マネジメントサービスセンター、ホームページへの不正アクセスで297名の個人情報に影響の可能性　管理者権限取得とサイト改ざんを確認

株式会社マネジメントサービスセンター（MSC）は2026年8月25日、同社ホームページへの第三者による不正アクセスにより、過去に各種フォームを利用した297名の個人情報が影響を受けた可能性があると公表しました。

同社は2026年7月に不正アクセスとホームページ改ざんを確認し、直ちにホームページを停止。制作・保守会社や外部専門機関と調査を進めた結果、第三者による管理者権限の取得やホームページ改ざんが確認されました。

その後、8月20日の詳細解析で、ホームページ内の一部フォームから送信された個人情報を含むデータがホームページシステム内に保存されていたことが判明しました。

現時点で対象情報の持ち出しや不正利用を示す痕跡は確認されていません。ただし、不正アクセス期間中に第三者が当該データへアクセスできた可能性を否定できないため、MSCは297名を影響対象として個別通知しています。

マネジメントサービスセンター不正アクセスのサマリー

• MSCは2026年7月、同社ホームページへの第三者による不正アクセスとホームページ改ざんを確認しました。
• 同社は確認後、ホームページを停止し、制作・保守会社および外部専門機関と調査を開始しました。
• 調査では、第三者による管理者権限の取得とホームページ改ざんが確認されています。
• 2026年8月20日、一部フォームから送信された個人情報を含むデータがホームページシステム内に保存されていたことが判明しました。
• 影響を受けた可能性があるのは297名です。
• 対象は2023年12月～2026年7月にホームページの各種フォームを利用した一部のユーザーです。
• 対象情報は氏名、会社名、メールアドレス、電話番号で、該当項目は本人ごとに異なります。
• 情報の持ち出しや不正利用を示す痕跡は確認されていません。
• 一方、不正アクセス期間中に対象データへアクセス可能だった可能性を否定できないため、「漏えいの可能性がある情報」として扱う必要があります。
• 対象者への個別連絡は8月24日から開始されています。
• 不正アクセスに利用された経路への必要な対策は完了したとしていますが、具体的な侵入経路や攻撃手法は公表されていません。
• 研修運営データ、アセスメント結果データなどの受託情報を管理するシステムはホームページ環境と分離されており、本件の影響はないとしています。
• 再発防止策として、脆弱性・更新管理、管理者画面のアクセス制御、多要素認証、監視体制、個人情報の保存方法の見直しを進めています。
• ランサムウェアの使用、攻撃者の特定、個人情報保護委員会や警察への報告については公表資料では確認できませんでした。

項目	内容
公表日	2026年8月25日付。公式noteには8月31日掲載
確認時期	2026年7月
対象組織	株式会社マネジメントサービスセンター（MSC）
インシデント	ホームページへの不正アクセス、管理者権限取得、ホームページ改ざん
侵入経路	詳細は公表されていません。利用された経路への対策は完了
影響を受けた可能性のある情報	氏名、会社名、メールアドレス、電話番号
対象人数	297名
対象フォーム利用期間	2023年12月～2026年7月
情報流出	持ち出しや不正利用の痕跡は未確認。アクセスされた可能性は否定できず
他システムへの影響	研修運営データ、アセスメント結果データ等を管理するシステムは影響なし
対象者への通知	2026年8月24日から個別連絡
対応	サイト停止、外部専門機関との調査、侵入経路対策、MFA導入など
個人情報保護委員会への報告	公表資料では確認できませんでした
警察への相談・届出	公表資料では確認できませんでした
攻撃者	確認できませんでした
ランサムウェア	公表資料では確認できませんでした

7月に不正アクセスとホームページ改ざんを確認

MSCによると、不正アクセスが判明したのは2026年7月です。

第三者による同社ホームページへの不正アクセスと改ざんを確認したため、同社は直ちにホームページを停止し、ホームページ制作・保守会社と外部専門機関を交えて調査を開始しました。

調査の結果、第三者による管理者権限の取得とホームページ改ざんが行われていたことが確認されています。

一方、どの脆弱性や認証情報が悪用されたのか、管理者権限を取得された具体的な経路、侵入期間、攻撃者の活動内容については公表されていません。

MSCは「不正アクセスに利用された経路への必要な対策を完了した」としていますが、攻撃手法の詳細までは明らかにしていません。

8月20日、フォーム送信データがサイト内に保存されていたことが判明

不正アクセス確認後の詳細解析で、新たな個人情報リスクが判明しました。

MSCは8月20日、ホームページ内の一部フォームから送信された個人情報を含むデータが、ホームページシステム内に保存されていたことを確認しました。

対象となるのは、2023年12月から2026年7月までの間に各種フォームを利用したユーザーの一部です。

影響を受けた可能性がある人数は297名で、対象情報として次の項目が挙げられています。

• 氏名
• 会社名
• メールアドレス
• 電話番号

すべての対象者について4項目すべてが保存されていたわけではなく、該当する情報項目は本人ごとに異なるとしています。

「297名が漏えい」ではなく、アクセスされた可能性を否定できない

今回の公表では、個人情報の状態を正確に分ける必要があります。

MSCは、対象情報が外部へ持ち出されたことを確認したとはしていません。

現時点までの調査で、対象情報の持ち出しや不正利用を示す痕跡は確認されていないとしています。

一方、第三者が管理者権限を取得していた不正アクセス期間中、ホームページシステム内に保存されていた個人情報へアクセス可能な状態だった可能性を否定できません。

したがって、297名は「情報漏えいが確認された人数」ではなく、「個人情報が影響を受けた可能性がある人数」です。

ログなどから持ち出しを確認できなかったことと、第三者による閲覧・取得がなかったことを証明できるかどうかは別の問題です。

セキュリティ対策Labでは、同様にWebサイト改ざん後の調査で個人情報閲覧の可能性を否定できないとされた事案として「東京都中小企業振興公社、TOKYO UPGRADE SQUAREサイト改ざんの調査完了　個人情報流出は確認されず」も取り上げています。

