セントラルコンサルタント、コーポレートサイトへの不正アクセス調査結果を公表　不正管理者アカウント作成、個人情報漏えいの可能性

セントラルコンサルタント株式会社は2026年9月1日、同社コーポレートサイトへの不正アクセスについて、専門調査会社によるフォレンジック調査の結果と対応状況を公表しました。

調査の結果、2026年7月18日から7月30日にかけて、システム上の脆弱性を悪用した第三者による不正アクセスが発生していたことが確認されました。攻撃者は複数の不正な管理者アカウントを作成し、データベース内の情報を参照できる状態にしていたほか、外部との不正通信も複数回行われていました。

また、メール送信用の認証情報が取得され、第三者によるメール送信に利用された可能性が高いとしています。

一方、お問い合わせフォームや採用応募フォームから取得した氏名、会社名、電話番号、メールアドレス、住所、問い合わせ内容、採用応募情報などについて、第三者が閲覧・取得可能な状態だったことは確認されたものの、通信ログから実際に送信されたデータの内容までは特定できませんでした。

このため同社は、対象データについて「情報漏えいの可能性がある」と判断しています。

セントラルコンサルタント不正アクセスのサマリー

• 【確認済み】セントラルコンサルタントは2026年9月1日、不正アクセスに関するフォレンジック調査結果を公表しました。
• 【確認済み】不正アクセスは2026年7月18日から7月30日にかけて発生していました。
• 【確認済み】攻撃者はシステム上の脆弱性を悪用していました。
• 【確認済み】複数の不正な管理者アカウントが作成されていました。
• 【確認済み】データベース内の情報を第三者が参照できる状態になっていました。
• 【確認済み】外部との不正通信が複数回発生していました。
• 【確認済み】メール送信用認証情報が取得され、第三者によるメール送信に利用された可能性が高いとしています。
• 【確認済み】お問い合わせフォーム、採用応募フォームの情報がデータベースに保存されていました。
• 【確認済み】氏名、会社名、役職、電話番号、メールアドレス、住所、問い合わせ内容、採用応募情報などが影響対象です。
• 【未確定】実際にどのデータが外部へ取得されたかは通信ログから特定できませんでした。
• 【判断】セントラルコンサルタントは対象データについて情報漏えいの可能性があるとしています。
• 【確認済み】対象サイトは停止後、安全対策を施した新サーバー環境へ移行し、サービスを再開しています。
• 【確認済み】対象者への連絡、個人情報保護委員会への報告、警察への届出を実施しています。
• 【確認できず】悪用された具体的な脆弱性、攻撃者、マルウェア、ランサムウェアの有無は公表されていません。

項目	内容
公表日	2026年9月1日
第一報	2026年7月31日
対象組織	セントラルコンサルタント株式会社
対象	コーポレートサイト
不正アクセス期間	2026年7月18日～7月30日
侵入経路	システム上の脆弱性を悪用
脆弱性の詳細	公表されていません
確認された攻撃	不正管理者アカウント作成、DB参照可能状態、外部との不正通信
メール認証情報	取得され、第三者によるメール送信に利用された可能性が高い
漏えいの可能性がある情報	氏名、会社名、役職、電話番号、メールアドレス、住所、問い合わせ内容、採用応募情報など
対象件数	公表されていません
情報流出	実際に取得されたデータ内容は特定できず、漏えいの可能性あり
サイト復旧	新たなサーバー環境を構築し、安全確認後に再開
個人情報保護委員会への報告	実施済み
警察への届出	実施済み

7月18日から30日まで不正アクセス

セントラルコンサルタントは7月31日の第一報で、同社コーポレートサイトに第三者による不正アクセスが行われた可能性のある事象を確認したと公表していました。

当時は、お問い合わせフォームを通じて提供された情報が保存されたデータベースについて、第三者に閲覧または取得された可能性があるとし、個人情報の漏えいそのものは確認されていない段階でした。

その後、専門調査会社によるフォレンジック調査を実施し、9月1日に調査結果を公表しました。

最終的に確認された不正アクセス期間は7月18日から7月30日です。

また、第三者がシステム上の脆弱性を悪用して侵入していたことも確認されました。

ただし、具体的にどのソフトウェアやCMS、プラグイン、Webアプリケーションの脆弱性が悪用されたのか、CVEが付与された既知脆弱性だったのか、ゼロデイだったのかなどの詳細は公表されていません。

