イビデンのサイバー攻撃（不正アクセス）｜2026年4月のサイト改ざんの経緯・原因と最終報告

2026年4月13日、電子部品メーカーのイビデン株式会社（東証プライム・名証プレミア、証券コード4062）の公式サイトに、同社とは無関係なページが表示されました。ITmedia NEWSは海外オンラインカジノとみられるページだったと報じていますが、表示された内容はイビデンの開示文書には書かれていません。同社は同日に第1報、翌14日に第2報を適時開示し、4月28日の最終報告で完全復旧を公表しました。

原因について報道の多くは第2報時点の「侵入経路は調査中」で止まっています。この記事では、3本の開示文書と9月29日発行の統合報告書2026の原文から、何が確定し、何が公表されていないのかを整理します。後半では、同じ種類の改ざんを自社サイトで見つける手順を、実際に動かしたスクリプトとともにまとめました。

まとめ：イビデンのサイト改ざんで確定した事実

• 何が起きたか：2026年4月13日7時30分頃、公式サイトに同社と無関係なサイトの案内が表示されていることを確認。サーバーをシャットダウンし、サイトへのアクセスを止めた。
• 原因：最終報告で「外部ウェブサーバーへの不正アクセス」と特定。侵入の手口や悪用された脆弱性は公表されていない。
• 被害範囲：ウェブページ以外への侵入とランサムウェアの形跡はなし。顧客情報・個人情報の漏えい、製造や出荷に関わる社内システムの停止もなく、業績への影響はないとしている。
• 復旧：4月13日22時までに暫定措置で閲覧できる状態に戻し、4月28日に完全復旧。第三者機関が安全性を検証した新しいウェブサーバー環境で運営している。
• その後：最終報告の後に確認できた言及は、9月29日発行の統合報告書2026。情報セキュリティ対策の項でこの障害に触れ、年1回の外部ペネトレーションテストを実施していると記載した。

イビデンのサイト改ざんの時系列：発覚から統合報告書での言及まで

開示文書と報道に書かれた日時を並べると、4月13日7時30分頃の確認から同日22時までに暫定復旧し、完全復旧は15日後の4月28日です。

第1報と第2報で判明した被害状況と暫定復旧後の制限

4月13日の第1報は「当社とは無関係なサイトの案内が表示される状態」を確認し、サーバーを止めたという内容です。不正なページの表示以外に、個人情報の漏えいをはじめとする被害は「現時点で」確認していないとし、外部からの侵入経路を特定中だと書いています。

4月14日の第2報では、前日22時までに暫定措置を講じて表示の不具合を解消したと報告しました。ただし一部の機能は使用を制限したままで、不正アクセスの経路の特定と根本原因の究明はまだ続いていました。日経・Security NEXT・ASCII.jpなどの記事が「侵入経路は不明」と書いているのは、この第2報までの情報に基づくためです。

4月28日の最終報告で示された原因・被害範囲・復旧環境

最終報告のタイトルは「当社ウェブサイトにおける障害発生に関する最終報告（復旧完了のお知らせ）」です。第2報から更新された点は次の3つです。

• 原因を「外部ウェブサーバーへの不正アクセス」と特定した。
• 社内調査で、ウェブページ以外への侵入と、ランサムウェアによる攻撃の形跡がないことを確認した。
• 「新しく第三者機関により安全性の検証されたウェブサーバー環境」で運営し、全機能が正常に動いている。

改ざんされた旧サーバーを使い続けるのではなく、新しい環境に移したことは読み取れます。旧サーバーをどう処分したか、同じ基盤の上に作り直したのか別の基盤へ移したのかは書かれていません。攻撃者が置いたWebシェルなどのファイルを1つずつ探して消す方法は、1つでも見落とせば再侵入を許します。自社で復旧するなら、イビデンと同じく検証済みの新しい環境へ移すほうを選んでください。

統合報告書2026での言及と年1回の外部ペネトレーションテスト

最終報告の後に同社がこの件に触れた資料として確認できたのは、9月29日に発行を公表した統合報告書2026です。64ページの「リスクマネジメント」の「情報セキュリティ対策」に、「2026年4月13日に発生した当社ウェブサイトの障害」へのお詫びと、継続的なシステムセキュリティの強化を進めるという方針が書かれています。

同じ項には、年に1回、外部ペネトレーションテスト（攻撃者がよく使う方法で外部から侵入を試み、脆弱性がないかを確かめるテスト）を実施していると書かれています。ただし、このテストが今回の障害を受けて始めたものか、以前から続けているものかは書かれていません。侵入の手口や原因の詳細も、統合報告書には追加されていません。

イビデンの不正アクセスの原因と被害範囲：「ハッキング」「乗っ取り」の正しい範囲

検索では「イビデン ハッキング」「ホームページ 乗っ取り」「ランサムウェア」といった言葉が使われています。開示文書と照らし合わせると、正確なのは次の範囲です。

「サイトを乗っ取られた」という表現は、公開ページが書き換えられたという意味では当たっています。一方、社内ネットワークに侵入されて工場や業務システムが止まる種類の攻撃ではありません。ランサムウェアの形跡がないことは、最終報告で明記されています。

最終報告でも公表されていない6つの事項

次の6点は、10月18日時点で確認した同社の3本の開示文書と統合報告書2026には書かれていません。これらを断定している記事を見かけたら、何を根拠にしているかを個別に確かめてください。

• 侵入の手口と悪用された脆弱性：パスワードの漏えいか、ソフトウェアの脆弱性か。
• CMSやサーバーソフトの種類：「WordPressの脆弱性が原因」という記述は根拠がない。
• 「外部ウェブサーバー」の意味：社外に公開しているサーバーなのか、委託先が運用するサーバーなのか。
• 表示されたページの内容：開示は「無関係なサイトの案内」とだけ書き、カジノという語は報道にしか出てこない。
• 改ざんされていた期間：開示は確認した時刻だけを書いている。「12日夜から13日午前にかけて攻撃を受けた可能性」は、日経が会社への取材として報じたもの。
• 安全性を検証した第三者機関の名前。

オンラインカジノが表示される改ざんの仕組みと2026年の同種事例

企業サイトにオンラインカジノのページが表示される改ざんは、イビデンだけの問題ではありません。JPCERT/CCの四半期レポート（2026年4月1日〜6月30日、7月16日公開）では、この四半期に報告されたWebサイト改ざんが181件（4月46件・5月55件・6月80件）で、前四半期の90件から101%増えました。7〜9月分は、10月18日時点でJPCERT/CCの一覧にまだ載っていません。JPCERT/CCは企業や個人からのインシデント報告を受け付ける調整機関で、181件は報告されたWebサイト改ざんのインシデント件数です（同じインシデントへの複数の報告は1件として数えます）。

同レポートは、確認した改ざん事例の1つとして「正規Webサイトで海外オンラインカジノのコンテンツが表示される事例」を挙げています。国内の複数の正規サイトが改ざんされ、検索エンジンのユーザーエージェント（Googlebot）でアクセスしたときだけカジノのコンテンツが表示される状態でした。JPCERT/CCはこれを、カジノサイトを検索結果の上位に出すためのSEOポイズニングだと見ています。

訪問者には正常なページを、検索エンジンにだけカジノのページを見せる手法はクローキングと呼ばれ、ブラウザでサイトを開いても異常に気付けません。Googleのスパムポリシーは、こうしてセキュリティ上の脆弱性を突いて許可なく置かれたものを「ハッキングされたコンテンツ」と呼んでいます。

イビデンの開示は攻撃の目的に触れていないため、同社の件がSEOポイズニングだったかどうかは分かりません。訪問者向けの表示にも無関係なページが出ていたので、発覚した当日に止められました。

2026年に公表された同種の改ざん4件の比較

2026年6月以降も、無関係なサイトへの誘導やカジノの表示を伴う改ざんが公表されています。公表文に書かれた内容を並べると、イビデンの件との違いが見えます。

ハクゾウメディカルとスコア・ジャパンは、検索結果などを経由してアクセスした人が外部サイトへ誘導されたと公表しています（ハクゾウメディカルは「検索エンジンの検索結果や一部のリンク」から、スコア・ジャパンは「検索サイト等を経由して」）。直接URLを開いたときに正常に見えたかどうかは、どちらも書いていません。ただ、この形の誘導は、アクセスの経路で表示を変える仕組みを使えば作れるため、ブラウザで自社サイトを開くだけでは気付けないことがあります。スコア・ジャパンは9月14日9時14分頃の発生から同日18時に復旧しています。

ちばぎん商店の件は、改ざんされたサーバーに問い合わせやキャンペーン応募で入力された個人情報が保存されていたため、表示の改ざんにとどまらず「漏えいのおそれ」として公表されました。対象は個人約192先・法人約722先、メールアドレスのみ約7,670先です。同じ改ざんでも、サーバーに何が置かれていたかで被害の扱いが変わります。琉球大学は影響が考えられる期間を10月2日0時から12時12分とし、CMSの脆弱性を使った不正アクセスと推定しています。

改ざんページの閲覧者と取引先が確認すべき端末の安全性と製造・出荷への影響

イビデンは3本の開示すべてで、不正なページにアクセスした可能性がある人に、端末のセキュリティを最新の状態にするよう求めています。表示された時間帯に同社サイトを開いた人は、まず次の3つを済ませてください。

• OSとブラウザを最新版に更新する（ブラウザの脆弱性を使うマルウェアへの備え）。
• セキュリティソフトの定義ファイルを更新し、フルスキャンをかける。
• カジノページでIDやパスワードを入力していた場合は、同じパスワードを使っている全サービスで変更する。カード番号を入力していた場合はカード会社に連絡する。

表示されたページからファイルをダウンロードして開いた、その後に端末の動作がおかしい、といった心当たりがある場合はこの3つでは足りません。端末をネットワークから外し、会社の端末なら情報システム部門に、個人の端末ならセキュリティソフトのサポート窓口に相談してください。

同社は、顧客情報や個人情報の漏えいはなかったとしています。サイトを見ただけで、イビデンに預けた情報が流出したわけではありません。

取引先の立場では、最終報告の「製造や出荷などに関わる障害は一切発生しておらず」という記述が判断材料になります。部品の供給が止まる種類の事案ではありませんでした。

自社サイトで検索エンジン向けの改ざんを見つける表示比較と検索結果の確認手順

検索エンジンや検索経由の訪問者にだけカジノのページを見せる改ざんは、ブラウザで自社サイトを開いても見つかりません。サイト運営者が確認できる方法は3つあります。

User-Agent別に自社サイトのページの中身を比べるスクリプト

通常のブラウザ、PC版Googlebot、スマートフォン版Googlebot、Google検索からの流入（Refererあり）の4通りで同じURLを取得し、中身のハッシュ値を比べます。スマートフォン版を入れているのは、GoogleがGooglebotの説明で「クロール リクエストの大部分はモバイル クローラーを使用して行われ」と書いているためです。User-Agentの文字列はGoogleのクローラー一覧に載っている現行の形式に合わせ、Chromeの版数を141に固定した模擬アクセスです。実行するのは自社が管理するサイトに限り、他社のサイトへ繰り返し実行しないでください。

#!/bin/sh
# 使い方: sh check_cloak2.sh https://www.example.co.jp/
URL="$1"
USER='Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0 Safari/537.36'
BOT='Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; Googlebot/2.1; +http://www.google.com/bot.html) Chrome/141.0.0.0 Safari/537.36'
MBOT='Mozilla/5.0 (Linux; Android 6.0.1; Nexus 5X Build/MMB29P) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Mobile Safari/537.36 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)'
h() {
  f=$(mktemp) || return 1
  curl -fsSL --max-time 30 "$@" -o "$f" "$URL" && [ -s "$f" ] || { rm -f "$f"; return 1; }
  d=$(shasum -a 256 "$f") || { rm -f "$f"; return 1; }
  rm -f "$f"; echo "$d" | cut -c1-16
}
fail() { echo "取得失敗（$1）: URLとHTTPステータスを確認"; exit 1; }
a=$(h -A "$USER") || fail 通常
b=$(h -A "$BOT") || fail PC版Googlebot
m=$(h -A "$MBOT") || fail スマホ版Googlebot
c=$(h -A "$USER" -e 'https://www.google.com/') || fail 検索経由
echo "通常=$a PC版Googlebot=$b スマホ版Googlebot=$m 検索経由=$c"
for x in "$b" "$m" "$c"; do [ "$x" = "$a" ] || { echo "不一致: 差分を目視で確認"; exit 2; }; done
echo "一致"

出し分けの条件を変えた検証用サーバーを手元に立て、macOS 26.6.2・curl 8.7.1で実行しました。Googlebotを名乗るアクセスすべて、スマートフォン版Googlebotだけ、Google検索からの流入だけ、の3条件でカジノ用のHTMLを返すようにすると、どの条件でも該当する列のハッシュだけが変わり「不一致」（終了コード2）になりました。

[Googlebot全般に出し分け]
通常=2d7775a7969b70e4 PC版Googlebot=ecb300659b85e0de スマホ版Googlebot=ecb300659b85e0de 検索経由=2d7775a7969b70e4
[スマホ版Googlebotだけに出し分け]
通常=2d7775a7969b70e4 PC版Googlebot=2d7775a7969b70e4 スマホ版Googlebot=ecb300659b85e0de 検索経由=2d7775a7969b70e4
[検索経由の訪問者だけに出し分け]
通常=2d7775a7969b70e4 PC版Googlebot=2d7775a7969b70e4 スマホ版Googlebot=2d7775a7969b70e4 検索経由=ecb300659b85e0de

2つ目の結果のとおり、PC版のUser-Agentだけで比べると、スマートフォン版にだけ出し分ける改ざんは「一致」と判定されて見逃します。3つ目は検証用に作った条件で、ハクゾウメディカルやスコア・ジャパンが公表した「検索経由などで誘導される」という現象を、Refererによる出し分けで再現したものです。両社の改ざんが実際にこの仕組みだったかは公表されていません。https://example.com/ では4つとも一致しました（終了コード0）。

取得の失敗を「一致」と取り違えないよう、-f でHTTPのエラー応答を、[ -s ] で空の応答を失敗として扱っています。503を返すサーバー、本文の途中で接続を切るサーバー（curlの終了コード18）、存在しないホスト、shasum が失敗する環境のいずれでも「取得失敗」（終了コード1）で止まることを確かめました。-L は、http から https への転送先まで取りにいくために付けています。shasum が無いLinux環境では、shasum -a 256 の部分を sha256sum に置き換えてください。

このスクリプトで見つからない改ざんもあります。ページ内にCSRFトークンや日時を埋め込むサイトは、改ざんがなくても毎回ハッシュが変わるので、HTMLをファイルに保存してdiffで中身を比べます。攻撃者がアクセス元のIPアドレスでGooglebotを見分けている場合は、User-Agentを偽装しても本物と同じ応答は返りません。自社のWAFやCDNがGooglebotを名乗る偽装アクセスを403などで遮断する設定だと、改ざんの有無にかかわらず「取得失敗（PC版Googlebot）」で止まります（検証用サーバーでも同じ結果でした）。その場合は、WAFやサーバーのログで遮断が理由だと確かめてから、点検する端末のIPアドレスだけを一時的に遮断の対象外にし、点検が終わったら設定を元に戻します。HTML内のJavaScriptが参照元を見て転送する型は、curlがJavaScriptを実行しないためハッシュには差が出ません。Googleのセキュリティの問題レポートのヘルプも、HTMLへのJavaScriptリダイレクトの挿入を手口の例に挙げています。保存したHTMLに見覚えのない <script> が無いかも見てください。既存ページはそのままで新しいURLにカジノページを追加する型は、既存ページを比べても見つかりません。サイトマップやGoogle Search Consoleの「ページ」レポートに見覚えのないURLが無いかも確認してください。

Google Search ConsoleのURL検査とセキュリティの問題レポート

IPアドレスで出し分けている改ざんは、Googleが実際に取得したページを見ないと分かりません。Google Search ConsoleのURL検査ツールは、Googleが認識しているページを表示します。Googleのヘルプも、多くの攻撃者はGoogleのマシンにだけ見える変更を加えるため、この方法が役立つと説明しています。

Googleがサイトのハッキングを検出すると、Search Consoleの「セキュリティの問題」レポートに「ハッキングされたコンテンツ」として表示されます。すべてのページで修正したらレポートから審査をリクエストします。ヘルプによれば、審査の完了には数日から数週間かかります。

検索結果に残ったカジノページのURLを一時非表示と恒久削除で消す手順

改ざんで作られたURLは、サーバーを直した後も検索結果に残ることがあります。Search Consoleの非表示ツールを使えば、該当URLを約6か月間、検索結果から隠せます。ただしこれは一時的な措置です。恒久的に消すには、改ざんで作られたファイルを削除し、そのURLで404か410を返すようにします。

