松本魚問屋の公式サイトが改ざん、検索結果から不審な通販サイトへ不正転送

有限会社松本魚問屋は2026年7月29日、公式Webサイトが第三者から不正アクセスを受け、サイトの一部が改ざんされたと公表しました。Googleなどの検索結果から公式サイトへアクセスした場合、松本魚問屋とは関係のない外部の通販サイトへ転送される事象が確認されています。同社は原因調査と復旧作業を進めており、不審なサイトへ転送された場合は、個人情報やクレジットカード情報を入力しないよう呼びかけています。公表資料では、改ざんが行われた期間、侵入経路、個人情報漏洩の有無、カード情報の不正利用、被害件数は明らかにされていません。

松本魚問屋のWebサイト改ざんと不正転送に関する概要サマリー

• 松本魚問屋は2026年7月29日、公式Webサイトへの不正アクセスを公表しました
• 公式サイトの一部が第三者によって改ざんされました
• Googleなどの検索結果からアクセスした際、無関係な外部通販サイトへ転送される事象が確認されています
• 転送先はフィッシング詐欺サイトとみられる外部通販サイトとして注意喚起されています
• 松本魚問屋は原因の調査と復旧作業を進めています
• 不審なサイトへ転送された場合、個人情報やクレジットカード情報を入力しないよう案内しています
• 改ざんの発生日、侵害期間、発見の経緯は公表されていません
• 攻撃に使われた脆弱性、認証情報、CMS、プラグインなどは未公表です
• 個人情報漏洩の有無や対象件数は公表資料で明らかにされていません
• クレジットカード情報の漏洩や不正利用も公表されていません
• 不審サイトへ転送された利用者数や、情報を入力した被害者数は未公表です
• 個人情報保護委員会や警察などへの報告状況は公表されていません
• 利用者は検索結果からではなく、保存済みの正規URLや公式SNSの案内からアクセスする必要があります
• 情報を入力した場合は、パスワード変更、カード会社への連絡、不正利用確認が必要です

項目	内容
公表日	2026年7月29日
被害企業	有限会社松本魚問屋
対象	公式Webサイト matsumoto-uodonya.co.jp
事案の内容	第三者による不正アクセスとサイトの一部改ざん
確認された挙動	検索結果からアクセスした際、無関係な外部通販サイトへ転送
転送先	松本魚問屋とは関係のない外部サイト
改ざん発生日	未公表
影響期間	未公表
侵入経路	未公表
原因	調査中
個人情報漏洩	公表資料では確認状況を明示していない
クレジットカード情報漏洩	公表資料では確認状況を明示していない
不正利用・金銭被害	未公表
影響人数	未公表
対応状況	原因調査と復旧作業を実施
利用者への案内	転送先で個人情報やカード情報を入力しない
個人情報保護委員会への報告	公表資料に記載なし
警察などへの相談・報告	公表資料に記載なし

検索結果から公式サイトへアクセスすると外部通販サイトへ転送

松本魚問屋によると、第三者からの不正アクセスによって公式Webサイトの一部が改ざんされました。

確認された事象は、Googleなどの検索結果から松本魚問屋の公式サイトへアクセスした際、同社とは関係のない外部通販サイトへ転送されるというものです。

検索結果に表示されるURLが正規の「matsumoto-uodonya.co.jp」であっても、クリック後に別ドメインへ移動する可能性があります。

利用者から見ると、最初に選択したURLは正規ドメインであるため、通常の偽サイトより見抜きにくい事案です。

検索エンジンの検索結果自体が偽装されているとは限りません。正規サイトへ到達した後、改ざんされたプログラムや設定によって別サイトへ転送されている可能性があります。

ただし、松本魚問屋は改ざん箇所や技術的な仕組みを公表していないため、具体的な転送方法を断定することはできません。

検索経由の利用者だけを狙う改ざんの可能性

公式発表では、Googleなどの検索結果からアクセスした際に外部サイトへ転送されると説明されています。

Webサイト改ざんでは、すべてのアクセスを転送すると管理者や監視サービスに発見されやすいため、検索エンジン経由、スマートフォン利用者、特定地域の利用者など、条件を満たす場合だけ不正な処理を実行する手口があります。