複数の不正な管理者アカウントを作成

フォレンジック調査では、複数の不正な管理者アカウントが作成されていたことも判明しました。

これは、攻撃者が一時的にWebサイトへアクセスしただけではなく、管理権限を持つアカウントを追加し、サイト内で継続的に操作可能な状態を確保していたことを示します。

ただし、これらのアカウントがいつ作成されたのか、どの程度の期間利用されたのか、管理画面以外のシステムへアクセス可能だったのかといった詳細は公表されていません。

また、管理者アカウントの作成が脆弱性悪用の直後に行われたのか、それとは別の認証情報が侵害されたのかも明らかにされていません。

データベース内の情報を参照できる状態に

調査では、攻撃者がデータベース内の情報を参照できる状態になっていたことが確認されました。

対象データベースには、同社コーポレートサイトの「お問い合わせフォーム」と「採用応募フォーム」から取得した情報が保存されていました。

影響対象として公表された情報には、氏名、会社名、役職、電話番号、メールアドレス、住所、問い合わせ内容、採用応募情報などが含まれます。

一方、フォレンジック調査では外部との不正な通信が複数回確認されたものの、その通信で実際に送信されたデータの中身までは特定できませんでした。

そのため同社は、対象情報について「第三者が閲覧・取得可能な状態だった」とした上で、「情報漏えいの可能性がある」と判断しています。

現時点で「対象データがすべて流出した」「○件の個人情報が漏えいした」と断定することはできません。

対象となる人数や件数も公表されていません。

メール送信用認証情報も取得された可能性

今回の調査では、個人情報とは別に、メール送信用の認証情報が第三者に取得されたことも確認されています。

セントラルコンサルタントは、その認証情報が第三者によるメール送信に利用された可能性が高いとしています。

ただし、どのメールサービスの認証情報だったのか、何通のメールが送信されたのか、送信されたメールの内容、送信先、フィッシングやスパムなどに利用されたのかは公表されていません。

そのため、「大量の迷惑メールが送信された」「フィッシングに悪用された」と断定することはできません。

今回の事案では、Webサイトへの侵入後にデータベースだけでなく、別の外部サービスや通信機能に利用できる認証情報まで到達されていた可能性があります。

WebサーバーやCMSにメール送信用認証情報、APIキー、クラウド認証情報などを保存する場合は、Webサイト侵害時に同時に窃取されることを前提とした管理が必要です。

新サーバー環境へ移行しサイトを再開

セントラルコンサルタントは不正アクセスの発覚後、被害拡大防止のため対象サイトを停止しました。

その後、安全対策を施した新しいサーバー環境を構築し、安全性を確認した上でサービスを再開しています。

再発防止策として、Webサイトの管理体制の見直し、脆弱性対策・アクセス管理・監視を含むセキュリティ対策の強化、個人情報の保管方法の見直しを実施するとしています。

ただし、具体的にどのセキュリティ製品や監視手法を追加したのか、管理画面へのアクセス制限や多要素認証を導入したのかなど、技術的な詳細は公表されていません。

個人情報保護委員会へ報告、警察にも届出

セントラルコンサルタントは、影響対象となる関係者へ連絡するとともに、個人情報保護委員会への報告と警察への届出を行いました。

第一報の段階では個人情報の漏えい自体は確認されておらず、影響範囲を調査中としていました。

その後のフォレンジック調査でも、実際にどのデータが取得されたかまでは特定できませんでしたが、第三者がデータベースを閲覧・取得可能な状態だったことなどから、漏えいの可能性があるものとして対応しています。

問い合わせフォームに個人情報を長期保存するリスク

今回の事案では、お問い合わせフォームや採用応募フォームから送信された個人情報がコーポレートサイト側のデータベースに保存されていました。

Webフォームの情報は、問い合わせ対応や採用選考のために必要ですが、利用目的を終えた後もWebサイト上へ保存し続けると、サイト侵害時の影響範囲が大きくなります。

特に採用応募情報には、一般的な問い合わせよりも詳細な個人情報が含まれる可能性があります。

セントラルコンサルタントも再発防止策として「個人情報の保管方法の見直し」を挙げています。

企業では、フォームデータについて「保存するかどうか」だけではなく、保存期間、保存場所、暗号化、アクセス可能な管理者、定期削除、バックアップへの残存まで含めて設計する必要があります。

情報システム・Webサイト管理者への示唆

今回の事案では、Webサイトの脆弱性が侵入の起点となり、管理者アカウントの作成、データベースへのアクセス、外部通信、メール送信用認証情報の取得へと影響が広がっています。

企業のコーポレートサイトは、基幹システムと比べて重要度が低いと判断されることがありますが、問い合わせ情報、採用情報、外部サービスの認証情報などが集約されている場合、侵害時の影響は小さくありません。

まず、CMS、Webフレームワーク、プラグイン、ミドルウェアの脆弱性管理を継続し、サポート終了製品を利用していないか確認する必要があります。

管理画面はインターネットへ無制限に公開せず、アクセス元制限や多要素認証を利用し、不正な管理者アカウントの追加や権限変更を監視することも重要です。

また、Webサーバーにメール送信用認証情報やAPIキーなどを保存する場合は、最小権限と定期ローテーションを徹底し、侵害時にはWebサイトだけでなく関連する外部サービスの認証情報も失効・再発行する必要があります。

フォレンジックの観点では、外部通信の有無だけではなく、通信先、転送量、DBアクセスログ、管理画面操作、ファイル変更、認証情報の利用履歴を十分な期間保存することが重要です。

今回のように「不正通信は確認できたが、送信データの中身までは特定できない」という状態になると、最終的な漏えい範囲を確定できず、影響対象を広く見積もって対応せざるを得なくなります。

コーポレートサイトでも、インシデント後に「何が起きたか」を説明できるログ設計を平時から整えておく必要があります。

出典

• 当社コーポレートサイトへの不正アクセスに関する調査結果および対応について – セントラルコンサルタント株式会社
• 当社コーポレートサイトへの不正アクセスによる個人情報漏えいの可能性について – セントラルコンサルタント株式会社