対象者には8月24日から個別通知

MSCは影響を受けた可能性がある297名を特定し、8月24日から順次個別に連絡しています。

公表資料では、対象情報の不正利用を示す痕跡は確認されていません。

ただし、氏名、会社名、メールアドレス、電話番号が第三者に取得されていた場合、今後はMSCや勤務先を装ったフィッシングメール、電話、なりすまし連絡などに利用される可能性があります。

これは現時点で二次被害が確認されたという意味ではありません。

対象者は、MSCや関係企業を名乗る不審なメールや連絡について、送信元やリンク先を確認し、認証情報や金銭を要求する連絡には注意が必要です。

研修・アセスメントデータを管理するシステムには影響なし

MSCは人材アセスメントや研修・人材育成サービスを提供しています。

今回侵害されたホームページ環境とは別に、顧客から預かる研修運営データ、アセスメント結果データ、その他の受託情報を管理するシステムを分離して運用していると説明しています。

同社によると、これらのシステムは今回の不正アクセスによる影響を受けていません。

この点は「ホームページ環境が侵害された」ことと「MSCが保有するすべての顧客データが影響を受けた」ことを分けて考えるうえで重要です。

現時点の公式情報から、研修受講者情報やアセスメント結果が漏えいしたと判断する根拠はありません。

脆弱性対策、管理画面制御、MFA導入などを実施

MSCは外部専門機関の助言を受け、再発防止と情報セキュリティ管理体制の強化を進めています。

公表されている主な対策は次の通りです。

• ソフトウェアの脆弱性対策および更新管理の徹底
• 管理者画面へのアクセス制御の強化
• 多要素認証の導入
• ホームページの監視および運用管理体制の見直し
• 個人情報を含むデータの保存および管理方法の見直し

ホームページについては、安全性を確認しながら順次再開するとしています。

同社公式サイトでも現在、メンテナンス案内と今回の不正アクセスに関する告知へのリンクが掲載されています。

情報システム部門への示唆

今回の事案では、Webサイトの改ざんそのものよりも「問い合わせフォームなどから送信された個人情報が、侵害されたWeb環境内に保存され続けていたこと」が影響範囲を広げました。

第一に、Webフォームのデータ保存期間を見直す必要があります。

問い合わせ内容をメールやCRMへ転送した後もCMSやWebサーバー側に長期間保存している場合、Webサイト侵害が過去の問い合わせデータの侵害へ直結します。保存が必要なデータと不要なデータを分け、不要になった情報を定期的に削除する運用が重要です。

第二に、管理者画面をインターネットへ無条件に公開しないことです。

接続元制限、VPNやZTNA、多要素認証、管理者アカウントの分離などを組み合わせ、CMSの管理機能への到達範囲を狭める必要があります。

第三に、CMS本体だけでなくプラグイン、テーマ、ライブラリ、管理用ツールまで更新対象として管理します。

MSCは再発防止策としてソフトウェアの脆弱性対策と更新管理を挙げていますが、今回どのソフトウェアが侵入に使われたかは公表していません。特定製品の脆弱性を推測するのではなく、Webスタック全体の資産・バージョン管理を行うことが必要です。

第四に、公開Web環境と重要データを分離します。

MSCでは研修運営データやアセスメント結果を管理するシステムをホームページ環境と分離していたため、公式発表ではこれらへの影響はないとされています。

問い合わせフォームについても、公開Webサーバーには必要最小限の情報だけを一時保持し、長期保管は別の管理環境で行う構成が望まれます。

第五に、「持ち出し痕跡がない」だけで調査を終えないことです。

WebサーバーやCMSのログ保存期間が短ければ、過去の閲覧や取得を後から確認できない場合があります。管理者操作、データベースアクセス、ファイル取得、外向き通信などの監査ログを別環境へ転送し、改ざんや削除の影響を受けにくい状態で保持する必要があります。

今回の事案では、侵入経路の詳細や個人情報保護委員会への報告状況は公表されていません。今後追加情報が公表された場合には、具体的な侵入手法や影響範囲が更新される可能性があります。

出典

• 弊社ホームページへの不正アクセスに関するお詫びとご報告（個人情報への影響の可能性について） – 株式会社マネジメントサービスセンター
• 弊社ホームページへの不正アクセスに関するお詫びとご報告 – MSC｜株式会社マネジメントサービスセンター公式note
• 個人情報保護方針 – 株式会社マネジメントサービスセンター
• 東京都中小企業振興公社、TOKYO UPGRADE SQUAREサイト改ざんの調査完了　個人情報流出は確認されず – セキュリティ対策Lab