検索結果からのアクセスかどうかは、ブラウザーが送信する参照元情報を使って判定できる場合があります。

管理者が管理画面やブックマークからアクセスした場合は正常に表示し、一般利用者が検索結果からアクセスした場合だけ外部へ転送すれば、発見を遅らせることが可能です。

セキュリティ対策Labで取り上げた京都府社会福祉協議会サイトの不正リダイレクト事案でも、検索経由やスマートフォンなど、特定条件の利用者だけが無関係なサイトへ誘導される可能性を解説しています。

今回の松本魚問屋の事案が同じ実装だったと確定したわけではありませんが、管理者が通常表示を確認できたとしても、安全性を判断できない点は共通しています。

転送先で個人情報やカード情報を入力しない

松本魚問屋は、不審なサイトへ転送された場合、個人情報やクレジットカード情報を絶対に入力しないよう強く呼びかけています。

外部通販サイトでは、商品の購入や会員登録を装い、次の情報を入力させる可能性があります。

• 氏名
• 住所
• 電話番号
• メールアドレス
• ログインID
• パスワード
• クレジットカード番号
• 有効期限
• セキュリティコード
• SMSで届くワンタイムパスワード
• 銀行口座情報
• 配送先情報

転送先の画面に松本魚問屋の商品、ロゴ、会社情報が表示されていても、正規の販売ページである証拠にはなりません。

攻撃者は正規サイトの商品画像や説明文、会社概要を複製し、外見の似た通販サイトを作成できます。

ブラウザーのアドレス欄を確認し、松本魚問屋と無関係なドメインへ移動している場合は、入力や注文を行わずページを閉じてください。

個人情報漏洩は公表されていない

2026年7月29日の公表では、松本魚問屋のサーバー内に保存された顧客情報が閲覧・取得されたかについて説明されていません。

個人情報漏洩を確認したとの記載も、個人情報漏洩がないことを確認したとの記載もありません。

そのため、本件を「顧客情報が漏洩した事案」と断定することはできません。

一方、不正アクセスによってサイトが改ざんされた以上、攻撃者がどの範囲までアクセスできたかを調査する必要があります。

確認対象には、次の情報が含まれます。

• Webサーバー上のファイル
• CMSの管理者アカウント
• データベース
• 注文情報
• 問い合わせ内容
• 顧客アカウント
• メール送信設定
• 決済サービスとの連携情報
• APIキーや秘密情報
• バックアップ
• アクセスログと操作ログ

松本魚問屋の公式サイトにはオンライン販売に関するページがあり、特定商取引法に基づく表記では、銀行振込、クレジットカード決済、代引きに対応すると案内されています。

ただし、決済情報がWebサーバー内に保存されていたか、外部決済サービスで処理されていたか、今回の改ざんが購入ページへ影響したかは公表されていません。

カード情報の漏洩や不正利用も未公表

松本魚問屋は、転送先でクレジットカード情報を入力しないよう案内しています。

これは、不審な通販サイトへカード情報を渡す危険を避けるための注意喚起です。

公式発表だけでは、松本魚問屋の正規サイトへ過去に入力したカード情報が漏洩したことを意味しません。

クレジットカード情報の漏洩、カード会社からの連絡、不正利用の確認、決済停止については公表されていません。

一方、改ざんされた正規サイトへ入力フォームを追加し、入力情報を攻撃者へ送信するWebスキミングの可能性も、一般的な調査項目として確認が必要です。

セキュリティ対策Labで取り上げた駿河屋.JPの不正アクセス事案では、ECサイトの一部システムが改ざんされ、決済時に入力した個人情報やカード情報が外部へ送信され得る状態になっていました。

松本魚問屋の事案で同じ被害が発生したとの発表はありません。サイト改ざん後の調査では、リダイレクトだけでなく、入力フォーム、外部スクリプト、決済ページの変更も確認する必要があるという参考事例です。

