東京大学大学院医学系研究科 公共健康医学専攻ウェブサイトへの不正アクセス（不正プログラム設置、入力情報の流出なし）
公表日
東京大学大学院医学系研究科の公共健康医学専攻ウェブサイトに、第三者が不正なプログラムを設置していました。設置期間は2026年8月30日から9月10日で、入力情報が流出した事実はないとされています。
対象者は？
2026年8月30日から9月10日の間にこのサイトを閲覧し、画面に出た指示に従って操作した人です。公式発表では、このサイトは会員登録や個人情報の入力を伴う機能を提供しておらず、サイト上で入力された情報が流出した事実はないとされています。ページを見ただけでは端末への影響は低いと考えられています。対象となる人数はまだ発表されていません。
その期間にサイトを開いたとき、コマンドの実行、ファイルのダウンロード・実行、ブラウザの更新やエラー修正の案内に従った操作をしたかを思い出してください。心当たりがあれば、公式のお知らせに書かれた対応をとり、所属先の情報セキュリティ担当窓口に相談してください。
いますぐできること
- 8月30日から9月10日の間にこのサイトを見て、画面の指示でコマンド実行、ファイルのダウンロード・実行、ブラウザ更新やエラー修正の操作をしたか、思い出してみる。
- 心当たりがあれば、ウイルス対策ソフトで完全スキャンをして、ブラウザに保存したパスワードを変更し、Cookieとキャッシュを削除する。
- 不安なときは、所属先の情報セキュリティ担当窓口に相談する。
何が起きたのか
公共健康医学専攻のウェブサイトに、第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。をして、不正なプログラムを設置していました。設置されていたのは2026年8月30日から9月10日までです。このプログラムは、サイトを見た人に偽のエラー画面や更新案内を出して、特定の操作をさせようとするものだった可能性があるとされています。大学は9月10日に気づき、その日のうちにサイトを一時停止しました。調査のうえサイトを作り直し、9月12日に公開を再開しました。同じ日にお詫びとお願いの文書を発表しています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の入り口（侵入経路）や原因は、まだ発表されていません。大学は再発防止として、システムの全面的な再構築、管理画面へのアクセス制限、認証の強化などを実施したと説明しています。
いまの状況2026-10-14 時点
サイトは2026年9月12日に再構築のうえ公開が再開されています。侵入経路、攻撃者、実際に影響を受けた人の有無や人数については、まだ発表されていません。
企業として考えたいこと
自社の公開ウェブサイトに、閲覧者を偽の画面で誤った操作へ誘導するプログラムが置かれた場合、何日以内に気づき、どのページとどの文面で利用者に知らせられるでしょうか。
技術的な要約
東京大学大学院医学系研究科は2026年9月12日、公共健康医学専攻ウェブサイトが第三者による不正アクセスを受け、不正なプログラムが設置されていたと発表した。プログラムは2026年8月30日から9月10日まで設置されており、閲覧者に偽のエラー画面や更新案内を表示して特定の操作を促すものであった可能性がある。9月10日に発覚し、サイトを即日一時停止、調査のうえ再構築して9月12日に公開を再開した。サイトは会員登録や個人情報の入力を伴う機能を提供しておらず、入力情報が流出した事実はないとされている。再発防止として、システムの全面的な再構築、管理画面へのアクセス制限、認証の強化等を実施した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は第三者による不正アクセスで不正なプログラムが設置されたとするが、侵入経路は公表されていない。再発防止策に管理画面へのアクセス制限と認証の強化が含まれる。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 発覚後、当該サイトを即日一時停止し、再構築のうえ9月12日に公開を再開した。期間：2026-09-10から2026-09-12まで（一時停止）
- データ
- なし上限 —確定 —本サイトは会員登録や個人情報の入力を伴う機能を提供しておらず、サイト上で入力された情報が流出した事実はないとされている。ページを閲覧しただけでは端末に影響が生じる可能性は低いとされるが、画面の指示に従ってコマンド実行、ファイルのダウンロード・実行、ブラウザ更新やエラー修正の案内に従った操作をした場合は確認が必要とされている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-08-30この日から9月10日までの間、サイトに不正なプログラムが設置されていた。3
- 2026-09-10不正プログラムの設置が発覚し、当該サイトを即日一時停止した。3
- 2026-09-10公式発表上の不正プログラム設置期間の終点。3
- 2026-09-12調査のうえサイトを再構築し、公開を再開した。3
- 2026-09-12「本専攻ウェブサイトへの不正アクセスとその影響について（お詫びとお願い）」を発表。システムの全面的な再構築、管理画面へのアクセス制限、認証の強化等を実施したと説明。3
- 2026-09-12研究科が不正アクセスについて発表した。1
- 2026-09-14専攻サイトのお知らせ欄に「【重要】ウェブサイトへの不正アクセスについて」が掲載された。2
- 2026-09-29ScanNetSecurityが「不正プログラム設置」を見出しに含む記事として掲載した。1
技術解説
公表された事案の概要 事実
東京大学大学院医学系研究科は2026年9月12日、公共健康医学専攻ウェブサイト（https://www.m.u-tokyo.ac.jp/sph/）が第三者による不正アクセスを受け、不正なプログラムが設置されていたと発表した。設置されていた期間は2026年8月30日から9月10日までとされている。このプログラムは、サイトの閲覧者に偽のエラー画面や更新案内などを表示し、特定の操作を行うよう促すものであった可能性があるとされる。大学は9月10日に発覚し、当該サイトを即日一時停止した。調査のうえサイトを再構築し、9月12日に公開を再開した。
影響範囲と閲覧者への案内 事実
公式発表によれば、本サイトは会員登録や個人情報の入力を伴う機能を提供しておらず、サイト上で入力された情報が流出した事実はないとされている。また、ページを閲覧しただけでは端末に影響が生じる可能性は低いと考えられるとされる。一方で、画面の指示に従ってコマンドを実行した、ファイルをダウンロード・実行した、ブラウザ更新やエラー修正の案内に従って操作した、という場合は確認が必要とされている。心当たりのある利用者には、ウイルス対策ソフトでの完全スキャン、ブラウザ保存パスワードの変更、Cookieとキャッシュの削除、情報セキュリティ担当窓口への相談が求められている。
再発防止策と情報の出どころ 事実
大学は対策として、システムの全面的な再構築、管理画面へのアクセス制限、認証の強化等を実施したと説明している。専攻サイトのお知らせ欄には、2026年9月14日付で「【重要】ウェブサイトへの不正アクセスについて」と題する記事が掲載されているが、本文ページに詳細な内容は含まれない。報道では、ScanNetSecurityが2026年9月29日に、この事案を「不正プログラム設置」を見出しに含む記事として掲載している。詳しい説明は、9月12日付の公式PDF「本専攻ウェブサイトへの不正アクセスとその影響について（お詫びとお願い）」にまとまっている。
攻撃の構造についての読み取り 解釈
公表された内容から読み取れる範囲では、本件は閲覧者自身の操作を引き出すことを狙った仕掛けだった可能性がある。偽のエラー画面や更新案内を表示して特定の操作を促す手口は、閲覧しただけで感染するというより、利用者に操作をさせて端末に不正なものを実行させる形を想定させる。ただし、実際にどのような操作が求められたか、端末側にどんな影響があり得たかは、公表資料では具体的に示されていない。そのため、ここでの整理はあくまで推測である。管理画面の制限や認証強化が対策に含まれることから、管理機能周辺が論点だった可能性もあるが、侵入経路が公表されていない以上、断定はできない。
公表対応の評価と残る不確かさ 解釈
発覚した9月10日にサイトを即日停止し、2日後の9月12日には再構築して公開を再開するとともに、お詫びとお願いの文書で利用者向けの確認事項を具体的に示している。入力情報の流出がないという点と、閲覧者がとるべき行動を分けて書いている点は、利用者が自分の状況を判断しやすい構成だと受け取れる。一方で、侵入経路、悪用された脆弱性の有無、攻撃者、不正プログラムの具体的な挙動、実際に操作した人の有無や人数は、確認できた公開資料には見当たらない。この点は断定を避けるべきで、今後の続報や追加の説明を待つ必要がある。
対応
- 封じ込め
- 9月10日の発覚後、当該サイトを即日一時停止し、調査のうえサイトを再構築して9月12日に公開を再開した。再発防止として、システムの全面的な再構築、管理画面へのアクセス制限、認証の強化等を実施した。心当たりのある利用者には、ウイルス対策ソフトでの完全スキャン、ブラウザ保存パスワードの変更、Cookieとキャッシュの削除、情報セキュリティ担当窓口への相談を求めている。
- 公表の仕方
- 9月12日に「本専攻ウェブサイトへの不正アクセスとその影響について（お詫びとお願い）」を公表。9月14日付で専攻サイトのお知らせ欄にも掲載された。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 閲覧者の操作を誘導する改ざんは、入力情報が無い静的なサイトでも起こり得る。 | 会員機能の有無にかかわらず、公開サイトを監視対象に含める。Content-Security-Policy（script-src の制限と report-uri/report-to）を設定し、想定外のスクリプトの読み込みを検知・ブロックする。 |
| 管理画面へのアクセスと認証は、改ざん対策の最初の防御線になる。 | CMSの管理画面は、送信元IPやVPNで制限する。管理者アカウントには多要素認証を必須にする。不要なアカウントや既定アカウントは棚卸しして削除する。 |
| 設置期間が約12日に及んでおり、早期に気づく仕組みが被害の長さに影響する。 | テーマ・プラグイン・配信ファイルのハッシュ値を定期的に比較する、ファイル完全性監視（FIM）を導入する。管理画面やファイルの変更ログをアラート化する。 |
| 再構築後の公開再開を迅速に行うには、復旧手順があらかじめ整っていることが望ましい。 | サイトの構成をコード化（IaC）し、クリーンな状態から再構築できる手順を用意する。復旧演習を定期的に実施し、バックアップが改ざん前の状態であることを検証する。 |
| 閲覧者に求める確認事項は、具体的な操作で示すと伝わりやすい。 | インシデント告知のテンプレートに、影響を受け得る操作の例、確認方法、相談窓口、対象期間を必ず入れる。告知ページを検索で見つけやすい場所に置き、トップページからも案内する。 |
自組織などでの確認項目
- 自組織の公開サイト（広報、研究室、イベント、キャンペーン用など）を、会員機能の有無にかかわらず一覧にできているか。それぞれの管理画面へのアクセス制限と多要素認証の有無を確認できるか。
- 自組織のサイトの配信コンテンツに、想定外のスクリプトや改変が混じった場合、何日以内に検知できる仕組みがあるか。直近で改ざん検知のテストをしたか。
- 自組織の閲覧者向けに、偽のエラー画面や更新案内を出す攻撃が起きたと仮定すると、どのページ・どの窓口でどんな文面を、誰の承認で公表できるか。手順は文書化されているか。
未解明点
- 不正アクセスの侵入経路（管理画面の認証、CMSやプラグインの脆弱性、その他）は何だったのか。公表資料には記載がない。
- 設置された不正プログラムの具体的な挙動と、実際に画面の指示に従って操作した閲覧者がいたかどうか、またその人数は公表されていない。
- 2026年8月30日の設置開始より前に侵入があったかどうかや、攻撃者・攻撃の目的についての情報は公表されていない。
出典
- 1ScanNetSecurity2026-09-29報道本文確認済
- 2東京大学大学院医学系研究科 公共健康医学専攻公式本文確認済
- 3東京大学大学院医学系研究科 公共健康医学専攻2026-09-12公式本文確認済