日本将棋連盟 公式サイトへの不正アクセス・改ざん（既知の脆弱性悪用、情報漏えいの痕跡なし）
公表日
日本将棋連盟の公式サイトが2026年5月に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けて改ざんされ、公開を停止しました。会員情報などの漏えいの痕跡は確認されていないと発表されています。
何が起きたのか
2026年5月、日本将棋連盟の公式サイトで通常と違う表示や動きが確認され、連盟はサイトの公開を一時停止して調査を始めました。5月21日に、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と改ざんがあったとお知らせし、公開を停止しました。停止中はSNSで対戦に関する情報を発信し、6月11日に暫定サイトを公開して運営を続けました。調べたところ、一部のページに、意図しない外部のサイトへ誘導するコードが書き込まれていました。8月7日には、外部の専門機関による調査が終わったと発表しました。
なぜ起きたのか・なぜ広がったのか
連盟が使っていたウェブサイト管理システムのソフトウェアにあった、すでに知られている弱点を悪用され、外部から不正なファイルが置かれたことが原因と特定されました。ソフトウェアの名前や弱点の番号、侵入された時期は公表されていません。公式サイトでは個人情報などを取り扱っておらず、会員情報などが外へ持ち出された痕跡は確認されなかったとされています。
いまの状況2026-08-07 時点
2026年8月7日の発表によると、被害を受けたサーバは使わず、安全な環境でシステムを一から作り直しました。改ざんを見つける仕組みやWAF(不正な通信を防ぐ仕組み)などを確かめたうえで、再発防止策を導入したとのことです。現在動いているサイトを正式な公式サイトとして、順次内容を増やしながら運用する予定です。外部の誘導先で何が行われていたかや、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。については、まだ発表されていません。
企業として考えたいこと
もし自社の公開サイトが改ざんされたら、何時間で異変に気づき、どの手段で利用者に知らせ、どのくらいで安全な環境に作り直せるでしょうか。
技術的な要約
日本将棋連盟の公式サイトは2026年5月21日に不正アクセスと改ざんを受け、公開を停止した。原因は、利用していたウェブサイト管理システムのソフトウェアの既知の脆弱性を悪用され、外部から不正なファイルが設置されたことと特定された。一部のページに、意図しない外部サイトへ誘導するコードが書き込まれていた。連盟は6月11日に暫定サイトを公開して運営を続けた。8月7日にフォレンジック調査の完了を公表し、公式サイトでは個人情報等を取り扱っておらず、会員情報等の漏えいやデータ持ち出しの痕跡もないとした。被害を受けたサーバ基盤は使わずシステムを再構築し、再発防止策を導入して、現行サイトを正式な公式サイトとして運用する方針である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認連盟が利用していたウェブサイト管理システムのソフトウェアに存在する既知の脆弱性を悪用され、外部から不正なファイルが設置された。製品名・バージョン・CVE番号・侵入時期は公表資料では確認できない。
- 脆弱性
- CVE 非公表公表で確認ウェブサイト管理システムのソフトウェアの既知の脆弱性。製品名・CVE番号は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 公式サイトの公開を停止。停止中はSNSで対戦に関する情報を発信し、6月11日に暫定サイトを公開して運営を継続した。期間：2026年5月21日の公開停止から、6月11日の暫定サイト公開まで
- データ
- なし上限 —確定 —公式サイトでは個人情報等を取り扱っておらず、会員情報やその他情報の漏えい、データ持ち出し等の痕跡は確認されなかった。一部ページに外部サイトへ誘導するコードが書き込まれていた。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経過 事実
日本将棋連盟は2026年5月、公式サイトで通常と異なる表示や挙動が確認されたことを受け、サイトの公開を一時停止して調査を始めた。5月21日付で第三者からの不正アクセスおよび改ざん被害をお知らせし、公開を停止した。停止中はSNSで対戦に関する情報を発信し、6月11日に暫定サイトを公開して運営を継続した。8月7日には、外部のセキュリティ専門機関によるフォレンジック調査(デジタル鑑識)の完了と、調査結果およびサイト復旧について公表した。現在稼働中の暫定サイトを正式な公式サイトとし、順次コンテンツを拡充して運用していく予定とされている。
原因と影響範囲 事実