原因・侵入経路・影響期間は調査中

松本魚問屋は、原因の調査と復旧作業を進めていると説明しています。

公表時点で、次の情報は明らかにされていません。

• 最初の不正アクセス日時
• サイトが改ざんされた日時
• 外部転送が始まった日時
• 事案の発見日時
• 発見の経緯
• 攻撃元
• 侵入に使われたアカウント
• 悪用された脆弱性
• CMSやプラグインの種類
• 改ざんされたファイル
• 設置された不正プログラム
• 不正な管理者アカウントの有無
• バックドアの有無
• 個人情報へのアクセス
• 不審サイトへ転送された利用者数

原因が未確定の段階で、WordPressや特定のプラグインの脆弱性、パスワード漏洩などを原因と断定するべきではありません。

一般的なWebサイト改ざんでは、CMSやプラグインの脆弱性、管理者アカウントの乗っ取り、FTP・SSH認証情報の窃取、サーバー設定の不備などが侵入経路になります。

今回どの経路が使われたかは、松本魚問屋の続報を待つ必要があります。

復旧時は不正ファイルとバックドアの排除が必要

外部転送を行う記述だけを削除しても、攻撃者が設置したバックドアや不正アカウントが残っていれば、再び改ざんされる可能性があります。

復旧時には、正常なバックアップとの比較や外部専門家による調査を行い、侵害範囲を特定する必要があります。

確認対象には次のようなものがあります。

• Webルート配下の不審ファイル
• .htaccessなどの転送設定
• テーマやテンプレートの改ざん
• JavaScriptの外部読み込み
• uploads配下の実行可能ファイル
• CMSの管理者アカウント
• FTP・SSHアカウント
• cronなどの自動実行設定
• データベース内の不審コード
• DNS設定
• 外部サービスのタグ管理
• APIキーやシークレット
• ログの削除や改ざん
• 既存バックアップへの感染

セキュリティ対策Labのあいちロボット産業クラスター協議会サイトの不正転送事案では、不審な外部サイトへの転送を確認後、公開停止と原因調査が行われました。

不正転送中のサイトを公開したまま調査すると、利用者が引き続き被害を受ける可能性があります。安全性を確認できない場合は、一時的な公開停止やメンテナンスページへの切り替えも検討する必要があります。

検索結果の表示内容も確認する

Webサイトが改ざんされると、利用者の転送だけでなく、検索エンジン向けのページが書き換えられることがあります。

攻撃者が通販商品、医薬品、ギャンブル、成人向けコンテンツなどのページを大量に生成し、検索結果へ表示させる手口はSEOスパムと呼ばれます。

復旧後も検索エンジンのキャッシュに不正なタイトルや説明文、URLが残る場合があります。

管理者は、次の項目を確認してください。

• 検索結果に不審なページが表示されていないか
• 覚えのないURLがインデックスされていないか
• サイトマップに不審なURLが追加されていないか
• 検索エンジン管理ツールに未知の利用者が追加されていないか
• 不審な外部リンクが大量に設置されていないか
• 検索結果のタイトルや説明文が改ざんされていないか
• セキュリティ警告や手動対策が表示されていないか

復旧後は検索エンジンへ再クロールを申請し、不正URLの削除や警告解除の手続きを行う必要があります。

不審サイトへ転送された場合の対応

検索結果から松本魚問屋のサイトへアクセスし、無関係な外部通販サイトへ転送された場合は、情報を入力せずブラウザーを閉じてください。

画面に表示されたボタン、ポップアップ、通知許可、ファイルダウンロードを操作しないことが重要です。

不審サイトを開いただけで、情報入力、ファイル実行、アプリ追加をしていない場合、直ちに金銭被害へつながる可能性は限定的です。

一方、次の操作を行った場合は対応が必要です。

• 会員登録情報を入力した
• メールアドレスとパスワードを入力した
• クレジットカード情報を入力した
• ワンタイムパスワードを入力した
• 銀行口座情報を入力した
• 商品代金を振り込んだ
• ファイルやアプリをダウンロードした
• ブラウザー通知を許可した

