日本紙パルプ商事「Paper & Green」で発生した深刻なセキュリティインシデント
2025年9月5日、日本紙パルプ商事株式会社が運営する「Paper & Green」において、ユーザーが不審な外部サイトへ自動的に誘導される深刻なセキュリティインシデントが発生しました。現役CSIRTとして数多くのWebサイト改ざん事例を調査してきた経験から、この事例は典型的な「悪意あるリダイレクト攻撃」の特徴を示しており、個人・企業問わず誰でも被害に遭う可能性があるものです。
同社は利用者保護を最優先に、サイトの一時閉鎖という迅速な判断を下しました。現在はセキュリティ専門チームと連携し、原因の特定と安全性確認を進めている状況です。
悪意あるリダイレクト攻撃の実態と手口
攻撃者が使用する一般的な手法
私がフォレンジック調査で実際に目にしてきた悪意あるリダイレクト攻撃は、以下のような手法で実行されることがほとんどです：
1. Webサイトの脆弱性を突いたコード注入
・WordPress等のCMSやプラグインの未パッチの脆弱性を悪用
・SQLインジェクションやクロスサイトスクリプティング（XSS）を通じた不正コード埋め込み
・管理者権限を奪取してのページ改ざん
2. 巧妙に仕込まれたマルウェアコード
・難読化されたJavaScriptによる自動リダイレクト機能
・特定の条件下でのみ動作する時限式リダイレクト
・検索エンジンのクローラーには正常サイトを、一般ユーザーには悪意あるサイトを表示
実際の被害企業での調査事例
昨年私が担当した中小企業のケースでは、ECサイトに仕込まれた悪意あるリダイレクトにより、顧客が偽の決済画面に誘導され、クレジットカード情報を窃取される事例がありました。攻撃者は3か月間にわたって水面下でデータを収集し、約300名の顧客情報が漏洩する深刻な事態となりました。
個人ユーザーが注意すべき危険な兆候
Paper & Greenの事例のように、正常なサイトを閲覧しているつもりが突然別のサイトに飛ばされる場合、以下の兆候に注意してください：
即座に操作を中止すべきサイン
- 見慣れないドメインへの突然の遷移
正規サイトのURLと明らかに異なるドメインに移動した場合 - 偽のセキュリティ警告画面
「ウイルスが検出されました」「今すぐスキャンしてください」といった偽警告 - 不要なソフトウェアのインストール誘導
「最新版にアップデートしてください」等の偽のアップデート通知 - 個人情報入力フォームの突然の表示
本来必要のない場面での個人情報や決済情報の入力要求
被害を受けた可能性がある場合の緊急対応
もし心当たりのないポップアップ経由で個人情報や決済情報を入力してしまった場合は、以下の対応を直ちに実行してください：
1. 関係機関への連絡：各都道府県警察のサイバー犯罪相談窓口に通報
2. 金融機関への連絡：クレジットカード会社、銀行への連絡と利用停止手続き
3. パスワード変更：関連するすべてのオンラインアカウントのパスワード変更
4. セキュリティスキャン：信頼できるアンチウイルスソフト
での端末の完全スキャン実行
企業が実装すべき根本的なセキュリティ対策
Webサイトの脆弱性対策
Paper & Greenの事例のような攻撃を防ぐためには、企業は以下の対策を継続的に実施する必要があります：
1. 定期的な脆弱性診断の実施
私のフォレンジック調査経験では、攻撃の75%以上が既知の脆弱性を悪用したものです。Webサイト脆弱性診断サービス
を定期的に実施し、脆弱性の早期発見・修正が不可欠です。
2. CMSとプラグインの継続的更新
WordPressなどのCMSは攻撃者の主要なターゲットです。セキュリティアップデートは公開から24時間以内に適用することを強く推奨します。
Webアプリケーションレベルでの攻撃を防御するWAFの導入により、SQLインジェクションやXSS攻撃を効果的に防止できます。
従業員のセキュリティ意識向上
技術的対策だけでなく、人的要因によるセキュリティインシデントも深刻な問題です。定期的なセキュリティ教育と、標的型メールの模擬訓練を実施し、従業員一人ひとりのセキュリティ意識を高めることが重要です。
個人でできる効果的な予防策
日常的なセキュリティ習慣
個人ユーザーも以下の対策を日常的に実践することで、悪意あるリダイレクト攻撃のリスクを大幅に軽減できます：
1. 信頼できるアンチウイルスソフト
の常時稼働
リアルタイム保護機能により、悪意あるサイトへのアクセスを事前にブロックできます。特にWebシールド機能は、今回のような攻撃に対して非常に有効です。
2. VPN
の活用
公共Wi-Fi利用時や海外でのインターネット接続時には、通信の暗号化と匿名化により、中間者攻撃や通信傍受から身を守ることができます。
3. ブラウザのセキュリティ設定強化
・ポップアップブロック機能の有効化
・JavaScript実行の制限
・自動ダウンロードの無効化
・セキュリティアップデートの自動適用
怪しいサイトを見分ける実践的なポイント
現場での調査経験から、以下のポイントで悪意あるサイトを見分けることができます：
- URLの確認：正規サイトと似て非なるドメイン名に注意
- SSL証明書の確認：アドレスバーに鍵マークがあるか、証明書情報をクリックして発行元を確認
- サイトデザインの違和感：正規サイトと微妙に異なるレイアウトやフォント
- 日本語の不自然さ：機械翻訳特有の違和感のある日本語表現
今後の対策と継続的な警戒
Paper & Greenの事例は、どれだけ大手企業であってもサイバー攻撃の脅威から完全に逃れることはできないことを示しています。重要なのは、攻撃を完全に防ぐことではなく、被害を最小化し、迅速に復旧できる体制を整えることです。
個人ユーザーの皆さんも、「自分は大丈夫」という過信は禁物です。日々進歩する攻撃手法に対抗するため、セキュリティ対策の継続的な見直しと強化を心がけてください。
特に、信頼できるアンチウイルスソフト
とVPN
の組み合わせは、現在の脅威環境において必須の対策といえるでしょう。また、企業の皆さんはWebサイト脆弱性診断サービス
を定期的に実施し、自社サイトの安全性を継続的に監視することを強くお勧めします。
一次情報または関連リンク
セキュリティ対策Lab – Paper & Green悪意あるリダイレクト事例