サイト全体を非表示ツールでブロックするのは避けてください。非表示ツールのヘルプもサイト全体のブロックは勧めておらず、正規のページまで検索結果から消えてしまいます。

イビデンの段階的な公表から読むインシデント対応と個人情報漏えい報告の判断

イビデンの対応で参考になるのは、発覚当日に第1報を出し、確定していないことを「現時点で」「調査中」と書き分けた点です。第2報で暫定復旧と残る課題を、最終報告で原因・影響・再発防止をそれぞれ示しており、各報で何が更新されたのかを追えます。

一方で、最終報告も統合報告書も侵入の手口に触れていません。手口をどこまで書くかは会社の判断ですが、同じ攻撃を受けうる他社にとっては手口の情報が最も役に立ちます。上の4件のうち手口まで書いたのは、CMSの脆弱性と推定した琉球大学だけでした。自社で同じ事態が起きたときは、JPCERT/CCへ手口を報告して共有してください。

個人情報保護法上の報告の要否も、早い段階で判断が要ります。ちばぎん商店の例のように、改ざんされたサーバーが問い合わせフォームなどの個人データを扱っていた場合、不正アクセスによる漏えいの「おそれ」があれば（個人情報保護法施行規則7条3号。フォームで取得しようとしている個人情報のうち、個人データとして扱う予定のものも含みます）、件数にかかわらず個人情報保護委員会への報告対象になります。ただし、高度な暗号化など個人の権利利益を守る措置を講じたデータは対象から外れます。期限と記載事項は個人情報保護委員会への報告義務の解説にまとめています。公開サーバーやCMSに同種の穴が残っていないかを第三者の目で確かめるなら、脆弱性診断・セキュリティ診断で対象範囲の洗い出しから相談できます。社内の体制づくりから始めるなら、CSIRTの役割も確認してください。

2026年に公表された国内の不正アクセス事案では、さくらインターネットの管理基盤経由の侵害や村田製作所の情報漏洩のように、個人情報へのアクセスや取得のおそれを伴うものもありました。イビデンの件は公開サイトの改ざんに被害が限られた例です。

よくある質問

イビデンはランサムウェアの被害を受けたのですか？

形跡はないと公表されています。2026年4月28日の最終報告で、社内調査の結果、ウェブページ以外への侵入やランサムウェアによる攻撃の形跡はないと確認したと公表しています。

イビデンのホームページは今見ても安全ですか？

同社は2026年4月28日の最終報告で完全復旧を公表しました。第三者機関が安全性を検証した新しいウェブサーバー環境で運営され、全機能が正常に動いているとしています。統合報告書2026では、年に1回外部ペネトレーションテストを実施していると記載しています。

サイト改ざんでイビデンの業績や株価に影響はありましたか？

最終報告では「本事案による当社業績への影響はございません」としています。顧客情報の漏えいや、製造・出荷に関わる社内システムの停止も起きていません。株価への影響について、同社の開示は触れていません。

改ざんされたページを見てしまった場合はどうすればいいですか？

OSとブラウザ、セキュリティソフトを最新にしてください。イビデンも端末のセキュリティを最新の状態に保つよう求めています。カジノページでパスワードを入力した場合は同じパスワードを使っている全サービスで変更し、カード番号を入力した場合はカード会社にも連絡してください。

「イビデン エンジニアリング 不祥事」で出てくる事件は今回の件と関係ありますか？

労働判例で「イビデン事件」と呼ばれる裁判のことであれば、今回の件とは関係ありません。この裁判は、グループ会社で働く従業員の間のセクハラをめぐり、親会社イビデンの対応義務が争われたものです。最高裁第一小法廷は2018年（平成30年）2月15日の判決（平成28年(受)第2076号）で、親会社の賠償責任を認めませんでした。判決文に出てくるグループ会社は株式会社イビデンキャリア・テクノとイビデン建装株式会社で、イビデンエンジニアリングの名前はありません。2026年4月のサイト改ざんとも別の事案です。

関連記事

• SEOポイズニングとは？仕組み・手口と実際の攻撃事例・企業が取るべき対策
• クローキングとは？Googleの定義・手動対策・該当しない出し分け
• Webシェルとは？Tomcatへの設置手口と検知・除去の手順をコマンド例で解説
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• JPCERT/CCとは？読み方（ジェーピーサート）・役割・IPAとの違いと報告先