2025年7月、株式会社岩岳リゾートが運営するウェブサイトへの不正アクセスにより、約3,154名の顧客情報が漏えいした可能性があることが発表されました。この事件は、多くの中小企業が直面しているWebセキュリティの脆弱性を浮き彫りにした典型的なケースです。
現役CSIRTとして数々のインシデント対応を手がけてきた私の視点から、この事件の詳細と、あなたの会社が同様の被害に遭わないための対策について解説していきます。
岩岳リゾート不正アクセス事件の詳細
今回の事件は、2025年5月10日にクラウドサーバ事業者からの連絡により発覚しました。攻撃者は岩岳リゾートのウェブサイト（https://iwatake-mountain-resort.com/）に不正アクセスを行い、サーバ上に悪意のあるファイルを設置。このファイルが実行されることで、データベース内の個人情報が外部に流出した可能性があります。
漏えいした可能性がある情報は以下の通りです：
- 対象期間：2018年8月2日〜2025年5月13日
- 対象者数：3,154名
- 漏えい情報：氏名、住所、電話番号、メールアドレス
- 対象フォーム：問い合わせフォーム、採用応募フォーム、予約フォーム
フォレンジック調査から見える攻撃の手法
私がこれまでに対応してきた類似事例から分析すると、今回の攻撃は以下のような手順で実行された可能性が高いです：
1. 脆弱性の特定
攻撃者はまず、ターゲットとなるWebサイトの脆弱性を特定します。多くの場合、以下のような脆弱性が狙われます：
- 古いCMSやプラグインの未パッチ脆弱性
- SQLインジェクション
- ファイルアップロード機能の不備
- 認証機能の脆弱性
2. 不正ファイルの設置
脆弱性を悪用して、Webサーバ上に不正なファイル（通常はWebシェル）を設置します。これにより、攻撃者はサーバを遠隔操作できるようになります。
3. データベースへの侵入
設置したWebシェルを使って、データベースサーバへアクセスし、個人情報を窃取します。
中小企業が陥りがちなセキュリティの落とし穴
私が対応してきた事例を見ると、中小企業に共通する問題点があります：
事例1：製造業A社のケース
従業員50名の製造業A社では、5年前に構築したWebサイトのWordPressを一度もアップデートしていませんでした。古い脆弱性を突かれ、顧客データベース全体が流出。復旧費用だけで500万円かかりました。
事例2：サービス業B社のケース
地域密着型のサービス業B社は、安価なレンタルサーバを利用していましたが、セキュリティ設定が不十分でした。フィッシングサイトの踏み台にされ、顧客からの信頼を大きく失いました。
今すぐ実施すべき対策
1. Webサイト脆弱性診断サービス の活用
まずは自社のWebサイトにどのような脆弱性があるかを把握することが重要です。専門的な脆弱性診断により、攻撃者が悪用する可能性のある問題点を事前に発見し、対処できます。
2. 定期的なセキュリティアップデート
CMS、プラグイン、サーバOSなどのアップデートを定期的に実施しましょう。多くの攻撃は、既知の脆弱性を狙ったものです。
3. アクセスログの監視
不正アクセスの早期発見には、アクセスログの監視が不可欠です。異常なアクセスパターンを検知できるシステムを導入しましょう。
4. バックアップの強化
万が一の際に迅速な復旧を行うため、定期的なバックアップとその復元テストを実施してください。
個人でもできるセキュリティ対策
企業だけでなく、個人も情報漏えいの被害に遭う可能性があります。以下の対策を心がけましょう：
1. アンチウイルスソフト の導入
パソコンやスマートフォンには必ず最新のアンチウイルスソフト
をインストールし、リアルタイム保護を有効にしてください。マルウェアの感染を防ぐことで、個人情報の流出リスクを大幅に軽減できます。
2. VPN の利用
公衆Wi-Fiを利用する際や、重要な情報をやり取りする際はVPN
を使用しましょう。通信の暗号化により、第三者による盗聴を防げます。
3. 強固なパスワードの設定
各サービスごとに異なる複雑なパスワードを設定し、可能な限り二要素認証を有効にしてください。
インシデント発生時の対応
もし不正アクセスが発覚した場合、以下の手順で対応してください：
- 被害の範囲を特定し、サービスを一時停止
- 専門機関による調査の実施
- 関係機関（警察、監督官庁など）への報告
- 影響を受ける顧客への通知
- 再発防止策の実施
まとめ：予防こそ最大の防御
岩岳リゾートの事例は、どの企業にも起こり得る問題です。重要なのは、事件が起きてから対応するのではなく、事前に適切な対策を講じることです。
特に中小企業では、限られたリソースの中でセキュリティ対策を行う必要があります。Webサイト脆弱性診断サービス
やアンチウイルスソフト
、VPN
などの専門的なサービスを活用することで、効率的かつ効果的にセキュリティレベルを向上させることができます。
サイバー攻撃は日々巧妙化しており、完全に防ぐことは困難ですが、適切な対策により被害を最小限に抑えることは可能です。今回の事例を教訓に、自社のセキュリティ対策を見直してみてはいかがでしょうか。
一次情報または関連リンク
ScanNetSecurity – 岩岳リゾート、ウェブサイトへの不正アクセスにより顧客情報漏えい
