集英社「HAPPY PLUS COMMUNITY」でCMSの設定不備、特権アカウントを不正に作成される

事案の概要データ

図解：この事故の構造

何が起きたのか

集英社は2026年9月28日、「HAPPY PLUS COMMUNITY」においてCMSの設定不備を突かれ、第三者が特権アカウント（管理者権限を持つアカウント）を不正に作成していたことを公表しました。ブロガー2,835人の個人情報が対象です。

CMS（コンテンツ管理システム）は、Webサイトの記事やページを管理するための仕組みです。WordPressなどが代表例で、多くの企業サイトで使われています。

「設定ミス」と「侵入」の境目

これまでの設定不備の事案——2023年のエイチーム、2024年の積水ハウスやワークスタイルテック——は、「見えてはいけないものが見えていた」という漏えいでした。攻撃者が入ってきたわけではありません。

一方でこの事案は、設定不備が「管理者アカウントを作られる」という、より深い侵害に直結しています。管理者権限を取られれば、情報の閲覧だけでなく、サイトの改ざんや、さらに別のシステムへの侵入も可能になります。

つまり設定ミスは、単なる「うっかり」で済む場合と、侵入の入口になる場合があるということです。

CMSで確認すべき3点

自社サイトでCMSを使っている場合、次の3つを確認してください。

1つ目は、新規ユーザー登録が「誰でもできる」設定になっていないか。初期設定のまま開放されていることがあります。

2つ目は、管理者権限を持つアカウントが何人いるか。退職者や、以前の制作会社のアカウントが残っていないか確認します。

3つ目は、管理画面のログインURLと、ログイン時の多要素認証です。管理画面が標準のURLのまま公開されていると、総当たり攻撃の標的になります。

いずれも費用はかかりません。制作会社に任せている場合でも、「この3点はどうなっていますか」と聞くだけで確認できます。

時系列で見る経過

• 2026年9月CMSの設定不備を突かれ、第三者が特権アカウントを不正に作成
• 2026年9月不正なアカウントの存在を確認し、調査を開始
• 2026年9月28日ブロガー2,835人の個人情報が対象であることを公表

中小企業が学ぶべきポイント

1. CMSの新規ユーザー登録が誰でもできる設定になっていないか確認する。
2. 管理者権限を持つアカウントを数え、不要なものを削除する（特に退職者・旧制作会社）。
3. 管理画面に多要素認証をかける。CMSの管理画面は常に攻撃されている。
4. 設定ミスは「見えてしまう」だけでなく「侵入される」入口にもなる。

出典・参考

• 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab