--- title: "イビデンのサイバー攻撃（不正アクセス）｜2026年4月のサイト改ざんの経緯・原因と最終報告" url: "https://www.issoh.co.jp/tech/details/11792/" published: 2026-04-15 updated: 2026-10-18 categories: ["脆弱性・インシデント"] publisher: "株式会社一創" --- # イビデンのサイバー攻撃（不正アクセス）｜2026年4月のサイト改ざんの経緯・原因と最終報告 2026年4月13日、電子部品メーカーのイビデン株式会社（東証プライム・名証プレミア、証券コード4062）の公式サイトに、同社とは無関係なページが表示されました。[ITmedia NEWS](https://www.itmedia.co.jp/news/articles/2604/14/news063.html)は海外オンラインカジノとみられるページだったと報じていますが、表示された内容はイビデンの開示文書には書かれていません。同社は同日に第1報、翌14日に第2報を適時開示し、4月28日の最終報告で完全復旧を公表しました。 原因について報道の多くは第2報時点の「侵入経路は調査中」で止まっています。この記事では、3本の開示文書と9月29日発行の統合報告書2026の原文から、何が確定し、何が公表されていないのかを整理します。後半では、同じ種類の改ざんを自社サイトで見つける手順を、実際に動かしたスクリプトとともにまとめました。 ## まとめ：イビデンのサイト改ざんで確定した事実 - **何が起きたか**：2026年4月13日7時30分頃、公式サイトに同社と無関係なサイトの案内が表示されていることを確認。サーバーをシャットダウンし、サイトへのアクセスを止めた。 - **原因**：最終報告で「外部ウェブサーバーへの不正アクセス」と特定。侵入の手口や悪用された脆弱性は公表されていない。 - **被害範囲**：ウェブページ以外への侵入とランサムウェアの形跡はなし。顧客情報・個人情報の漏えい、製造や出荷に関わる社内システムの停止もなく、業績への影響はないとしている。 - **復旧**：4月13日22時までに暫定措置で閲覧できる状態に戻し、4月28日に完全復旧。第三者機関が安全性を検証した新しいウェブサーバー環境で運営している。 - **その後**：最終報告の後に確認できた言及は、9月29日発行の統合報告書2026。情報セキュリティ対策の項でこの障害に触れ、年1回の外部ペネトレーションテストを実施していると記載した。 ## イビデンのサイト改ざんの時系列：発覚から統合報告書での言及まで 開示文書と報道に書かれた日時を並べると、4月13日7時30分頃の確認から同日22時までに暫定復旧し、完全復旧は15日後の4月28日です。 | 日時 | 出来事 | 出典 | | ------------- | --------------------- | ------------ | | 4月12日夜〜13日午前 | 外部から攻撃を受けた可能性 | 日本経済新聞（報道のみ） | | 4月13日（月）7:30頃 | 無関係なサイトの案内の表示を確認 | 第1報 | | 同日（確認後すぐ） | サーバーをシャットダウンしアクセス停止 | 第1報 | | 4月13日 | 第1報を開示（侵入経路は調査中） | 第1報 | | 4月13日 22:00まで | 暫定措置で閲覧できる状態に復旧 | 第2報 | | 4月14日 | 第2報を開示（一部機能は制限中） | 第2報 | | 4月28日（火） | 完全復旧、最終報告を開示 | 最終報告 | | 9月29日 | 統合報告書2026を発行（p.64で言及） | 統合報告書2026 | ### 第1報と第2報で判明した被害状況と暫定復旧後の制限 [4月13日の第1報](https://japanir.jp/wp-content/uploads/2026/04/4062-20260413-01.pdf)は「当社とは無関係なサイトの案内が表示される状態」を確認し、サーバーを止めたという内容です。不正なページの表示以外に、個人情報の漏えいをはじめとする被害は「現時点で」確認していないとし、外部からの侵入経路を特定中だと書いています。 [4月14日の第2報](https://japanir.jp/wp-content/uploads/2026/04/4062-20260414-01.pdf)では、前日22時までに暫定措置を講じて表示の不具合を解消したと報告しました。ただし一部の機能は使用を制限したままで、不正アクセスの経路の特定と根本原因の究明はまだ続いていました。