医療法人鳳應会グループのMedi Face、管理する医療系Webサイト21件へのサイバー攻撃を公表 SEOポイズニングを確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

医療法人鳳應会グループの株式会社Medi Faceは2026年8月14日、同社グループのWebインフラを狙ったサイバー攻撃を検知し、デジタルフォレンジック解析と証拠保全を実施したと発表しました。Medi Face名義で8月16日に公開されたQiita記事とGitHubの技術レポートでは、同社が管理する医療系Webサイト21件が侵害され、Webシェルの設置、WordPressデータベースへの不正コード挿入、SEOポイズニング、ブランドを詐称した偽サイトなどが確認されたと説明しています。本記事では、同社が公開した攻撃の全体像とIoC、管理者向けの検出・防御策を整理します。

一方、患者の個人情報や診療情報へのアクセス、情報流出、診療システムへの影響は公表されていません。攻撃主体の所在や組織性、約4カ月前からMedi Faceを狙って計画していたとする分析も同社側の見解であり、警察や第三者機関が確認した帰属情報ではありません。公表資料の間で検知時刻や対応状況が異なる点にも注意が必要です。

Medi Faceへのサイバー攻撃のサマリー

Medi Faceは2026年8月14日、医療法人鳳應会グループのWebインフラを狙ったサイバー攻撃を公表しました。
8月16日のQiita記事では、Medi Faceが管理する医療系Webサイト21件が侵害されたとしています。21の医療法人・企業がそれぞれ侵害されたという意味ではありません。
GitHubの技術レポートでは、21サイトの130ページ以上に違法賭博関連の構造化データが挿入されたと説明しています。
同社は、PHP Webシェル、WordPressデータベースの改ざん、Google Search Consoleの不正操作、Cloudflare Pagesを利用したブランド詐称、アクセス元に応じて表示を変えるジオクローキングを確認したとしています。
Webシェルがサーバー上へ設置された方法や、最初に悪用された脆弱性・認証情報は公表されていません。Webシェルの実行は侵害後の活動であり、侵入経路そのものとは区別する必要があります。
同社は、22万3,701行のアクセスログなどを解析し、削除されたファイルを含む証拠を保全したとしています。
公式リリースは8月12日19時33分27秒に攻撃を検知したとする一方、Qiita記事は8月13日午前に被害を検知したとしており、記述が一致していません。
Qiita記事は8月14日に警視庁へ被害届を提出したとしていますが、同日付の公式リリースは刑事告訴を含む法的措置を準備中としています。被害届と刑事告訴は別の手続きです。
攻撃者の接続元や首謀者を東京都内で特定したとの主張、インドネシアの組織的攻撃とする帰属、TelegramをC2として利用したとの評価は、Medi Face側の分析であり、第三者による確認は取れていません。
患者の個人情報・診療情報の漏えい、診療システムへの侵入、診療停止などは公表資料で確認できませんでした。
GitHubでは日本語・英語の技術レポートと機械可読形式のIoC一覧が公開されています。本記事では、悪用可能なコードや具体的な操作手順は掲載しません。
公開された5件のIPを海外の脅威情報サービスで照合しましたが、2026年8月17日時点で、同じIPによる他組織への攻撃を裏付ける公開記録は確認できませんでした。
一方、誘導先として挙げられたドメインの一つは、今回の検知以前から複数のCloudflare Pagesを介したURLとしてurlscan.ioに記録されています。同じ運用者や攻撃キャンペーンによるものかは確認できません。

