事案の概要データ
| 公表日 | 2026年11月5日 |
|---|---|
| 対象 | 心理学部オリジナルWebサイト |
| 原因 | 管理者用アカウントが不正に使用され、不正なプログラムが設置された |
| 表示されていた期間 | 2026年10月16日 夜 〜 10月19日 昼頃（約3日間） |
| 閲覧者に表示されたもの | コマンド実行を求める偽の画面、古いiOS端末を狙う仕掛け |
| 個人情報 | 流出は確認されていない |
| 分類 | Webサイトの改ざん（マルウェアの設置を伴う） |
図解：この事故の構造
何が起きたのか
明治学院大学は2026年11月5日、心理学部オリジナルWebサイトで管理者用アカウントが不正に使用され、不正なプログラムが設置されていたと公表しました。
2026年10月16日の夜から19日の昼頃まで（約3日間）、閲覧者にコマンド実行を求める偽の画面や、古いiOS端末を狙う仕掛けが表示されていた可能性があります。
個人情報の流出は確認されていません。
この事案の被害者は、大学ではなく、サイトを見に来た人です。
「コマンド実行を求める偽の画面」とは何か
これは、ここ数年で急増している手口です。かみくだいて説明します。
Webサイトを開くと、「エラーが発生しました」「表示を修復するには以下の手順を実行してください」という画面が出ます。 そして、こう書かれています。
「①下のボタンを押してコピー ②Windowsキー+R を押す ③貼り付けてEnter」
言われたとおりにすると、自分のパソコンで、攻撃者が用意した命令が実行されます。 ウイルスがダウンロードされ、インストールされます。
ウイルス対策ソフトをすり抜けやすいのが、この手口の厄介なところです。なぜなら、不正なファイルをダウンロードさせるのではなく、利用者自身に操作させているからです。本人が自分で実行したことになります。
この手口は「ClickFix（クリックフィックス）」などと呼ばれます。呼び名を覚える必要はありません。覚えるべきは、1つだけです。
Webサイトの指示に従って、パソコンでキーボード操作をしてはいけません。
正規のサイトが、閲覧者に「Windowsキー+Rを押してください」と指示することは、絶対にありません。
従業員の方に伝えるなら、この一文で足ります。「サイトを見ていて『この手順を実行してください』と出たら、何もせずタブを閉じる」。
本件のように、信頼できるはずの大学のサイトでも起きます。 「怪しいサイトを見なければ大丈夫」ではありません。
自社サイトが、お客様を攻撃する側になる
この事案で、中小企業が自分ごととして受け止めるべき点があります。改ざんされたサイトは、訪問者を攻撃します。
情報漏えいなら、被害は「自社の顧客情報が出ていく」ことです。改ざんは違います。自社のサイトが、お客様や取引先のパソコンをウイルスに感染させる装置になります。
そして、3日間も気づきませんでした。 なぜか。自分のサイトを毎日見ている人は、いないからです。
ホームページを持っている中小企業が、今日できることを挙げます。
1. 管理画面のパスワードを変える。 本件の原因は「管理者用アカウントの不正使用」です。制作時から変えていないパスワードはありませんか。
2. 管理画面に多要素認証を入れる。 WordPressならプラグインで追加できます。
3. 使っていないプラグイン・テーマを削除する。 入れたまま更新していないものが、入口になります。
4. 月に1回、自分のサイトをスマートフォンで開いてみる。 普段と違う画面が出ないか。これだけで、3日間気づかないという事態は防げます。
5. Google Search Console に登録する。 無料で、Googleが改ざんや不正なプログラムを検知するとメールで知らせてくれます。登録していない中小企業が非常に多いのですが、効果は大きいです。
本サイトでは2026年に、島根県のECサイト（EC-CUBEのプラグインの脆弱性から決済画面に不正なファイルが設置）など、同じ性質の事案を扱っています。サイトの改ざんは、情報漏えいより気づきにくく、被害が外に向かいます。
時系列で見る経過
- 2026年10月16日 夜管理者用アカウントが不正に使用され、不正なプログラムが設置される。閲覧者への偽画面の表示が始まる
- 2026年10月19日 昼頃表示が止まる（約3日間）
- 2026年11月5日明治学院大学が公表。個人情報の流出は確認されていない
中小企業が学ぶべきポイント
- 被害者は大学ではなく、サイトを見に来た人。改ざんは訪問者を攻撃する。
- 「コマンド実行を求める偽の画面」は、利用者自身に操作させるため、ウイルス対策ソフトをすり抜けやすい。
- 正規のサイトが閲覧者に「Windowsキー+Rを押してください」と指示することは絶対にない。
- 従業員には「サイトで『この手順を実行してください』と出たら、何もせずタブを閉じる」と伝える。
- 大学のサイトでも起きる。「怪しいサイトを見なければ大丈夫」ではない。
- 原因は管理者用アカウントの不正使用。制作時から変えていないパスワードを確認する。
- 3日間気づかなかった。自分のサイトを毎日見ている人はいない。
- 月に1回、自分のサイトをスマートフォンで開いてみる。それだけで数日気づかない事態は防げる。
- Google Search Console に登録すると、改ざんや不正プログラムの検知をメールで知らせてくれる。無料。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。