日経・Security NEXT・ASCII.jpなどの記事が「侵入経路は不明」と書いているのは、この第2報までの情報に基づくためです。 ### 4月28日の最終報告で示された原因・被害範囲・復旧環境 [最終報告](https://japanir.jp/wp-content/uploads/2026/04/4062-20260428-01.pdf)のタイトルは「当社ウェブサイトにおける障害発生に関する最終報告（復旧完了のお知らせ）」です。第2報から更新された点は次の3つです。 - 原因を「外部ウェブサーバーへの不正アクセス」と特定した。 - 社内調査で、ウェブページ以外への侵入と、ランサムウェアによる攻撃の形跡がないことを確認した。 - 「新しく第三者機関により安全性の検証されたウェブサーバー環境」で運営し、全機能が正常に動いている。 改ざんされた旧サーバーを使い続けるのではなく、新しい環境に移したことは読み取れます。旧サーバーをどう処分したか、同じ基盤の上に作り直したのか別の基盤へ移したのかは書かれていません。攻撃者が置いた[Webシェル](/tech/details/18314/)などのファイルを1つずつ探して消す方法は、1つでも見落とせば再侵入を許します。自社で復旧するなら、イビデンと同じく検証済みの新しい環境へ移すほうを選んでください。 ### 統合報告書2026での言及と年1回の外部ペネトレーションテスト 最終報告の後に同社がこの件に触れた資料として確認できたのは、9月29日に発行を公表した[統合報告書2026](https://www.ibiden.co.jp/ir/items/IntegratedReport2026.pdf)です。64ページの「リスクマネジメント」の「情報セキュリティ対策」に、「2026年4月13日に発生した当社ウェブサイトの障害」へのお詫びと、継続的なシステムセキュリティの強化を進めるという方針が書かれています。 同じ項には、年に1回、外部ペネトレーションテスト（攻撃者がよく使う方法で外部から侵入を試み、脆弱性がないかを確かめるテスト）を実施していると書かれています。ただし、このテストが今回の障害を受けて始めたものか、以前から続けているものかは書かれていません。侵入の手口や原因の詳細も、統合報告書には追加されていません。 ## イビデンの不正アクセスの原因と被害範囲：「ハッキング」「乗っ取り」の正しい範囲 検索では「イビデン ハッキング」「ホームページ 乗っ取り」「ランサムウェア」といった言葉が使われています。開示文書と照らし合わせると、正確なのは次の範囲です。 | 論点 | 最終報告での扱い | | --------------- | ----------------- | | サイトの改ざん | あり（無関係なページを表示） | | 原因 | 外部ウェブサーバーへの不正アクセス | | ウェブページ以外への侵入 | 形跡なし | | ランサムウェア | 形跡なし | | 顧客情報・個人情報の漏えい | 発生していない | | 製造・出荷に関わる社内システム | 停止なし | | 業績への影響 | なし | 「サイトを乗っ取られた」という表現は、公開ページが書き換えられたという意味では当たっています。一方、社内ネットワークに侵入されて工場や業務システムが止まる種類の攻撃ではありません。ランサムウェアの形跡がないことは、最終報告で明記されています。 ### 最終報告でも公表されていない6つの事項 次の6点は、10月18日時点で確認した同社の3本の開示文書と統合報告書2026には書かれていません。これらを断定している記事を見かけたら、何を根拠にしているかを個別に確かめてください。 - **侵入の手口と悪用された脆弱性**：パスワードの漏えいか、ソフトウェアの脆弱性か。 - **CMSやサーバーソフトの種類**：「WordPressの脆弱性が原因」という記述は根拠がない。 - **「外部ウェブサーバー」の意味**：社外に公開しているサーバーなのか、委託先が運用するサーバーなのか。 - **表示されたページの内容**：開示は「無関係なサイトの案内」とだけ書き、カジノという語は報道にしか出てこない。 - **改ざんされていた期間**：開示は確認した時刻だけを書いている。「12日夜から13日午前にかけて攻撃を受けた可能性」は、日経が会社への取材として報じたもの。 - **安全性を検証した第三者機関の名前**。 ## オンラインカジノが表示される改ざんの仕組みと2026年の同種事例 企業サイトにオンラインカジノのページが表示される改ざんは、イビデンだけの問題ではありません。