項目	内容
公表日	2026年8月14日。Qiita記事は8月16日に公開
発生日・確認日	公式リリースは8月12日19時33分27秒に検知と説明。Qiita記事は8月13日午前に検知と記載
対象組織	医療法人鳳應会グループ、株式会社Medi Face
対象環境	グループのWebインフラ。Qiita記事ではMedi Faceが管理する医療系Webサイト21件
インシデント	Webシェル設置、WordPressデータベース改ざん、SEOポイズニング、ブランド詐称サイト、ジオクローキングなどを同社が確認
侵入経路	確認できませんでした。Webシェルを設置できた原因となる脆弱性や認証情報の侵害は未公表
漏えい・流出した情報	患者情報、診療情報、その他の個人情報の漏えいは確認できませんでした
対象件数	Webサイト21件、改ざんされたページは130件以上とGitHubで公表。個人情報の対象件数ではありません
診療・業務への影響	診療システムへの影響や診療停止は確認できませんでした
対応状況	Webシェルと不正コードの削除、フォレンジック解析、証拠保全、関係機関やサービス事業者への報告を実施したと説明
警察への対応	Qiita記事では8月14日に警視庁へ被害届を提出。公式リリースでは刑事告訴を含む法的措置を準備中
個人情報保護委員会への報告	公表資料では確認できませんでした

21の医療系WebサイトでWebシェルとSEOポイズニングを確認

Medi Faceの公式リリースは、2026年8月12日19時33分27秒から同社グループのWebインフラに対する攻撃が断続的に続いたと説明しています。その後に公開されたQiita記事では、同社が管理する21の医療系Webサイトが8月12日から13日にかけて同時に侵害されたとしています。

GitHubの技術レポートによると、攻撃者はサーバー上のファイルを操作できるPHP Webシェルを使用し、WordPressのデータベースに違法賭博サイトに関連する構造化データを挿入しました。改ざん対象は130ページ以上とされています。通常のページ表示だけでは不正な情報が見えにくく、検索エンジンを通じて賭博関連ページとして認識させることが狙いだったと同社は分析しています。

ただし、公表資料はWebシェルを起点とした攻撃活動を詳しく説明する一方、Webシェルが最初に設置された経路を明らかにしていません。WordPress本体やプラグインの脆弱性、管理者認証情報、FTP・SSHなどの認証情報、ホスティング環境の設定不備のいずれが原因だったかは不明です。技術レポートには対象サイトがCORESERVER上にあったとの記述がありますが、ホスティングサービス側の脆弱性や共通基盤の侵害が確認されたわけではありません。

Cloudflare Pagesの偽サイトとGoogle Search Consoleの不正操作

Medi Faceは、攻撃者がCloudflare Pages上に同社や提携クリニックの名称を含む偽サイトを作成し、違法賭博サイトへつながる複数段階のリダイレクトを構成したとしています。また、アクセス元の国や端末などに応じて表示内容を変え、日本国内からの調査では不正コンテンツを確認しにくくするジオクローキングが使われたと説明しています。

公表資料にはGoogle Search Consoleの確認用トークンや不正登録に関する記述もあります。ただし、8月14日の公式リリースは「GSC権限の所有権奪取」と表現する一方、GitHubの技術レポートには攻撃者が作成したCloudflare Pages側のサイトをSearch Consoleへ登録したとの説明もあり、どの正規ドメインの管理権限が奪取されたのかは公開資料だけでは判然としません。

本件はCloudflare PagesやGoogle Search Consoleが侵害された事案ではなく、正規サービスの機能が偽サイトの運用や検索結果の操作に利用されたとする事案です。CloudflareやGoogleのシステム自体に脆弱性があったとする公表はありません。

SEOポイズニングは、検索順位や正規サイトの信頼性を悪用して利用者を偽サイトへ誘導する手法です。別の事例はGoogle Gemini CLIとClaude Codeの偽インストールサイトがSEOポイズニングとGoogle Adsでシステム開発者を標的にでも解説しています。

QiitaとGitHubから見る攻撃の全体像

Medi FaceはGitHubで、日本語・英語の技術レポートとIoC一覧を公開しています。リポジトリは8月14日に作成され、8月16日まで更新されています。Qiita記事とGitHubの説明を整理すると、同社が分析した攻撃の流れは次の通りです。

