岡山県運営8サイトで発生した不正アクセス・改ざん事件の概要
2025年10月14日、岡山県は県が管理する8つのホームページに不正アクセスと改ざんが発生したことを公表し、全サイトの公開停止措置を実施しました。現役CSIRTとして数多くのWebサイト改ざん事件を調査してきた経験から、この事件は地方自治体のサイトセキュリティの脆弱性を浮き彫りにした深刻な事案と言えます。
被害を受けたのは以下の8サイトです：
- 晴れの国おかやまPRサイト
- 岡山 私のみらい発見カフェ
- 公共交通利用促進キャンペーン
- こどもまんなかマナーアップ県民運動
- 企業版子育て支援ポータルサイト ハレまる。
- ももっこアプリ利用促進キャンペーン
- 晴れ恋💛晴れ婚プロジェクト
- おかやま結婚応援パスポート
特に注目すべきは、10月11日に職員がアクセス障害を発見してから、13日まで継続的に改ざんが行われていた点です。これは攻撃者がシステムへの持続的なアクセス権限を獲得していたことを示唆しており、単発的な攻撃ではなく組織的なサイバー攻撃の可能性が高いと考えられます。
地方自治体サイトがターゲットになる理由
フォレンジック調査の現場で感じるのは、地方自治体のWebサイトが攻撃者にとって非常に魅力的なターゲットだということです。その理由は以下の通りです：
1. セキュリティ予算と人材の不足
多くの地方自治体では、ITセキュリティに割ける予算と専門人材が限られています。私が調査した事例では、基本的なセキュリティパッチの適用すら遅れているケースが珍しくありません。
2. 多数のサブサイト管理の複雑さ
今回の岡山県のように、自治体は部署ごとに複数のサイトを運営しています。これらすべてを統一されたセキュリティポリシーで管理することは非常に困難です。
3. 公的機関への信頼を悪用した二次攻撃
攻撃者は改ざんした自治体サイトを踏み台にして、訪問者に対してマルウェアを配布したり、フィッシング攻撃を仕掛けたりします。公的機関への信頼が逆に利用されてしまうのです。
Webサイト改ざん攻撃の典型的な手法
実際のフォレンジック調査で確認される改ざん攻撃の手法をご紹介します：
1. CMSの脆弱性を狙った攻撃
WordPressやDrupalなどのCMS（コンテンツ管理システム）の既知の脆弱性を悪用し、管理者権限を奪取する手法です。特にプラグインやテーマの脆弱性が狙われることが多く、私が調査した事例でも約60%がこのパターンでした。
2. SQLインジェクション攻撃
Webアプリケーションの入力フィールドに悪意のあるSQLコードを注入し、データベースへの不正アクセスを試みる攻撃です。自治体サイトでは問い合わせフォームや検索機能が狙われやすい傾向があります。
3. 管理者アカウントのブルートフォース攻撃
弱いパスワードを設定している管理者アカウントに対して、辞書攻撃やブルートフォース攻撃を仕掛けてログイン情報を窃取する手法です。
個人・中小企業が今すぐ実施すべきWebサイトセキュリティ対策
1. 基本的なセキュリティ対策の徹底
まずは以下の基本対策を確実に実施してください：
- CMSとプラグインの定期的な更新
- 強固なパスワードと二要素認証の設定
- 不要なプラグインやテーマの削除
- 管理画面へのアクセス制限（IP制限など）
2. アンチウイルスソフト でマルウェア対策を強化
Webサイトの運営パソコンには必ず信頼性の高いアンチウイルスソフト
を導入してください。改ざんされたサイトからマルウェアに感染するリスクを大幅に軽減できます。
3. VPN で安全な接続を確保
特にリモートワークでサイト管理を行う場合、VPN
の使用は必須です。公共Wi-Fiからの管理作業では、通信内容の盗聴や中間者攻撃のリスクが高まります。
4. 定期的な脆弱性診断の実施
企業サイトであれば、Webサイト脆弱性診断サービス
を活用して定期的にセキュリティチェックを行うことを強く推奨します。自分では気づかない脆弱性を発見できる可能性が高く、予防的なセキュリティ対策として非常に効果的です。
フォレンジック調査から見た被害の実態
私が担当したWebサイト改ざん事件の実例をご紹介します（個人情報は匿名化）：
事例1: 中小企業のECサイト改ざん
某製造業のECサイトで、古いWordPressプラグインの脆弱性を悪用された事例です。攻撃者は決済ページに不正なJavaScriptを埋め込み、顧客のクレジットカード情報を窃取していました。被害総額は約500万円、復旧に3週間を要しました。
事例2: 地方病院のサイト改ざん
病院のホームページが改ざんされ、訪問者にマルウェアを配布するサイトへリダイレクトされていた事例です。幸い個人情報の流出はありませんでしたが、患者からの信頼失墜により予約キャンセルが相次ぎ、間接的な被害が発生しました。
緊急時の対応手順
もしWebサイトの改ざんを発見した場合、以下の手順で対応してください：
1. 即座にサイトを閉鎖
まず被害の拡大を防ぐため、サイトを一時的に閉鎖します。岡山県の対応も適切でした。
2. 証拠の保全
改ざんされた状態のログやファイルを削除する前に、必ずバックアップを取得してください。後の調査で重要な証拠となります。
3. 専門機関への相談
警察のサイバー犯罪対策課や、セキュリティ専門会社への相談を検討してください。
4. システムの完全復旧
単純な復元ではなく、侵入経路の特定と対策を行った上で復旧作業を進めることが重要です。
まとめ：予防こそ最大の防御
今回の岡山県の事例は、どれだけ大きな組織でもサイバー攻撃のリスクから逃れられないことを示しています。しかし、適切な対策を講じることで被害を大幅に軽減することは可能です。
特に個人や中小企業の皆さんには、以下の点を心がけていただきたいと思います：
- 定期的なセキュリティ更新の実施
- アンチウイルスソフト
による総合的な保護 - VPN
を使った安全な通信環境の構築
- Webサイト脆弱性診断サービス
での定期的な脆弱性チェック
サイバーセキュリティは「完璧」はありませんが、「備え」があれば被害を最小限に抑えることができます。今回の事件を他人事と考えず、自社・自分のWebサイトのセキュリティ対策を見直すきっかけにしていただければと思います。