[JPCERT/CCの四半期レポート](https://www.jpcert.or.jp/qr/2026/QR%5FFY2026-Q1.pdf)（2026年4月1日〜6月30日、7月16日公開）では、この四半期に報告されたWebサイト改ざんが181件（4月46件・5月55件・6月80件）で、前四半期の90件から101%増えました。7〜9月分は、10月18日時点でJPCERT/CCの一覧にまだ載っていません。[JPCERT/CC](/tech/details/8688/)は企業や個人からのインシデント報告を受け付ける調整機関で、181件は報告されたWebサイト改ざんのインシデント件数です（同じインシデントへの複数の報告は1件として数えます）。 同レポートは、確認した改ざん事例の1つとして「正規Webサイトで海外オンラインカジノのコンテンツが表示される事例」を挙げています。国内の複数の正規サイトが改ざんされ、検索エンジンのユーザーエージェント（Googlebot）でアクセスしたときだけカジノのコンテンツが表示される状態でした。JPCERT/CCはこれを、カジノサイトを検索結果の上位に出すための[SEOポイズニング](/column/details/4688/)だと見ています。 訪問者には正常なページを、検索エンジンにだけカジノのページを見せる手法は[クローキング](/column/details/4860/)と呼ばれ、ブラウザでサイトを開いても異常に気付けません。Googleの[スパムポリシー](https://developers.google.com/search/docs/essentials/spam-policies?hl=ja)は、こうしてセキュリティ上の脆弱性を突いて許可なく置かれたものを「ハッキングされたコンテンツ」と呼んでいます。 イビデンの開示は攻撃の目的に触れていないため、同社の件がSEOポイズニングだったかどうかは分かりません。訪問者向けの表示にも無関係なページが出ていたので、発覚した当日に止められました。 ### 2026年に公表された同種の改ざん4件の比較 2026年6月以降も、無関係なサイトへの誘導やカジノの表示を伴う改ざんが公表されています。公表文に書かれた内容を並べると、イビデンの件との違いが見えます。 | 組織（公表日） | 見え方 | 公表された原因 | 個人情報 | | --------------- | ---------------- | ----------------- | ----------- | | イビデン（4/13〜4/28） | サイトに無関係なページ | 外部ウェブサーバーへの不正アクセス | 漏えいなし | | ハクゾウメディカル（6/16） | 検索結果などから外部サイトへ誘導 | 第三者による改ざん | サーバーに保存なし | | スコア・ジャパン（9/16） | 検索サイト経由で外部サイトへ誘導 | 不正アクセスでトップページ改ざん | 漏えいなし | | ちばぎん商店（9/17） | カジノのコンテンツを表示 | サーバーへの不正アクセス | 漏えいのおそれ | | 琉球大学（10/9） | カジノらしきサイトを表示 | CMSの脆弱性と推定（調査中） | 漏えいの有無は記載なし | [ハクゾウメディカル](https://www.hakuzo.co.jp/news/3538/)と[スコア・ジャパン](https://www.scorejp.com/PDF/%E3%82%A6%E3%82%A7%E3%83%96%E3%82%B5%E3%82%A4%E3%83%88%E5%85%AC%E9%96%8B%E7%94%A8%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%AE%E3%81%8A%E8%A9%AB%E3%81%B3%5F20260916.pdf)は、検索結果などを経由してアクセスした人が外部サイトへ誘導されたと公表しています（ハクゾウメディカルは「検索エンジンの検索結果や一部のリンク」から、スコア・ジャパンは「検索サイト等を経由して」）。直接URLを開いたときに正常に見えたかどうかは、どちらも書いていません。ただ、この形の誘導は、アクセスの経路で表示を変える仕組みを使えば作れるため、ブラウザで自社サイトを開くだけでは気付けないことがあります。スコア・ジャパンは9月14日9時14分頃の発生から同日18時に復旧しています。 [ちばぎん商店](https://shop.c-value.jp/view/news/20260917153001)の件は、改ざんされたサーバーに問い合わせやキャンペーン応募で入力された個人情報が保存されていたため、表示の改ざんにとどまらず「漏えいのおそれ」として公表されました。