学研メディカルサポート、管理するWordPressサイト78件で不正アクセス不正アカウント生成やパスワード書き換えを確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

株式会社学研メディカルサポートは2026年8月4日、同社Web制作事業部が管理するWebサイトで、WordPressの脆弱性を狙った不正アクセスが発生したと公表しました。対象は、WordPressのバージョンアップを実施予定だった78サイトです。現時点で、Webサイトの閲覧障害や個人情報・問合せ情報の流出、不正利用は確認されていないとしています。

サマリー

学研メディカルサポートが管理するWordPressサイトで不正アクセスが発生しました
影響として、不正なアカウント生成と既存アカウントのパスワード書き換えが確認されています
対象はWordPressのバージョンアップを実施予定だった78サイトです
2026年8月3日中に管理画面の認証強化、WordPressの緊急アップデート、アカウント情報の復旧を完了しています
個人情報・問合せ情報の流出や不正利用は現時点で確認されていませんが、対象サイトの管理者はログやアカウントの再点検が必要です

項目	内容
公表日	2026年8月4日
被害企業	株式会社学研メディカルサポート
発生日時	2026年8月3日午前に同社が不正アクセスを確認
対象	同社Web制作事業部が管理し、WordPressのバージョンアップを実施予定だった78サイト
確認された影響	WordPress内の不正なアカウント生成、既存アカウントのパスワード書き換え
漏洩情報の内容	現時点で個人情報・問合せ情報の流出や不正利用は確認されていない
サイト利用への影響	現時点で閲覧障害などは確認されていない
個人情報保護委員会への報告状況	公表文では、個人情報保護委員会への報告に関する記載は確認できない
対応状況	2026年8月3日15時30分にWordPress管理画面の追加認証を完了。同日21時にWordPressの緊急バージョンアップとアカウント情報の復旧を完了
原因	WordPressの脆弱性を狙った不正アクセスと説明されているが、具体的な脆弱性、CVE番号、プラグイン名、テーマ名、侵入経路の詳細は公表されていない

何が起きたか

学研メディカルサポートの公表によると、2026年8月3日午前、同社Web制作事業部が管理するWebサイトで不正アクセスが確認されました。対象は、WordPressのバージョンアップを実施予定だった78サイトです。

確認された影響は、WordPress内に不正なアカウントが生成されたことと、既存アカウントのパスワードが書き換えられたことです。WordPress管理画面のアカウントが攻撃者に操作された可能性があるため、単なる閲覧障害ではなく、管理権限に関わるインシデントとして見る必要があります。

一方で、同社は現時点で各Webサイトの閲覧や利用に関する障害は確認されていないと説明しています。個人情報や問合せ情報についても、流出や不正利用は確認されていないとしています。あくまで公表時点の確認結果であり、同社は引き続き安全確保と継続監視を行うとしています。

原因

公表文では、Webサイト作成ツールであるWordPressの脆弱性を狙った不正アクセスが発生したと説明されています。ただし、具体的にどのWordPress本体、プラグイン、テーマの脆弱性が悪用されたのかは明らかにされていません。CVE番号、攻撃に使われた通信経路、不正アカウントが作成された範囲、管理者権限の有無なども公表文からは確認できません。

WordPressは本体だけでなく、プラグインやテーマ、管理画面の認証設定、サーバ側の権限設定まで含めて攻撃面が広がりやすいCMSです。過去には、WordPressの人気バックアッププラグインWPvivid Backup & Migrationに重大な脆弱性のように、プラグイン側の不備が任意ファイルアップロードやリモートコード実行につながる事例も確認されています。

今回のリリースだけでは、WordPress本体の更新遅れが直接原因だったのか、プラグインやテーマの脆弱性、管理者アカウントの認証情報、サーバ設定の問題が関係したのかまでは判断できません。そのため、原因についてはWordPressの脆弱性を狙った不正アクセスと説明されているが、技術的な詳細は未公表と整理するのが妥当です。

学研メディカルサポートの対応

学研メディカルサポートは、2026年8月3日15時30分にWordPress管理画面を表示するための追加認証を設定したとしています。管理画面の前段に追加認証を置くことで、攻撃者がWordPressのログイン画面へ直接到達するリスクを下げる狙いがあると考えられます。