パスワードを入力した場合は、正規サービスから直ちに変更し、同じパスワードを使用する他のサービスも変更してください。

カード情報を入力した場合はカード会社へ連絡し、利用停止、再発行、不正利用監視について相談します。

すでに振り込んだ場合は、利用した金融機関、振込先金融機関、警察へ早急に相談してください。

不審なファイルを実行した場合は、端末をネットワークから切り離し、セキュリティ製品で検査します。業務端末の場合は情報システム部門へ連絡してください。

個人情報保護委員会への報告状況は未公表

松本魚問屋の公表資料には、個人情報保護委員会への報告状況が記載されていません。

個人情報漏洩やそのおそれが確認されていない段階では、報告要否の判断に必要な調査を進めている可能性があります。

不正アクセスによって顧客情報が閲覧・取得されたことが判明した場合や、個人情報漏洩のおそれを否定できない場合は、個人情報保護法に基づく報告と本人通知の要否を検討する必要があります。

外部サイトへ転送された利用者が、転送先へ個人情報を入力した場合、その情報は松本魚問屋のサーバーから漏洩したものではなく、利用者が偽サイトへ入力した情報として被害が発生する可能性があります。

企業側の調査では、サーバー内の個人情報だけでなく、改ざん期間中に不正転送された利用者の被害申告も収集する必要があります。

情報システム部門への示唆

Webサイト改ざんは、広報サイトだけの問題ではありません。

正規ドメインの信用を使って利用者を不審サイトへ誘導できるため、顧客の個人情報、カード情報、端末の安全に影響します。

情報システム部門とWeb運用担当者は、次の対策を確認してください。

• CMS本体、テーマ、プラグインを最新状態へ更新する
• 利用していないプラグインとテーマを削除する
• 管理者アカウントへ多要素認証を設定する
• 管理画面の接続元を制限する
• FTPを廃止し、鍵認証を利用した安全な方式へ移行する
• 管理用認証情報を複数サイトで使い回さない
• WAFと改ざん検知を導入する
• Webファイルのハッシュを監視する
• 不審な外部JavaScriptや転送設定を検知する
• DNS変更と証明書発行を監視する
• Webサーバー、CMS、WAF、DNSのログを外部へ保管する
• 検索エンジン経由と直接アクセスの両方で表示を確認する
• スマートフォンや複数地域から定期的に外形監視する
• 正常なバックアップをオフラインまたは変更不能な環境へ保存する
• 復旧後に全管理者パスワード、APIキー、秘密鍵を更新する
• 不正アカウント、バックドア、定期実行処理を確認する
• 個人情報や注文情報をWebサーバーと分離する
• 決済ページの外部スクリプト変更を監視する
• インシデント時の公開停止と利用者告知の手順を準備する
• 検索エンジンのキャッシュや不正インデックスを復旧後も確認する

外形監視はトップページを定期表示するだけでは不十分です。

検索エンジン経由、スマートフォン、初回訪問、Cookieなし、複数のUser-Agentなど、攻撃者が条件分岐に使用し得るパターンを含めて監視してください。

Webサイトの運用を外部へ委託している場合は、CMS更新、ログ保存、改ざん検知、緊急停止、調査協力、顧客通知の責任分界を契約で明確にします。

今回の公表では原因と影響範囲が調査中です。復旧したことだけで対応を終えず、侵入経路、改ざん期間、個人情報へのアクセス、転送先、利用者被害を確認したうえで続報を出すことが重要です。

出典

• 弊社Webサイトへの不正アクセスおよび不審サイト転送に関するお詫びと注意喚起 – 松本魚問屋
• 特定商取引法に基づく表記 – 松本魚問屋
• フィッシング対策 – 警察庁
• あいちロボット産業クラスター協議会サイトに不正アクセス、リダイレクト被害 – セキュリティ対策Lab
• 京都府社会福祉協議会サイトが一時リダイレクト被害 – セキュリティ対策Lab
• ギター・マガジンWEBで不正アクセス後に不正リダイレクトの被害 – セキュリティ対策Lab
• 駿河屋、不正アクセスによるサイバー攻撃で個人情報漏洩 – セキュリティ対策Lab