対象は個人約192先・法人約722先、メールアドレスのみ約7,670先です。同じ改ざんでも、サーバーに何が置かれていたかで被害の扱いが変わります。[琉球大学](https://www.u-ryukyu.ac.jp/news/97745/)は影響が考えられる期間を10月2日0時から12時12分とし、CMSの脆弱性を使った不正アクセスと推定しています。 ## 改ざんページの閲覧者と取引先が確認すべき端末の安全性と製造・出荷への影響 イビデンは3本の開示すべてで、不正なページにアクセスした可能性がある人に、端末のセキュリティを最新の状態にするよう求めています。表示された時間帯に同社サイトを開いた人は、まず次の3つを済ませてください。 - OSとブラウザを最新版に更新する（ブラウザの脆弱性を使うマルウェアへの備え）。 - セキュリティソフトの定義ファイルを更新し、フルスキャンをかける。 - カジノページでIDやパスワードを入力していた場合は、同じパスワードを使っている全サービスで変更する。カード番号を入力していた場合はカード会社に連絡する。 表示されたページからファイルをダウンロードして開いた、その後に端末の動作がおかしい、といった心当たりがある場合はこの3つでは足りません。端末をネットワークから外し、会社の端末なら情報システム部門に、個人の端末ならセキュリティソフトのサポート窓口に相談してください。 同社は、顧客情報や個人情報の漏えいはなかったとしています。サイトを見ただけで、イビデンに預けた情報が流出したわけではありません。 取引先の立場では、最終報告の「製造や出荷などに関わる障害は一切発生しておらず」という記述が判断材料になります。部品の供給が止まる種類の事案ではありませんでした。 ## 自社サイトで検索エンジン向けの改ざんを見つける表示比較と検索結果の確認手順 検索エンジンや検索経由の訪問者にだけカジノのページを見せる改ざんは、ブラウザで自社サイトを開いても見つかりません。サイト運営者が確認できる方法は3つあります。 ### User-Agent別に自社サイトのページの中身を比べるスクリプト 通常のブラウザ、PC版Googlebot、スマートフォン版Googlebot、Google検索からの流入（Refererあり）の4通りで同じURLを取得し、中身のハッシュ値を比べます。スマートフォン版を入れているのは、Googleが[Googlebotの説明](https://developers.google.com/search/docs/crawling-indexing/googlebot?hl=ja)で「クロール リクエストの大部分はモバイル クローラーを使用して行われ」と書いているためです。User-Agentの文字列は[Googleのクローラー一覧](https://developers.google.com/search/docs/crawling-indexing/google-common-crawlers?hl=ja)に載っている現行の形式に合わせ、Chromeの版数を141に固定した模擬アクセスです。実行するのは自社が管理するサイトに限り、他社のサイトへ繰り返し実行しないでください。 ``` #!/bin/sh # 使い方: sh check_cloak2.sh https://www.example.co.jp/ URL="$1" USER='Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0 Safari/537.36' BOT='Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; Googlebot/2.1; +http://www.google.com/bot.html) Chrome/141.0.0.0 Safari/537.36' MBOT='Mozilla/5.0 (Linux; Android 6.0.1; Nexus 5X Build/MMB29P) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Mobile Safari/537.36 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)' h() { f=$(mktemp) || return 1 curl -fsSL --max-time 30 "$@" -o "$f" "$URL" && [ -s "$f" ] || { rm -f "$f"; return 1; } d=$(shasum -a 256 "$f") || { rm -f "$f"; return 1; } rm -f "$f"; echo "$d" | cut -c1-16 } fail() { echo "取得失敗（$1）: URLとHTTPステータスを確認"; exit 1; } a=$(h -A "$USER") || fail 通常 b=$(h -A "$BOT") || fail PC版Googlebot m=$(h -A "$MBOT") || fail スマホ版Googlebot c=$(h -A "$USER" -e 'https://www.google.com/') || fail 検索経由 echo "通常=$a PC版Googlebot=$b スマホ版Googlebot=$m 検索経由=$c" for x in "$b" "$m" "$c"; do [ "$x" = "$a" ] || { echo "不一致: 差分を目視で確認"; exit 2; }; done echo "一致" ``` 出し分けの条件を変えた検証用サーバーを手元に立て、macOS 26.6.2・curl 8.7.1で実行しました。Googlebotを名乗るアクセスすべて、スマートフォン版Googlebotだけ、Google検索からの流入だけ、の3条件でカジノ用のHTMLを返すようにすると、どの条件でも該当する列のハッシュだけが変わり「不一致」（終了コード2）になりました。 ``` [Googlebot全般に出し分け] 通常=2d7775a7969b70e4 PC版Googlebot=ecb300659b85e0de スマホ版Googlebot=ecb300659b85e0de 検索経由=2d7775a7969b70e4 [スマホ版Googlebotだけに出し分け] 通常=2d7775a7969b70e4 PC版Googlebot=2d7775a7969b70e4 スマホ版Googlebot=ecb300659b85e0de 検索経由=2d7775a7969b70e4 [検索経由の訪問者だけに出し分け] 通常=2d7775a7969b70e4 PC版Googlebot=2d7775a7969b70e4 スマホ版Googlebot=2d7775a7969b70e4 検索経由=ecb300659b85e0de ``` 2つ目の結果のとおり、PC版のUser-Agentだけで比べると、スマートフォン版にだけ出し分ける改ざんは「一致」と判定されて見逃します。3つ目は検証用に作った条件で、ハクゾウメディカルやスコア・ジャパンが公表した「検索経由などで誘導される」という現象を、Refererによる出し分けで再現したものです。両社の改ざんが実際にこの仕組みだったかは公表されていません。https://example.com/ では4つとも一致しました（終了コード0）。 取得の失敗を「一致」と取り違えないよう、`-f` でHTTPのエラー応答を、`[ -s ]` で空の応答を失敗として扱っています。503を返すサーバー、本文の途中で接続を切るサーバー（curlの終了コード18）、存在しないホスト、`shasum` が失敗する環境のいずれでも「取得失敗」（終了コード1）で止まることを確かめました。`-L` は、http から https への転送先まで取りにいくために付けています。`shasum` が無いLinux環境では、`shasum -a 256` の部分を `sha256sum` に置き換えてください。 このスクリプトで見つからない改ざんもあります。ページ内にCSRFトークンや日時を埋め込むサイトは、改ざんがなくても毎回ハッシュが変わるので、HTMLをファイルに保存してdiffで中身を比べます。攻撃者がアクセス元のIPアドレスでGooglebotを見分けている場合は、User-Agentを偽装しても本物と同じ応答は返りません。自社のWAFやCDNがGooglebotを名乗る偽装アクセスを403などで遮断する設定だと、改ざんの有無にかかわらず「取得失敗（PC版Googlebot）」で止まります（検証用サーバーでも同じ結果でした）。その場合は、WAFやサーバーのログで遮断が理由だと確かめてから、点検する端末のIPアドレスだけを一時的に遮断の対象外にし、点検が終わったら設定を元に戻します。HTML内のJavaScriptが参照元を見て転送する型は、curlがJavaScriptを実行しないためハッシュには差が出ません。Googleの[セキュリティの問題レポートのヘルプ](https://support.google.com/webmasters/answer/9044101?hl=ja)も、HTMLへのJavaScriptリダイレクトの挿入を手口の例に挙げています。保存したHTMLに見覚えのない `