同日21時には、WordPressの緊急バージョンアップとアカウント情報の復旧を完了したと説明しています。今回の影響には既存アカウントのパスワード書き換えが含まれているため、単にWordPressを更新するだけでなく、不正アカウントの削除、既存アカウントの棚卸し、パスワード再設定、管理者権限の確認まで実施しているかが実務上の確認ポイントになります。

対象サイトの管理者には順次個別に連絡するとしており、同社は今後もWebサイトの安全確保と継続監視を行い、新たな事実や変更が生じた場合は速やかに案内するとしています。

情報漏洩の可能性と二次被害リスク

公表時点で、個人情報・問合せ情報の流出や不正利用は確認されていません。個人情報保護委員会への報告についても、今回の公表文では記載を確認できませんでした。

ただし、WordPressの管理画面に対する不正操作が確認された場合、問い合わせフォームの送信履歴、投稿データ、会員情報、管理者メールアドレス、外部サービス連携情報などが残っていないかを確認する必要があります。WordPressサイトは、見た目には正常に閲覧できていても、管理画面やファイル領域に不正なユーザー、不審なプラグイン、Webシェル、外部リダイレクト用のコードが残ることがあります。

似た事案として、企業サイトで不正ページ表示が確認されたイビデンの公式サイト改ざんの恐れや、外部からの不正アクセス後に情報流出の有無が焦点となった事例もあります。今回も、流出未確認という発表だけで安心するのではなく、ログ調査と管理画面の権限確認を組み合わせる必要があります。

対象サイト管理者が確認すべきこと

対象サイトの管理者は、学研メディカルサポートからの個別連絡を待つだけでなく、自社側で管理している情報の範囲を確認しておくべきです。特に、サイト上で問い合わせフォームを運用している場合、フォーム送信内容がWordPressのデータベースや管理画面に保存されているか、メール転送のみかで、確認すべき範囲が変わります。

WordPress管理者、編集者、投稿者などのアカウント一覧を確認し、見覚えのないユーザーや不要な管理者権限がないかを点検してください。パスワードの変更に加えて、使い回しパスワードの有無、多要素認証の導入状況、管理画面へのアクセス制限も見直す必要があります。

自社サイトの運用を外部委託している場合でも、インシデント時の責任分界点はあいまいになりがちです。どの会社がWordPress本体、プラグイン、テーマ、サーバOS、WAF、バックアップ、ログ保管を管理しているのかを整理しておくことが、初動対応の遅れを防ぎます。

情報システム部門への示唆

情報システム部門にとって、今回の事案はWordPressを社内システムではなく広報・制作部門の管理対象として見ている組織ほど注意が必要です。企業サイト、採用サイト、キャンペーンサイト、問い合わせフォームは、社内の基幹システムと比べて管理台帳から漏れやすく、更新責任や脆弱性対応の期限が曖昧になりやすい領域です。

自組織でWordPressを利用している場合は、WordPress本体、プラグイン、テーマのバージョン、管理者アカウント、外部委託先、問い合わせ情報の保存有無を一覧化してください。更新予定だったサイトが攻撃を受けたという点からも、更新計画だけでなく、更新までの一時的なアクセス制限やWAFルール、管理画面へのIP制限をセットで考える必要があります。

不正アクセスの基本的な対策は、不正アクセスとは何かを整理した解説でも触れているように、脆弱性管理、認証強化、ログ監視、権限管理の積み重ねです。WordPressでは、管理画面の多要素認証、不要なアカウント削除、プラグインの最小化、バックアップの世代管理、ファイル改ざん検知、問い合わせデータの保存期間短縮を実施してください。

二次被害の観点では、対象サイトの管理者や問い合わせ利用者を装ったフィッシングにも注意が必要です。現時点で情報流出は確認されていないものの、不正アクセスの公表後には、復旧連絡や情報確認を装うメール、偽の管理画面、パスワード再設定を求める連絡が発生する可能性があります。社外向けサイトを運用する部門と情シスが連携し、正規の連絡経路と注意喚起文を早めに整理しておくべきです。