段階	Medi Faceが確認・分析した内容	管理側で確認する記録
1. Webサーバー侵害	WordPressの公開領域にPHP Webシェルが設置され、ファイル操作に使われた	Webアクセスログ、ファイル作成・更新履歴、管理者操作、認証ログ
2. コンテンツ改ざん	WordPressデータベースの投稿本文に、違法賭博に関する構造化データが挿入された	データベース変更履歴、投稿リビジョン、HTML内の構造化データ
3. 検索管理への介入	Google Search Consoleの確認用トークンが埋め込まれ、不正な登録・操作が行われたとされる	Search Consoleの所有者・利用者・確認方法、HTMLファイルとメタタグ
4. 偽サイトと表示制御	Cloudflare Pages上にブランドを詐称するページが作られ、アクセス元の地域や端末に応じて表示・転送先を変えるジオクローキングが使われた	外部URL観測、地域・端末別の応答差、リダイレクト履歴、ブランド監視
5. 外部サイトへの誘導	複数段階の転送を経て違法賭博サイトへ誘導し、アフィリエイト識別子を付与したとされる	DNS・プロキシログ、外部通信ログ、検索結果、利用者からの申告

Qiita記事は、8月12日深夜にWebシェルが設置され、8月12日から13日に21サイトのWordPressデータベースが改ざんされたと説明しています。8月13日午前、Google Search Consoleの表示回数が1日43万9,514回に急増したことから被害を検知し、同日中にWebシェルと不正コードを削除したとしています。この件数は検索結果の表示回数であり、閲覧者数や被害者数ではありません。

ただし、この流れはMedi Faceによる解析結果です。Webシェルを設置できた最初の原因は特定されておらず、5段階すべてについて第三者機関が確認したことを示す公表もありません。

Medi Faceが公開したIoC

IoCは、ログや端末に侵害の痕跡がないかを調べるための手掛かりです。以下はMedi FaceがQiitaとGitHubで公開した情報であり、各IPやドメインについて第三者が悪性判定したことを意味しません。

種別	IoC	Medi Face資料での位置付け
IPアドレス	`103.20.83.86`	Webシェルへのアクセス元として掲載
IPアドレス	`114.10.65.118`	攻撃関連IPとして掲載
IPアドレス	`103.236.188.241`	攻撃関連IPとして掲載
IPアドレス	`182.10.98.57`	攻撃関連IPとして掲載
IPアドレス	`31.56.30.60`	攻撃関連IPとして掲載
Cloudflare Pages	`medi-face.pages.dev`	Medi Faceの名称を使った偽ページ
Cloudflare Pages	`fraise-clinic.pages.dev`	提携クリニックの名称を使った偽ページ
Cloudflare Pages	`jutsu-seribu-bayangan.pages.dev`	中継・転送に使われたとされるページ
Cloudflare Pages	`wewillrockyou.pages.dev`	中継・転送に使われたとされるページ
誘導先ドメイン	`bringmetolife.store`	違法賭博サイトへの誘導先として掲載
誘導先ドメイン	`terreagoodboy.store`	違法賭博サイトへの誘導先として掲載
アフィリエイト識別子	`cSyJDyLy`	誘導URLに付与された識別子
アフィリエイト識別子	`MKPA2AD00002`	誘導URLに付与された識別子
Search Console確認文字列	`2Z_wOjQcGzVd53eRds3fVWKSAaDsyNsUl7AsNymx4tc`	HTMLに挿入されたとされるサイト確認用文字列
ファイル名	`fgh.php`	削除されたWebシェルのファイル名として掲載
ファイル名	`yomanx498.php`	公式リリースで削除されたバックドアファイルの例として掲載
通信先・参照先	`api.telegram.org`	C2関連の指標として掲載

IPアドレスは動的に再割り当てされる可能性があり、共有サービスのドメインには正規通信も含まれます。特にapi.telegram.orgはTelegramが使用する正規ドメインです。これらへの通信やアクセス履歴が一つ一致しただけで侵害と断定せず、2026年8月12日前後の時刻、アクセス先URI、HTTPメソッド、利用アカウント、ファイル変更、他のIoCとの重なりを確認する必要があります。組織全体でドメインを一律遮断すると、正規利用へ影響する可能性もあります。

公開IoCを使った検出方法

Qiita記事にはサーバー上で実行する検索例が掲載されています。本記事では操作コマンドを転載せず、医療機関やWebサイト管理者が確認すべき対象を整理します。

確認対象	検出の観点
公開ファイル	WordPress直下やテーマ、プラグインに未知のPHPファイルがないか、正規配布物や既知の正常版との差分を確認します。特にアップロード領域で実行可能ファイルが新規作成されていないかを調べます
ファイルの変更履歴	攻撃前後に追加・変更されたPHP、設定ファイル、`.htaccess`などを確認します。攻撃者が時刻情報を変更する場合があるため、更新日時だけで除外しません
WordPressデータベース	投稿本文、オプション、ウィジェットなどに、公開IoCのドメイン、アフィリエイト識別子、賭博関連語、意図しない構造化データがないかを確認します
Webアクセスログ	`fgh.php`など通常使われないURIへのアクセス、まれな送信元や利用者識別子、参照元の欠落、時間外の反復アクセス、不自然に大きな応答を抽出します
Search Console	設定画面の利用者と権限、確認済み所有者、HTMLファイル・メタタグなどの所有権確認方法を点検します。セキュリティの問題レポートも確認します
検索結果	自組織のドメインと、公開IoCや賭博関連語を組み合わせて検索し、意図しないページが登録されていないかを確認します。検索結果だけでなく、Search Consoleの表示回数や検索語句の急増も監視します
外部からの表示	国内の通常端末だけで異常が見えない場合に備え、許可された外部監視サービスや隔離環境を使い、地域、端末、利用者識別子による応答差を確認します
サーバープロセスと外部通信	Webサーバーのプロセスから通常想定しないコマンド実行や外部通信が発生していないか、EDR、プロキシ、DNS、ファイアウォールの記録を照合します
管理アカウント	WordPress、ホスティング、SFTP・SSH、データベース、Search Consoleに未知の利用者、APIキー、セッション、認証方法が追加されていないかを確認します

GoogleのSecurity Issues reportに表示されるURLは問題の一例であり、改ざん箇所の完全な一覧ではありません。警告されたページだけを修正するのではなく、同じパターンがサイト全体やデータベースに残っていないかを調べる必要があります。

また、ファイル名やシグネチャの一致だけに依存すると、名称や内容を変えたWebシェルを見逃します。NSAとオーストラリア通信電子局の共同ガイダンスは、正常なファイル構成との差分、アクセスログの異常、Webサーバーから生じる不自然なプロセスや通信を組み合わせて検出するよう求めています。

海外脅威情報で5件のIPを照合　同一IPによる別攻撃は確認できず

セキュリティ対策Labは、公開された5件のIPをAPNICの登録情報と、GreyNoise、AlienVault OTX、urlscan.io、Project Honey Pot、blocklist.de、Shodan InternetDBの公開情報で照合しました。2026年8月17日時点で、これらのIPが別の組織に対して同様のSEOポイズニングを行ったと裏付ける公開記録や、既知の攻撃キャンペーンとの一致は確認できませんでした。

IP	Medi Face資料の説明	APNICの登録情報	海外の公開情報で確認できた内容
`103.20.83.86`	インドネシア、Biznet Networks	カンボジアのMega Truenet Communication名義	主要な公開脅威情報で攻撃記録を確認できず。Shodanはポート情報のみを掲載
`114.10.65.118`	インドネシア	インドネシアのINDOSAT法人向けネットワーク名義	主要な公開脅威情報で攻撃記録を確認できず
`103.236.188.241`	インドネシア	インドネシアのVictory Network名義	主要な公開脅威情報で攻撃記録を確認できず。Shodanは公開サービス情報のみを掲載
`182.10.98.57`	インドネシア	インドネシアのTelkomsel携帯電話網名義	主要な公開脅威情報で攻撃記録を確認できず
`31.56.30.60`	イラン	インドネシアのPT Atharva Telematika Persada名義	主要な公開脅威情報で攻撃記録を確認できず

GreyNoiseでは5件ともインターネット規模のスキャン活動として観測されておらず、AlienVault OTXでも関連パルスは確認できませんでした。urlscan.ioのIP完全一致検索、Project Honey Pot、blocklist.deでも該当する攻撃記録は確認できませんでした。Shodanに掲載された公開ポートは、そのIPが攻撃に使われたことを示す情報ではありません。

脅威情報に記録がないことは、安全性を証明するものでも、Medi Faceのログに残ったアクセスを否定するものでもありません。携帯電話網や動的IPでは利用者が変わる可能性があります。本件の5件は、全期間で恒久的に遮断する根拠ではなく、発生時刻と他の痕跡を組み合わせるための事案固有IoCとして扱うのが適切です。

誘導先ドメインは別のCloudflare Pagesでも観測

IPの完全一致とは別に、誘導先ドメインbringmetolife.storeは、urlscan.ioで今回の検知以前から複数のCloudflare Pagesを含むURLとして記録されています。2026年8月17日の検索時点では同ドメインに一致するスキャンが264件あり、w3bsitemu-lemah.pages.dev、i-need-herbal.pages.dev、im-bogyman.pages.devなど、Medi Faceが公表した4件とは異なるPagesプロジェクトも含まれていました。

もう一つのterreagoodboy.storeも8月9日の観測があり、Medi Faceが示した8月12日の検知より前です。このため、誘導先ドメインやCloudflare Pagesを組み合わせるインフラが、今回の21サイト以外でも使われていた可能性はあります。

ただし、urlscan.ioの記録はURLがスキャンされた事実を示すものであり、掲載されたサイトが侵害されたこと、同じ攻撃者が運用していたこと、Medi Faceへの攻撃と同一キャンペーンだったことを証明しません。関連ドメインの再利用を調べるための手掛かりにとどめる必要があります。

追加で実施すべき防御策

Webシェルを削除し、検索結果から不正ページを消すだけでは再発を防げません。初期侵入の原因が未公表である以上、次の対策を組み合わせる必要があります。

WordPress本体、プラグイン、テーマ、PHP、Webサーバーを更新し、不要な拡張機能とアカウントを削除します。
管理画面、ホスティング、SFTP・SSH、データベース、Search Consoleで多要素認証を有効にし、侵害の可能性があるパスワード、APIキー、セッションを無効化します。
Webサーバーの実行ユーザーが公開コード領域へ自由に書き込めないようにし、ファイルとデータベースの権限を必要最小限にします。WordPress管理画面からのテーマ・プラグインファイル編集も無効化します。
複数サイトで管理者、SFTP、データベースの認証情報を共有せず、サイトごとにアカウントとデータベース利用者を分離します。1サイトの侵害が21サイトへ波及しない設計が必要です。
既知の正常版を基準にしたファイル整合性監視と、データベース内の構造化データ監視を導入します。外部からのページ内容、検索結果、Search Consoleの表示回数も併せて監視します。
WAFや侵入防止機能を導入し、一般的なWeb攻撃のルールを更新します。ただし、WAFだけで未知のWebシェルや盗まれた認証情報の悪用を防げるとは限りません。
Web公開領域を診療・患者情報を扱うシステムからネットワーク分離し、Webサーバーから外部への通信先を必要な範囲に制限します。
Search Consoleから不審な利用者を削除する際は、HTMLファイルやメタタグなど、再確認に使える所有権確認トークンも併せて削除します。利用者だけを消しても再登録される可能性があります。
偽のCloudflare PagesはCloudflareの不正利用窓口へ、検索結果の不正表示はGoogleへ報告します。ブランド名に似たサブドメインや証明書の新規発行も継続的に監視します。
復旧可能なバックアップをWebサーバーから分離して保管し、ファイルだけでなくデータベースと設定、監査ログを含む復旧手順を定期的に検証します。

同社は、削除されたWebシェルの断片、ファイルシステムのメタデータ、タイムスタンプ、ハッシュ値、22万3,701行のサーバーアクセスログを保全したとしています。Qiita記事では、Webシェルと不正コードを8月13日に削除し、JPCERT/CC、Cloudflare、Netcraft、Googleなどへ報告したと説明しました。これらはMedi Faceによる対応状況の公表であり、各機関が同社の解析や攻撃者への帰属を確認したことを意味しません。

