さつき保育園、ウェブサイトへの不正アクセスでトップページ改ざん　個人情報への影響やマルウェア感染は確認されず

社会福祉法人北区さつき会が運営する「さつき保育園」は2026年8月25日、同園ウェブサイトが第三者による不正アクセスを受け、トップページの一部表示が書き換えられる改ざん被害が発生していたと公表しました。

不正アクセスと改ざんは8月19日に発生し、法人は同日から8月25日まで、運営するすべてのウェブサイトを閉鎖しました。閉鎖期間中に外部の専門機関を交えて詳細調査とシステムのクリーンアップを実施し、安全確認と対策が完了したとして8月25日に運営を再開しています。

調査の結果、当該サイトの閲覧によるマルウェア感染などの二次被害のおそれはないことを専門機関が確認したとしています。また、同法人が運営する他のウェブサイトでは改ざんや不正ファイルの設置は確認されず、本件による個人情報への影響もないとしています。

原因については「不正アクセスの原因となったシステム脆弱性」を修正したと説明していますが、利用していたCMSやソフトウェアの名称、CVE番号、攻撃主体、具体的な侵入手法は公表されていません。

さつき保育園ウェブサイト改ざんのサマリー

• 【確認済み】2026年8月19日、さつき保育園ウェブサイトが第三者による不正アクセスを受けました。
• 【確認済み】トップページに意図しないコンテンツが表示される改ざん被害が発生しました。
• 【確認済み】社会福祉法人北区さつき会は8月19日から25日まで、運営するすべてのウェブサイトを閉鎖しました。
• 【確認済み】外部の専門機関を交えて詳細調査とシステムのクリーンアップを実施しました。
• 【確認済み】サイト閲覧によるマルウェア感染などの二次被害のおそれはないとしています。
• 【確認済み】法人が運営する他のウェブサイトでは、改ざんや不正ファイル設置などの被害は確認されませんでした。
• 【確認済み】本件による個人情報への影響はないとしています。
• 【確認済み】原因となったシステム脆弱性を修正しました。
• 【確認済み】サーバー内全ファイルの安全確認、改ざん防止システムの設定強化、ネットワーク監視強化を実施しました。
• 【未確認】利用していたCMS・ソフトウェアの名称や脆弱性のCVE番号は公表されていません。
• 【未確認】具体的な侵入経路、攻撃開始時刻、攻撃主体は公表されていません。
• 【未確認】個人情報保護委員会への報告については、公表文から確認できませんでした。

項目	内容
公表日	2026年8月25日
発生日	2026年8月19日
対象組織	社会福祉法人北区さつき会
対象サイト	さつき保育園ウェブサイト
インシデント	第三者による不正アクセス、トップページ改ざん
改ざん内容	意図しないコンテンツが表示される状態
サイト閉鎖期間	2026年8月19日～8月25日
原因	システム脆弱性。詳細は未公表
個人情報への影響	なしと公表
マルウェア感染等の二次被害	専門機関の検証でおそれなしと公表
他サイトへの影響	改ざん・不正ファイル設置などは確認されず
対応	脆弱性修正、全ファイル確認、改ざん防止設定強化、ネットワーク監視強化
復旧	8月25日にウェブサイト運営を再開
個人情報保護委員会への報告	公表情報では確認できず

8月19日に第三者が不正アクセス、トップページを改ざん

さつき保育園によると、2026年8月19日、ウェブサイトが第三者による不正アクセスを受け、トップページに意図しないコンテンツが表示される状態になりました。

公式発表では、どのような文言や画像が表示されたのか、不正な外部サイトへのリダイレクトが発生したのか、不正スクリプトが埋め込まれたのかといった改ざん内容の詳細は明らかにされていません。

確認できる被害範囲は「トップページに意図しないコンテンツが表示された」ことです。

したがって、不正な広告表示やフィッシング誘導、マルウェア配布などを今回の攻撃目的として断定することはできません。

法人が運営する全ウェブサイトを7日間閉鎖

法人は事案判明後、詳細調査と抜本的なセキュリティ対策を実施するため、運営するすべてのウェブサイトを8月19日から25日まで閉鎖しました。

さつき保育園の公式サイトからは、社会福祉法人北区さつき会の法人サイトのほか、北区障がい者基幹相談支援センター、児童発達支援・放課後等デイサービス「Ikutas kids」などの関連サイトが案内されています。

公式発表では、調査の結果、これら他のウェブサイトについて不正アクセスによる改ざんや不正ファイルの設置などの被害は発生していないことを確認したとしています。

単一サイトで不正アクセスが判明した場合でも、同じサーバー、管理アカウント、CMS、ネットワークなどを共有している関連サイトへ影響が波及する可能性があります。

今回、法人が運営する全サイトを一旦閉鎖して確認を行った対応は、影響範囲の切り分けという点でも重要です。

外部専門機関が調査、閲覧者のマルウェア感染は「おそれなし」

閉鎖期間中、法人は外部の専門機関を交えて詳細な調査とシステムのクリーンアップを実施しました。

公式発表では、当該ウェブサイトを閲覧したことによるマルウェア感染などの二次被害のおそれがないことについて、専門機関の検証で確認したとしています。

ウェブサイト改ざん事案では、見た目の書き換えだけでなく、不正JavaScriptを挿入して別サイトへ転送したり、閲覧者へ悪性ファイルを配布したりするケースがあります。

