、フレームワーク名・CVEは出典本文に記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年12月6日から10日にかけてコーポレートサイトの負荷が急激に高まり、サイトが断続的に停止した。同社は該当Webサーバを停止し、対策済みのWebサイトに切り替えた。期間：2025年12月6日〜10日（断続的）
- データ
- 調査中上限 —確定 —渡された情報には情報漏えいの有無・件数・種類の記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表されている経緯と対応 事実
株式会社コスミックコーポレーションは2025年12月17日、同社コーポレートサイトへの不正アクセスについて発表した。報道によると、2025年12月6日から10日にかけてコーポレートサイトの負荷が急激に高まり、サイトが断続的に停止した。同社は安全確保のため該当するWebサーバを停止し、対策済みのWebサイトに切り替えたうえで、原因と影響範囲の調査を進めた。2026年1月30日には、12月17日に公表した不正アクセスの調査結果を発表した。この調査結果を伝えた2026年2月17日の報道は、見出しで「フレームワークの脆弱性によりシステム内に侵入」としている。ただし、記事本文にはフレームワークの製品名、バージョン、CVEなどの記載はない。侵入日、検知日、情報漏えいの有無と件数、当局への報告についても、渡された情報には記載がない。
高負荷という兆候と侵入の関係 解釈
この事案は、外から見えた症状が「サイトの負荷が急に上がり、断続的に止まった」ことだった点に特徴がある。一般に、Webサイトの高負荷は大量アクセスや設定の不具合として扱われやすく、不正アクセスの兆候と結び付けられるまでに時間がかかることがある。侵入後に不正なプログラムが動いた場合や、脆弱性を狙った大量のリクエストを受けた場合にも、同じように負荷が上がることが考えられる。ただし、本件で負荷の原因が侵入そのものだったのか、侵入後の活動だったのかは公表情報からは分からない。12月6日は負荷が上がり始めた日で、侵入日と同じとは確認できない。性能の監視で異常が出たときに、セキュリティ担当へ自動で回して調べる流れがあるかどうかが、似たような事案で検知を早めるポイントになると考えられる。
フレームワークの脆弱性とコーポレートサイトの管理 解釈
報道の見出しどおりフレームワークの脆弱性が侵入経路だとすれば、自社で書いたコードの不具合ではなく、サイトの土台となるソフトウェア部品の欠陥が狙われたことになる。コーポレートサイトは会社の顔である一方、通販サイトなどと比べて更新や脆弱性管理の優先度が下がりがちで、制作を外部に任せたまま部品の版が古いまま運用されることも業界では珍しくない。本件で版が古かったのか、修正版が公開される前の脆弱性だったのかは公表されておらず、管理が不十分だったと決めつけることはできない。一方で、同社が「対策済みのWebサイト」に切り替えたことからは、問題の環境を修正するよりも別の環境へ移す方法を選んだと読み取れる。侵害された環境を残したまま切り替えるやり方は、調査のための証拠を残しつつ公開を再開する方法として理にかなっていると考えられる。
公表の時期と開示内容 解釈
高負荷が終わった12月10日から第1報の12月17日までは約1週間、調査結果の発表まではそこから約1か月半だった。コーポレートサイトの侵害で、第1報と調査結果の2段階で公表した点は、利用者や取引先への説明として一定の意味がある。一方、渡された情報の範囲では、侵入経路の製品名、侵入された期間、サーバ内にあった情報の種類、漏えいの有無、再発防止策の具体的な中身は確認できない。これらは公式発表の原文に書かれている可能性もあり、報道だけを根拠に開示が足りないと評価することは避けるべきである。コーポレートサイトに問い合わせフォームや採用応募の機能がある場合、そこで集めた個人情報が対象に含まれたかどうかは読者の大きな関心事となるため、公式発表の確認が必要である。
対応
- 封じ込め
- 安全確保のため該当するWebサーバを停止し、対策済みのWebサイトに切り替えを行い、原因や影響範囲の調査を進めた。
- 公表の仕方
- 2025年12月17日に不正アクセスを発表し、2026年1月30日に調査結果を発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サイトの高負荷や断続停止が、不正アクセスの兆候として表れることがある。 | CPU・リクエスト数・応答時間の急変を性能アラートにとどめず、同時にWAF/アクセスログと新規プロセス・外向き通信を自動で照合する手順（Runbook）を用意し、セキュリティ担当へ回す基準を数値で決めておく。 |
| Webフレームワークなどの部品の脆弱性が、公開サーバへの侵入口になりうる。 | コーポレートサイトを含むすべての公開サイトについて、フレームワーク・CMS・ライブラリの名前と版をSBOMや資産台帳で管理し、脆弱性情報（JVN、ベンダー告知）と自動で照合して、重大度に応じた修正の期限を決める。 |
| 侵害が疑われる環境を止めて、対策済みの別環境に切り替える方法は、公開の再開と調査を両立させやすい。 | コーポレートサイトをIaCやコンテナイメージから作り直せるようにし、静的サイト版やメンテナンスページへすぐ切り替えられる手順を用意する。停止したサーバはディスクとメモリを保全してから調査する。 |
| コーポレートサイトは更新の優先度が下がりやすく、外部の制作会社に運用を任せていることも多い。 | 制作・保守の委託契約に、脆弱性対応の期限、ログの保存期間、事故時の報告期限を明記し、年1回以上は外部からの脆弱性診断を行う。 |
| 公開サーバに個人情報が置かれていると、侵入されたときの影響が大きくなる。 | 問い合わせフォームなどの入力データは、Webサーバに保存せず別のシステムへすぐ転送する構成にし、Webサーバ側には残さない・暗号化するなどして、侵害時に漏れる範囲を小さくする。 |
自組織などでの確認項目
- 自社のコーポレートサイトや採用サイトで使っているフレームワーク・CMSの名前と版を、担当者がすぐに答えられるか。台帳と脆弱性情報の照合は誰がどの頻度で行っているか。
- Webサイトの負荷が急に上がったとき、監視の担当がセキュリティ部門に連絡する基準と手順は決まっているか。過去の高負荷のうち、原因を調べずに終わったものはないか。
- 公開サーバが侵害されたとき、すぐに切り替えられる代わりのサイト（静的版やメンテナンスページ）と、証拠を残すための手順を用意しているか。
- コーポレートサイト経由で集めた個人情報（問い合わせ・応募など）が、Webサーバ上にどれだけ残っているか把握しているか。
未解明点
- 侵入に使われたフレームワークの製品名・バージョン・CVEは何か。修正版が公開済みの既知の脆弱性だったのか。
- 侵入日はいつで、12月6日からの高負荷は侵入とどう関係していたのか。
- サーバ内に個人情報などがあったか、情報漏えいはあったのか。あった場合の件数と種類は何か。
- 「対策済みのWebサイト」でどのような対策を行ったのか、再発防止策の具体的な内容は何か。
- 個人情報保護委員会など当局への報告や、警察への相談は行われたのか。
出典
- 1ScanNetSecurity2026-01-26報道本文確認済
- 2ScanNetSecurity2026-02-17報道本文確認済