Cloudflareによる制限状況には資料間の差があります。8月16日のQiita記事は対象4件すべてが制限されたとしていますが、同日時点のGitHub READMEは4件中2件が制限済みと記載しています。現在の正確な状態は公開資料から確認できませんでした。

「インドネシア発」「東京都内の首謀者」は確定情報ではない

Medi Faceは、複数の海外IPや決済関連情報などの解析から、インドネシアを経由する攻撃基盤と、東京都内から接続した首謀者とみられる人物を特定したと主張しています。また、4月に登録されたドメインなどを根拠として、攻撃が120日以上前から計画されていたと評価しています。

しかし、IPアドレスは利用者本人や物理的な所在地を直接示すものではありません。VPN、プロキシ、携帯電話網、侵害された第三者サーバーなどを経由できます。公開レポートがインドネシアやイランと分類するIPについても、APNICの登録情報とは一致しない例があります。例えば、レポートでインドネシアのBiznet NetworksとされるIPはAPNIC上ではカンボジアの事業者へ割り当てられ、イランとされる別のIPはインドネシアの事業者情報が登録されています。登録国も実際の接続場所を証明するものではありませんが、IP情報だけで国家、組織、個人を特定できないことを示しています。

同様に、Telegram経由の参照情報がアクセスログに残っていたとしても、それだけでTelegramがC2として使われたことや、複数人が組織的に役割分担したことは確定できません。4月に関連ドメインが登録されていた事実も、その時点からMedi Faceを標的としていたことの直接的な証明にはなりません。

現時点で、警察やJPCERT/CCなどが攻撃主体、東京都内の人物、APTとの関連を公式に確認したとする発表は確認できませんでした。記事では、これらをMedi Faceによる解析・主張として扱う必要があります。

患者情報の漏えいや診療システムへの影響は未公表

今回公表された対象はWebインフラです。公式リリース、Qiita記事、GitHubの技術レポートには、患者の氏名、連絡先、診療情報、決済情報などが第三者に閲覧または取得されたとの記載はありません。個人情報の漏えいが確認された事案として扱うことはできません。

診療システムや電子カルテへの侵入、診療停止、予約業務への影響についても確認できませんでした。一方、同じサーバーや認証基盤を他の業務システムと共有していた場合は、横展開の有無を確認する必要があります。Webサイトの復旧だけで調査を終了せず、管理者アカウント、共有認証情報、外部接続、バックアップ、ログの範囲を確認することが重要です。

患者や利用者に想定されるリスクは、検索結果やブランド詐称サイトを介した違法賭博サイトへの誘導、フィッシング、偽の問い合わせ窓口などです。実際に患者が誘導された件数や金銭被害は公表されていないため、現時点では今後想定される二次被害として扱います。

医療機関・情報システム部門への示唆

医療機関のWebサイトは、診療システムと分離されていても、患者が最初に接触する公式情報源です。改ざんやSEOポイズニングを受けると、診療データが漏えいしていなくても、偽サイトへの誘導や組織の信用低下につながります。

Webサイト管理者は、公開領域とデータベースに不審な変更がないか、未知の管理者アカウントや確認用トークンが追加されていないか、Google Search Consoleの所有者・利用者・確認方法に異常がないかを確認する必要があります。WordPress本体、プラグイン、テーマ、PHP、管理画面の多要素認証、FTP・SSHなどの認証情報も併せて点検します。

アクセス元によって表示を変える攻撃では、自組織のネットワークや通常のPCから閲覧しただけでは異常を確認できないことがあります。調査は管理されていない個人端末で行わず、外部のセキュリティ事業者や隔離された検証環境を利用します。公開IoCへのアクセスや不審ドメインの確認も、通常業務の端末から直接実施しないことが重要です。

インシデント対応では、改ざんファイルを直ちに削除する前に、ログ、時刻情報、ファイルハッシュ、クラウドや管理画面の監査記録を保全します。そのうえで侵入経路を特定し、同じ認証情報や脆弱性を使った再侵入を防ぎます。患者情報へアクセスされた可能性が判明した場合は、個人情報保護委員会への報告や本人通知の要否を、事実関係に基づいて判断する必要があります。