株式会社アップ運営サイトへの不正アクセス（採用応募者10名・従業員3名の個人情報漏えいのおそれ）
公表日
株式会社アップが運営する「洛西進学教室」「進学館」のサイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、講師採用の応募者10名と従業員3名、最大13名の個人情報が閲覧された可能性があります。情報が外部へ持ち出された痕跡は、第1報の時点では確認されていません。
対象者は？
洛西進学教室の講師採用に応募した10名(氏名、フリガナ、性別、年齢、出身・在籍大学、学年、郵便番号、住所、電話番号、携帯番号、メールアドレス、希望内容等)と、サイト管理者である同社従業員3名(氏名、メールアドレス)です。いずれも閲覧された可能性で、最大13名です。確定した人数はまだ発表されていません。これら以外の項目や対象者は、第1報には挙げられていません。
同社は対象となる可能性のある方に、個別に電子メールなどで連絡しています。心当たりのある方は、公式のお知らせにある問い合わせ窓口(電話0120-655-420、月〜金13:00〜17:00、またはprivacy@up-inc.co.jp)へ連絡できます。
いますぐできること
- 講師採用に応募した覚えがある方は、同社からの個別連絡メールを確認する。
- 心当たりのないメール、SMS、電話では、URLをクリックしたり個人情報を入力したりしない。
- 不安な点は、公式のお知らせに書かれた問い合わせ窓口へ連絡する。
何が起きたのか
2026年8月24日、同社が運営する「洛西進学教室」「進学館」のサイトが使っていた外部のソフト部品(プラグイン)の弱点を突かれ、外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。サーバの中には不正なプログラムが置かれていました。同社は気づいてすぐに不正なアクセスを止め、関係するサーバを切り離しました。不正なプログラムの除去と弱点の修正も終えています。調査の結果、講師採用の応募者10名と従業員3名の情報が、そのシステムに保存されていたことが分かりました。情報が外に持ち出された形跡は、第1報の時点では確認されていません。同社は個人情報保護委員会にも報告しています。第1報は9月4日に公表されました。その後、同社の各サイトで、弱点への対策とシステム更新のためのメンテナンスが9月15日から28日にかけて順番に終わりました。
なぜ起きたのか・なぜ広がったのか
同社の発表では、サイトが使っていた外部ソフトウェア(プラグイン)の脆弱性が悪用されたとされています。プラグインの名前やバージョンは、まだ発表されていません。応募者や従業員の情報がこのサーバに保存されていた経緯も、発表されていません。
いまの状況2026-09-28 時点続報待ち
2026年9月28日までに、進学館(9月15日)、会員制自習室、こども館、こどもカレッジ(いずれも9月24日)、洛西進学教室・洛進パーソナル(9月28日)のサイトで、メンテナンスの完了と通常どおりの利用が告知されました。第1報では、不正プログラムの除去と脆弱性の修正は完了とされ、持ち出しの形跡や二次被害は確認されていません。同社はセキュリティ体制の強化や個人情報の管理体制の見直しなどの再発防止策を進めています。第1報の人数や被害状況を更新する続報は、確認できた範囲ではありません。補償についてはまだ発表されていません。
企業として考えたいこと
自社の公開サイトで使っている外部プラグインや部品を、誰がいつ更新しているか把握できていますか。また、そのサーバに個人情報が保存されていないか確認できますか。
技術的な要約
株式会社アップが運営するプロモーションサイト「洛西進学教室」「進学館」が、利用していた外部ソフトウェア（プラグイン）の脆弱性を悪用した不正アクセスを受け、サーバ内に不正なプログラムが設置された。2026年8月24日の不正アクセスにより、洛西進学教室の講師採用応募者10名と社内サイト管理者である従業員3名の個人情報が閲覧された可能性がある。同社は検知後、直ちに遮断・隔離・不正プログラムの除去・脆弱性修正を完了し、個人情報保護委員会へ報告した。現時点で情報が外部へ持ち出された痕跡や二次被害は確認されていない。第1報は2026年9月4日付で公表され、その後、同社運営の各サイトで脆弱性対策とシステムアップデートを目的としたセキュリティメンテナンスが9月15日から28日にかけて順次完了し、通常どおり利用できると告知された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式発表では「当該サイトが利用していた外部ソフトウェア（プラグイン）の脆弱性を悪用した外部からの不正アクセス」。プラグインの製品名・バージョンは公表されていない。
- 脆弱性
- CVE 非公表公表で確認外部ソフトウェア（プラグイン）（名称非公表）CVE番号・製品名は公表されていない。同社は脆弱性の修正を完了したとしている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 対象サイトおよび同外部ソフトウェアを利用したサーバについて、不正プログラムの確認とクリーンアップを行い、安全性が確認できたサイトから順次復旧した。同社運営の各サイトで、脆弱性対策とシステムアップデートを目的としたセキュリティメンテナンスが2026年9月15日から9月28日にかけて順次完了し、通常どおり利用できると告知されている。業務停止の有無・程度や停止期間は公表されていない。
- データ
- おそれ上限 13確定 —人氏名性別住所電話メール従業員情報その他内訳は洛西進学教室講師採用の応募者10名（氏名、フリガナ、性別、年齢、出身・在籍大学、学年、郵便番号、住所、電話番号、携帯番号、メールアドレス、希望内容等）と、サイト管理者である従業員3名（氏名、メールアドレス）の計13名（10+3の合算）。閲覧された可能性であり、外部へ持ち出された痕跡は現時点で確認されていない。二次被害も確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 利用していた外部ソフトウェア（プラグイン）の脆弱性が悪用されたが、委託先や取引先を経由した被害の記載はない。
時系列
- 2026-08-24洛西進学教室・進学館のサイトが利用していた外部ソフトウェア（プラグイン）の脆弱性を悪用した不正アクセスを受け、サーバ内に不正なプログラムが設置されていることが判明した。1
- 2026-08-24事態の検知後、直ちに不正アクセスの遮断、当該サーバおよび同外部ソフトウェアを利用したサーバの隔離を実施した（実施日の記載はなく、日付は不正アクセス判明日に置いた）。1
- 2026-09不正プログラムの除去、脆弱性の修正等の対応を完了した（完了日は非公表。第1報時点で完了済み）。1
- 2026-09調査の結果、採用応募者10名と従業員3名の個人情報が該当システム内に保存されていたことが判明した。外部への持ち出しの痕跡は確認されていない。1
- 2026-09個人情報保護法に基づき個人情報保護委員会へ報告した（報告日は非公表。第1報時点で報告済み）。1
- 2026-09-04株式会社アップ代表取締役社長名で第1報「当社運営サイトへの不正アクセスに関するお知らせ（個人情報漏えいのおそれ）」を公表した。対象となる可能性のある方へ個別に電子メールなどで連絡している。1
- 2026-09-04第1報時点で、安全性が確認できたサイトから順次復旧中であり、セキュリティ体制の強化や個人情報の管理体制の見直し等の再発防止策を実施・推進している。1
- 2026-09-15進学館のWebサイトについて、先般より実施していたセキュリティメンテナンス（脆弱性対策とシステムアップデート）が完了し、通常どおり利用できると告知した。4
- 2026-09-24会員制自習室のWebサイトについて、セキュリティメンテナンスが完了し、通常どおり利用できると発表した。5
- 2026-09-24アフタースクール「こども館」のWebサイトについて、セキュリティメンテナンスが完了し、通常どおり利用できると公表した。6
- 2026-09-24こどもカレッジのWebサイトについて、セキュリティメンテナンスが完了し、通常どおり利用できると公表した。7
- 2026-09-28洛西進学教室・洛進パーソナルのWebサイトについて、セキュリティメンテナンス（脆弱性対策とシステムアップデート）が完了し、通常どおり利用できると告知した。8
技術解説
第1報で公表された事実 事実
株式会社アップが運営する「洛西進学教室」(rakushin.net)と「進学館」(shingakukan.com)のサイトについて、第1報は2026年8月24日付で次のように説明している。サイトが利用していた外部ソフトウェア(プラグイン)の脆弱性を悪用した外部からの不正アクセスがあり、サーバ内に不正なプログラムが設置されていた。同社は事態の検知後、直ちに不正アクセスの遮断と、当該サーバおよび同プラグインを利用したサーバの隔離を実施した。不正プログラムの除去と脆弱性の修正も完了したとしている。個人情報保護法に基づき、個人情報保護委員会へも報告した。第1報は2026年9月4日付で、代表取締役社長名で公表された。
対象となる可能性のある情報と人数 事実
調査の結果、洛西進学教室の講師採用応募者10名の個人情報と、サイト管理者である従業員3名の情報が、該当システム内に保存されていたことが分かった。合計は最大13名(10+3の合算)で、いずれも閲覧された可能性である。応募者の項目は、氏名、フリガナ、性別、年齢、出身・在籍大学、学年、郵便番号、住所、電話番号、携帯番号、メールアドレス、希望内容等。従業員の項目は氏名とメールアドレス。第1報では、外部へ持ち出された痕跡も二次被害も確認されていない。確定件数は示されておらず、13名は上限として扱われている。同社は対象となる可能性のある方へ、個別に電子メールなどで連絡している。
復旧とセキュリティメンテナンスの経過 事実
第1報の時点で、対象サイトとサーバはクリーンアップのうえ、安全性が確認できたサイトから順次復旧していた。その後、同社運営の各サイトで、脆弱性対策とシステムアップデートを目的としたセキュリティメンテナンスの完了が告知された。進学館は2026年9月15日。会員制自習室、アフタースクール「こども館」、こどもカレッジは9月24日。洛西進学教室・洛進パーソナルは9月28日。いずれも通常どおり利用できるとされている。各告知は、不正アクセスの詳細を別ページで案内している。業務停止の有無や期間は公表されていない。
攻撃の構造についての読み取り 解釈
公表内容からは、インターネットに公開されたサイトで使われる外部プラグインの脆弱性が入口になり、サーバ内に不正プログラムが置かれた、という構図が読み取れる。プロモーションサイトのサーバに、応募者や管理者の情報が保存されていたことが、影響範囲を決めた要素と考えられる。また「同プラグインを利用したサーバ」まで隔離を広げた点は、同じ部品を使う他のサーバにも同様の危険があるとの判断によるものと推測できる。これは公表文面からの推測であり、プラグイン名、不正プログラムの種類、保存の経緯は示されていない。
公表内容の評価と、残る不明点 解釈
第1報は、発生日、対象人数、情報項目、対応状況、問い合わせ窓口、当局への報告済みの旨を具体的に書いている。対象となる可能性のある人が自分の状況を判断しやすい内容と評価できる。一方で、検知日、プラグインの名称とバージョン、不正プログラムの種類、当局への報告日、不正アクセスの継続期間は示されていない。後続の告知は復旧とメンテナンス完了の報告が中心で、第1報の人数や被害状況を更新する記載は、確認できた範囲ではない。メンテナンス対象のサイトのうち、第1報に名前が出ない会員制自習室、こども館、こどもカレッジがどの程度影響を受けたかは不明である。
対応
- 封じ込め
- 事態の検知後、直ちに不正アクセスの遮断、当該サーバおよび同外部ソフトウェアを利用したサーバの隔離を実施し、不正プログラムの除去、脆弱性の修正等の対応を完了。対象サイトとサーバはクリーンアップのうえ、安全性が確認できたサイトから順次復旧した。その後、脆弱性対策とシステムアップデートを目的としたセキュリティメンテナンスが2026年9月15日から9月28日にかけて各サイトで順次完了し、通常どおり利用できると告知されている。再発防止策として、セキュリティ体制の強化、個人情報の管理体制の見直し等を実施・推進している。