今回については、そうした閲覧者への二次被害につながる状態は確認されなかったというのが法人の調査結果です。

ただし、調査を担当した専門機関名や具体的な検証方法は公表されていません。

個人情報への影響はなし

社会福祉法人北区さつき会は、本件による個人情報への影響はないと明記しています。

保育園のウェブサイトでは見学申込や問い合わせなど、利用者が情報を入力する機能を持つ場合がありますが、今回の不正アクセスによって入力済みの個人情報が閲覧・取得されたとの発表はありません。

「ウェブサイトが改ざんされた」という事実と、「個人情報が漏えいした」という事実は分けて扱う必要があります。

現時点で確認されているのは不正アクセスと表示改ざんであり、個人情報への影響は調査の結果否定されています。

このため、本件を「個人情報流出事案」と表現することは適切ではありません。

原因となった「システム脆弱性」を修正

法人は再発防止策の一つとして、「不正アクセスの原因となったシステム脆弱性の修正」を挙げています。

この表現からは、調査によって不正アクセスにつながった脆弱性を特定したことが分かります。

一方、具体的な製品名、CMS名、プラグイン、影響バージョン、CVE番号は公表されていません。

そのため、一般に利用されているWordPressなど特定のCMSや、8月19日前後に公表された脆弱性を今回の侵入経路として推測することは避ける必要があります。

また、脆弱性が既知だったのか、ゼロデイだったのか、認証が必要な脆弱性だったのかも確認できません。

サーバー内全ファイルを確認、改ざん防止と監視を強化

再発防止策として、法人は脆弱性修正に加え、サーバー内のすべてのファイルについて安全確認を実施しました。

さらに、改ざん防止システムの設定強化とネットワーク監視体制の強化も行っています。

ウェブサイトへの不正アクセスでは、表面上の改ざん部分だけを元に戻しても、攻撃者が設置した不正ファイルやWebシェル、追加アカウントなどが残っていれば再侵入につながる可能性があります。

そのため、復旧時には改ざんされたファイルだけでなく、サーバー全体のファイルや設定、ログ、管理アカウントを確認することが重要です。

今回、さつき保育園は「システムのクリーンアップ」と「サーバー内の全ファイルの安全確認」を実施したとしています。

改ざん事案では「復旧」だけでなく侵入済みかの確認が重要

今回の事案は、ウェブサイトで脆弱性が確認された場合、単に修正版へアップデートするだけでは不十分であることを示しています。

脆弱性が外部へ公開されていた期間がある場合、修正前に攻撃者がすでに侵入している可能性があります。

そのため、パッチ適用と並行して、過去のアクセスログ、不審な管理操作、ファイル変更、未知の管理者アカウント、不審な外部通信などを遡って確認する必要があります。

セキュリティ対策Labでは、日本大学文理学部の学生ポータル改ざん事案でも、既知の脆弱性を悪用した不正アクセスが後の調査で確認されたケースを取り上げています。

今回のさつき保育園でも、外部専門機関による調査とクリーンアップを経てからサービスを再開しており、単なる表示復旧だけではなく侵害範囲を確認した上で再開したことがポイントです。

保育・福祉事業者の情報システム部門への示唆

保育園や社会福祉法人では、基幹システムや園児情報を扱う業務システムに比べ、公開ウェブサイトのセキュリティが後回しになる場合があります。

しかし、公開サイトはインターネットから常時アクセスできるため、脆弱なCMSやプラグイン、古いサーバーソフトウェアが残っていれば攻撃対象になりやすい資産です。

まず必要なのは、法人が運営するすべての公開サイトについて、ドメイン、サーバー、CMS、プラグイン、保守委託先、管理者を資産台帳として把握することです。

法人本部、保育園、相談支援事業所、児童発達支援施設などがそれぞれ独自にウェブサイトを運用している場合、保守状況や更新頻度に差が生じやすくなります。

脆弱性情報の監視、緊急パッチの適用期限、外部制作会社との連絡体制、障害時のサイト停止判断を法人横断で統一しておくことが重要です。

また、サイト改ざんを早期に把握するためには、ファイル改ざん監視、WAF、アクセスログ監視、外形監視などを組み合わせる方法があります。

不正アクセスを確認した際は、問題のサイトだけでなく、同じ管理基盤、認証情報、サーバー、ネットワークを共有する関連サイトも調査対象に含める必要があります。

今回の法人は他の運営サイトにも調査範囲を広げ、改ざんや不正ファイル設置がないことを確認しました。同じ運用基盤を持つ複数サイトを管理する組織では参考になる対応です。

今後、法人から脆弱性の種類や侵入経路など追加情報が公表された場合は、利用製品の影響バージョンや修正版、同種攻撃の有無を改めて確認する必要があります。

出典

• 【重要】当園ウェブサイトの改ざんに関するお詫びと再開のお知らせ – さつき保育園
• 日本大学文理学部、学生ポータル改ざんの最終報告を公表-既知脆弱性を悪用されるも個人情報漏えいは確認されず – セキュリティ対策Lab