明治学院大学の学部サイトが改ざん、偽の「ロボット確認」でMacにコマンド実行を促す仕掛け — 管理者アカウントの乗っ取りが起点
明治学院大学は2026年11月5日、心理学部のWebサイトが第三者に改ざんされていたと公表した。管理者用のアカウントが不正に使われ、サイトに不正なプログラムが置かれた。10月16日の夜から19日の昼ごろまで、Macで閲覧した人には「ロボットではないことの確認」を装った偽の画面が表示され、パソコンでコマンドを実行するよう求められた可能性がある。古いiPhoneやiPadを狙う仕掛けもあった。個人情報の流出は確認されていない。部署ごとに作った小さなサイトでも、乗っ取られると訪れた人の端末を攻撃する側に回ることを示す事例である。
背景
大学の公表によると、改ざんされたのは心理学部が独自に運営するWebサイトで、同じ学部の心理臨床センターのサイトには被害がなかった。原因は管理者用アカウントの不正使用で、どのように認証情報が奪われたかは公表されていない。
サイトに置かれた仕掛けは2種類ある。
- Macの閲覧者に、ロボットではないことの確認を装った偽の画面を出し、パソコンでコマンドを実行させようとするもの
- iOS・iPadOS 18.5以前（おおむね2025年7月以降、1年以上更新していない端末）のiPhoneやiPadを狙うもの
大学は、偽の画面の指示どおりにコマンドを実行した人に、端末をネットワークから切り離してウイルス対策ソフトで検査し、その端末で使っていたパスワードを別の端末から変更するよう求めている。iPhoneやiPadで閲覧した人には、OSが18.5以前なら最新版に更新するよう案内している。大学は不正なプログラムを削除し、認証情報を変更し、ログイン時の認証を強化したうえで、安全を確認してからサイトを再開するとしている。調査は続いており、新しい事実がわかれば続報を出す。
リスクの全体像
ロボット確認を装ってコマンドを実行させる手口は、2024年ごろから各国で広く報告されている。画面には「確認のため、表示された手順でキーを押してください」といった指示が出る。利用者が指示どおりにターミナルを開いて貼り付けると、攻撃者が用意した命令が実行され、パスワードやブラウザに保存された情報を盗むプログラムが入り込む。ふだんの確認画面に見えるため、警戒心が働きにくい。偽の警告で電話をかけさせるサポート詐欺と同じく、利用者自身に操作させる点が特徴である。
もう一つの論点は、改ざんされたのが本体ではなく部署のサイトだったことである。部署やキャンペーンごとに作ったサイトは、作った担当者が異動したり、制作会社に任せたままになったりしやすい。管理者アカウントのパスワードが使い回されていたり、多要素認証が設定されていなかったりしても、気づく人がいない。
個人情報が漏れていなくても、被害は小さくない。自社のサイトを見た取引先や顧客の端末が感染すれば、その先の情報漏えいの入口が自社のサイトだったことになる。
チェックリスト
自社や部署のWebサイトを持つ企業は、次の点を確かめる。
- 会社の名前で公開しているWebサイトを、部署サイト、キャンペーンサイト、採用サイトまで含めて一覧にしているか
- サイトごとに管理者アカウントの持ち主と、ログインできる人数を把握しているか
- 管理者のログインに多要素認証を設定しているか。退職者や制作会社の古いアカウントが残っていないか
- サイトの内容が書き換えられたときに気づける仕組み（更新の通知、定期的な目視確認など）があるか
- 社員に、Webサイトの指示でコマンドを実行したり、キー操作で何かを貼り付けたりしてはいけないと伝えているか
- 社用のiPhone、iPad、Macが、OSの更新を長く止めたままになっていないか
打ち手
まず、サイトの棚卸しをする。会社や部署の名前で公開しているサイトを書き出し、担当者、制作会社、管理画面の場所、最後に更新した日をまとめる。使っていないサイトは閉じる。閉じたサイトは乗っ取られない。
次に、管理者のログインを固める。管理者アカウントを使う人ごとに分け、共有のアカウントをやめる。多要素認証を設定し、退職者や契約が終わった制作会社のアカウントを削除する。ログインできる場所を社内や特定の回線に絞れるなら絞る。
最後に、社員への注意を一つ加える。「Webサイトの確認画面がコマンドの実行やキー操作を求めてきたら、閉じて情報システムの担当者に知らせる」。正規の確認画面がターミナルの操作を求めることはない。この一文を社内の案内に入れ、社用端末のOS更新とあわせて点検する。
小さな部署サイトでも、乗っ取られれば訪れた人を攻撃する入口になる。
あわせて読みたい
- サポート詐欺とは？ 偽の警告画面の手口と対処法をやさしく解説
- 【はじめてのセキュリティ 第2回】パスワードと認証 ― 一番身近で一番大事な守り
- WordPress本体のCVE-2026-119977が悪用確認、更新作業の最中にコードを実行される — 7.1.4への更新と更新担当の決め方
Omamori AI の結論
- 事実: 明治学院大学の心理学部サイトが、管理者アカウントの不正使用で改ざんされた。10月16日夜から19日昼ごろまで、Macの閲覧者にコマンドを実行させる偽の確認画面と、古いiPhone・iPadを狙う仕掛けが置かれた。個人情報の流出は確認されていない。
- 判断軸: 会社の名前で公開しているサイトを把握し、管理者のログインを守れているかを問う。
- 打ち手: サイトを棚卸しして不要なものを閉じ、管理者アカウントに多要素認証を設定する。コマンドを求める画面には従わないよう社員に伝える。
経営者視点で考えるべきこと
会社のWebサイトは、本体だけでなく、部署やキャンペーンごとに増えていく。増えたサイトの一つひとつに管理者のログインがあり、どれか一つが破られれば、会社の名前で訪問者を攻撃することになる。経営者が確かめるべきことは3つある。会社の名前で公開しているサイトはいくつあり、それぞれ誰が管理しているか。管理者のログインに多要素認証が設定されているか。改ざんに気づいたとき、誰がサイトを止め、誰が訪問者に知らせるかである。使っていないサイトを一つ閉じることが、最も安い対策になる。