- 公表の仕方
- 2026年9月4日付で代表取締役社長名により第1報を公表。対象となる可能性のある方へ個別に電子メールなどで連絡している。不審なメール、SMS、電話等への注意と、心当たりのない連絡ではURLのクリックや個人情報の入力をしないよう呼びかけている。問い合わせ窓口は電話0120-655-420（月～金13:00～17:00）およびprivacy@up-inc.co.jp。
- 当局対応
- 個人情報保護委員会（個人情報保護法に基づき報告済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開サイトで使う外部プラグインは、脆弱性が悪用されると侵入口になり得る。 | CMS・プラグイン・テーマの棚卸し表を作り、バージョンを自動収集する。JVNやベンダー告知を購読し、重大な脆弱性は数日以内に更新する運用と担当者を決める。 |
| プロモーションサイトのように重要度が低く見えるサーバにも、個人情報が保存されていることがある。 | サーバ・DBごとに保存データの項目を洗い出して分類する。応募フォームの情報は公開Webサーバから分離して別DBや社内システムに置き、不要になったデータは保存期限を決めて削除する。 |
| 同じ部品を使うサーバをまとめて隔離する判断は、被害拡大の防止に役立つ。 | 構成管理でサーバごとの導入部品とバージョンを把握する。手順書に「同一部品を使う全サーバの隔離・点検」を入れ、ネットワーク分離をすぐ実行できる設定を用意する。 |
| 脆弱性を修正しただけでは、設置済みの不正プログラムは消えない。復旧後の確認と、複数サイトの段階的な復旧管理も必要になる。 | 修正後にWebシェル検査、ファイル整合性監視、ログ精査を行う。Web公開ディレクトリを書き込み禁止にし、変更を監視する。サイトごとの復旧基準と確認項目を事前に決める。 |
| 個人情報の閲覧可能性が判明したら、当局への報告と対象者への個別連絡が必要になる。 | 対象者の抽出手順、連絡文面の雛形、個人情報保護委員会への報告フローと担当者を事前に決める。年1回の机上訓練で所要時間を確認する。 |
自組織などでの確認項目
- 自組織の公開サイトで使っているCMS・プラグイン・ライブラリの一覧とバージョンを、すぐに出せますか。更新の担当者と期限は決まっていますか。
- 公開Webサーバ上に、採用応募者や従業員・管理者などの個人情報が保存されていませんか。保存の必要性と保存期限を確認できますか。
- 脆弱性が見つかったとき、同じ部品を使う他のサーバやサイトを洗い出して隔離する手順と、判断する人は決まっていますか。
- 複数のサイトを運営している場合、サイトごとの復旧の基準と、再開を告知する手順は決まっていますか。
未解明点
- 悪用されたプラグインの名称、バージョン、CVE番号は何か。
- 不正アクセスの検知日と、検知の経緯(誰がどう気づいたか)はいつか。
- 閲覧された可能性は、ログなどの何に基づいて判断されたのか。確定件数は今後示されるか。
- 個人情報保護委員会への報告日はいつか。
- 会員制自習室、こども館、こどもカレッジなど、メンテナンス対象となった他のサイトは、今回の不正アクセスの影響を受けたのか。受けた場合、その範囲はどこまでか。
- 採用応募者の情報がサイトのサーバに保存されていた経緯と、保存期間はどうなっていたか。
出典
- 1株式会社アップ2026-09-04公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-24報道本文確認済
- 3ScanNetSecurity2026-09-08報道本文確認済
- 4株式会社アップ(進学館)2026-09-15公式本文確認済
- 5株式会社アップ(アップ教育企画)2026-09-24公式本文確認済
- 6株式会社アップ2026-09-24公式本文確認済
- 7株式会社アップ(こどもカレッジ)2026-09-24公式本文確認済
- 8株式会社アップ(アップ教育企画)2026-09-28公式本文確認済