原因は、連盟が利用していたウェブサイト管理システムのソフトウェアに存在する既知の脆弱性を悪用され、外部から不正なファイルが設置されたことと特定された。その結果、一部のページに、意図しない外部サイトへ誘導するコードが不正に書き込まれていた。一方、公式サイトでは個人情報等を取り扱っておらず、システム全体に対する詳細な調査でも、連盟が保有する会員情報やその他情報の漏えい、データ持ち出し等の痕跡は確認されなかったとされる。製品名・バージョン、CVE番号、侵入時期、外部誘導先の詳細は、公表資料では確認できない。
復旧方法と未公表の事項 事実
被害を受けたサーバ基盤は再利用せず、安全な環境でシステムを一から再構築した。改ざん検知システムやWAF等のセキュリティ対策を改めて検証したうえで、再発防止策を導入したとされる。なお、外部誘導先でフィッシングやマルウェア配布などが行われていたかは明らかにされておらず、フィッシングやなりすましによる具体的な二次被害の発生も公表されていない。個人情報保護委員会への報告状況も、公表資料では確認できなかった。公表されている範囲では、復旧の手順は上記の再構築と対策の導入である。
構造上の読み取り(解釈) 解釈
公表内容からは、公開されたCMS等の管理系ソフトウェアに既知の脆弱性が残っていると、個人情報を扱わないサイトでも改ざんの足場になり得ることが読み取れる。ただし、製品名や侵入時期が非公表のため、修正の遅れがあったのか、修正が提供される前だったのかは判断できない。また、公式サイトが個人情報を扱わない構成だったことは、会員情報など別システムへの影響が確認されなかった点と整合する。これは推測であり、システム間の分離の程度は公表されていない。改ざんの発覚から全面的な再構築までに約2.5か月を要した点は、復旧に求められる作業量の大きさを示すとも考えられる。
対応
- 封じ込め
- サイトの公開を停止して調査し、外部のセキュリティ専門機関によるフォレンジック調査を実施した。被害を受けたサーバ基盤は使わず安全な環境でシステムを一から再構築し、改ざん検知システムやWAF等を検証して再発防止策を導入した。
- 公表の仕方
- 2026年5月21日付で不正アクセスと改ざん被害をお知らせし、8月7日に調査結果とサイト復旧について公表した。製品名・CVE番号・侵入時期・外部誘導先の詳細は公表資料では確認できない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開されている管理系ソフトウェアの既知の脆弱性は、個人情報を扱わないサイトでも改ざんの入口になり得る | CMS・プラグイン・ミドルウェアを資産台帳に載せ、バージョンを定期的に棚卸しする。脆弱性情報(JVN・ベンダー告知)を購読し、重大度に応じた適用期限(例: 緊急は数日以内)を運用規程に定める。 |
| 不正ファイルの設置と書き換えを早く見つける仕組みが要る | Webルート配下のファイルの変更を整合性監視(ハッシュ比較など)で検知し、アップロード用ディレクトリでのスクリプト実行を禁止する。WAFのログと合わせてアラートを出す。 |
| 侵害された基盤は再利用せず、再構築する判断が有効になる | サーバ構成をコード化(IaC)し、クリーンな環境へ短時間で再構築できるようにする。公開前の暫定サイトに差し替える手順と、DNS切り替えの手順を事前に文書化して訓練する。 |
| サイトが停止している間の告知手段を確保しておく | 公式サイトとは別基盤のSNSアカウントや静的な告知ページを用意し、障害時の連絡経路として運用担当を決めておく。更新権限は公式サイトの認証基盤と分ける。 |
| 個人情報を扱わない構成と、システム間の分離が影響範囲を絞る | 公開サイトと会員系システムを別ネットワーク・別認証にし、公開サーバから内部への通信を最小限に制限する。フォレンジックで確認できるよう、ログの保存期間と保管先を事前に決めておく。 |
自組織などでの確認項目
- 自組織の公開サイトで使っているCMS・プラグイン・ライブラリの一覧とバージョンを、今日すぐ出せるか。修正の適用期限は決まっているか。
- 公開サイトのファイル改ざんを、何分・何時間で検知できるか。検知の仕組み(整合性監視、WAFログ監視など)は動作確認されているか。
- 公開サイトが侵害された場合に、再構築して復旧するまでの手順と所要時間を説明できるか。停止中の告知手段(SNS・別ドメインの告知ページなど)は用意されているか。
未解明点
- 悪用されたウェブサイト管理システムの製品名・バージョン、脆弱性の識別番号(CVE等)、侵入時期は公表されていない。
- 外部誘導先でフィッシングやマルウェア配布などが行われていたか、また誘導が実際に利用者へ及んだ期間と範囲は明らかにされていない。
- 個人情報保護委員会への報告状況は、公表資料では確認できない。
出典
- 1INTERNET Watch（Impress）2026-08-07報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-13報道本文確認済
- 3日本将棋連盟2026-08-07公式本文確認済