観光サイト「飛騨高山旅ガイド」に不正アクセス、一部情報が漏えい

事案の概要データ

図解：この事故の構造

何が起きたのか

飛騨・高山観光コンベンション協会は2026年10月25日、運営する観光公式サイト「飛騨高山旅ガイド」への不正アクセスにより、一部の情報が漏えいしたと公表しました。

漏えいした情報の種類と件数は公表されていません。侵入の手口も明らかになっていません。

なお、高山市の告知によれば、このサイトは10月23日からPHPの重大な脆弱性への対応のため閲覧停止になっています。ただし、サイト停止の理由と不正アクセスの原因との関係は公表されていません。

PHPの脆弱性とは何か

PHPは、Webサイトを動かすためのプログラム言語です。WordPressをはじめ、多くのWebサイトがPHPで動いています。日本の中小企業・団体のサイトも、その多くがPHPです。

PHP自体に弱点（脆弱性）が見つかると、そのPHPで動いているサイト全部が危険になります。サイトの作り方が正しくても、土台が弱ければ侵入されます。

対策は、PHPのバージョンを新しいものに上げることです。ところが、これが放置されがちです。

理由は2つあります。1つは、PHPを上げるとサイトが動かなくなることがあるから。古い作り方をしていると、新しいPHPでは動きません。もう1つは、自分のサイトのPHPが何バージョンかを誰も知らないから。制作会社に作ってもらって以来、誰も触っていないサイトは珍しくありません。

小規模な団体のサイトが狙われている

観光協会、商工会、業界団体、学会、NPO。こうした組織のサイトは、攻撃者から見ると狙いやすい対象です。

理由は明快です。専任のシステム担当者がいないのです。事務局が数人で、総務も経理も広報も兼務している。サイトは数年前に制作会社に作ってもらい、その後は更新もしていない。こういう状態が多いからです。

そして、こうしたサイトには意外とデータがあります。会員名簿、イベント申込者、メールマガジン登録者、エキストラ登録者、モニター応募者。本件と同じ10月26日には、いわきフィルム・コミッション協議会（エキストラ登録者約300人）、広島県教育委員会（モニター応募者65人）の事案も報じられています。

どれも件数は小さいですが、預かっている人からすれば、自分の情報が漏れたことは同じです。

今日できる3つの確認

システム担当者がいない組織でも、できることがあります。

1. 自分のサイトのPHPとCMSのバージョンを確認する。 制作会社やレンタルサーバーの管理画面で分かります。WordPressなら管理画面の「更新」で確認できます。サポートが終わったバージョンを使っていたら、すぐ相談してください。

2. 保守契約があるかを確認する。 「作ってもらったあと、誰が更新しているのか」を、はっきりさせてください。誰もしていないなら、それが最大のリスクです。月数千円の保守契約で、更新してもらえることが多いです。

3. サイトに預かっているデータを棚卸しする。 問い合わせフォームの送信内容、イベント申込、メルマガ登録者。サイト上に何年分溜まっていますか。不要なものは消してください。

この3つは、お金をかけずに今週できます。

時系列で見る経過

• 2026年10月23日観光公式サイトがPHPの重大な脆弱性への対応で閲覧停止（高山市の告知）
• 2026年10月25日協会が、サイトへの不正アクセスで一部の情報が漏えいしたと公表
• （調査中）漏えいした情報の種類・件数、侵入の手口は公表されていない

中小企業が学ぶべきポイント

1. 自分のサイトのPHP・CMSのバージョンを知っておく。土台が古いと、作りが正しくても侵入される。
2. 「作ってもらったあと誰が更新しているか」をはっきりさせる。誰もしていないなら、それが最大のリスク。
3. 専任のシステム担当者がいない団体のサイトは、攻撃者から狙いやすい。
4. サイトに溜まった申込・問い合わせデータを棚卸しし、不要なものを消す。
5. 件数が小さくても、預けた人にとっては自分の情報が漏れたことに変わりはない。

出典・参考

• 飛騨・高山観光コンベンション協会の観光公式サイトに不正アクセス - 岐阜新聞
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope