SPOON SPORTS、公式サイトを不正改ざん　ClickFix型の偽セキュリティ画面、8月12日以降に影響の可能性

株式会社スプーンは2026年8月20日、SPOON SPORTS公式サイト（spoonsports.jp）の一部が第三者によって不正に改ざんされ、特定ページを閲覧した際に偽のセキュリティ確認画面などが表示される場合があったと公表しました。

サーバー上では8月12日17時59分頃に不審なファイル更新が行われた記録が確認されており、同日時以降に影響が生じていた可能性があります。改ざんファイルは8月19日18時頃までに無効化され、当該ファイルから外部サイトへの通信が発生しないことを確認したとしています。

表示された偽画面は、利用者自身にWindows上でコマンド実行を促す「ClickFix」と呼ばれるソーシャルエンジニアリングの手口とみられます。画面の指示に従って操作した場合、不正な処理が実行され、外部サーバーとの通信や定期実行処理が設定された可能性があります。

一方、侵入経路、正確な影響期間、改ざん対象ページ、個人情報への影響は現在も調査中です。

SPOON SPORTS公式サイト改ざんのサマリー

• 【確認済み】SPOON SPORTS公式サイト（spoonsports.jp）の一部が第三者によって不正に改ざんされました。
• 【確認済み】特定ページを閲覧した際、偽のセキュリティ確認画面などが表示される場合がありました。
• 【確認済み】偽画面は利用者自身にWindows上で操作を行わせ、不正なコマンドを実行させるClickFix型の手口でした。
• 【確認済み】サーバー上では2026年8月12日17時59分頃に不審なファイル更新の記録が確認されています。
• 【確認済み】改ざんファイルの無効化は8月19日18時頃に完了しています。
• 【確認済み】無効化後、当該ファイルから外部サイトへの通信が発生しないことを確認しています。
• 【確認済み】関連するシステムの一部は停止されています。
• 【確認済み】TYPE ONE、リジカラ、SPOON SPORTS Global Official Siteでは、同様の改ざんや不審な挙動は確認されていません。
• 【確認できず】侵入経路、正確な影響期間、改ざんされた対象ページの範囲は調査中です。
• 【確認できず】個人情報への影響有無は調査中です。
• 【確認できず】偽画面の指示に従った利用者数や、不正プログラムが実行された端末数は公表されていません。
• 【確認できず】攻撃者や使用されたマルウェア、外部通信先などのIOCは公表されていません。

何が起きたのか　公式サイトの一部に偽セキュリティ画面

株式会社スプーンによると、SPOON SPORTS公式サイトの一部が第三者によって不正に改ざんされ、特定のページを閲覧した際に偽のセキュリティ確認画面などが表示される場合がありました。

同社は、通常のWebサイト利用時にWindows上でコマンドを実行するよう求めることはないと説明しています。

今回確認された手口は、偽の確認画面やエラー表示などを利用し、利用者自身に端末上で不正な処理を実行させる「ClickFix」と呼ばれるソーシャルエンジニアリングの特徴と一致します。

ClickFixでは、ブラウザやセキュリティ製品による直接的なマルウェア配布を避け、利用者自身の操作を悪用して不正な処理を実行させる点が特徴です。

セキュリティ対策Labでは、ClickFixの仕組みと対策についてClickFix（クリックフィックス）とは？対策や実態を株式会社ラックへ聞くでも詳しく解説しています。

8月12日17時59分頃に不審なファイル更新を確認

サーバー上では2026年8月12日17時59分頃、不審なファイル更新が行われた記録が確認されています。

このため、同社は同日時以降に利用者への影響が生じていた可能性があるとしています。

ただし、8月12日17時59分が実際の侵入時刻や改ざん開始時刻であるとは断定されていません。正確な影響期間は現在も調査中です。

改ざんされたファイルは8月19日18時頃までに無効化され、その後、当該ファイルから外部サイトへの通信が発生しないことを確認しています。

関連するシステムの一部も停止されています。

個人情報への影響は調査中　情報漏洩は現時点で未確認

今回の公表では、個人情報が漏洩したとは発表されていません。

株式会社スプーンは、侵入経路、正確な影響期間、対象ページの範囲とともに、個人情報への影響有無についてもWebサイトの開発・保守会社などと調査を続けています。

そのため、本件を現段階で「個人情報漏洩」と表現することは適切ではありません。

同様に、攻撃者がWebサーバー内部の情報へアクセスしたか、顧客情報や注文情報などを取得したかも公表資料からは確認できません。

今後の続報では、侵入経路と改ざん範囲だけでなく、サーバー上のデータへのアクセス有無や、外部への情報送信が行われていなかったかが重要な確認ポイントになります。

偽画面を見ただけなら不正処理実行の確認なし

同社は、偽画面を閲覧しただけで、画面上の指示に従った操作を行っていない利用者について、現時点で不正なプログラムが実行されたことを示すものではないとしています。

一方で、念のためOSやセキュリティソフトを最新の状態にし、フルスキャンを実施するよう案内しています。

重要なのは、「改ざんページを閲覧した」ことと「端末上で不正な処理を実行した」ことを分けて考える点です。

今回の公表内容では、Webページを表示しただけで自動的にマルウェアへ感染するドライブバイダウンロードが確認されたとは説明されていません。

画面の指示に従った場合は端末隔離を推奨

偽のセキュリティ確認画面の指示に従い、Windows上で処理を実行した利用者については、不正なプログラムまたはコマンドが実行された可能性があります。

業務用PCの場合、株式会社スプーンは端末をネットワークから切断し、社内のシステム管理者へ連絡するよう求めています。

また、安全性が確認されるまで重要なアカウントへのログインや決済操作を行わず、必要に応じて安全な別端末からパスワードを変更するよう案内しています。

ここで特に重要なのが、調査前に不審なファイルやタスクを利用者自身で削除しないことです。

感染が疑われる業務端末では、自己判断で削除や初期化を行うと、侵入経路や不正処理の内容を特定するためのログやファイルが失われる可能性があります。まず情報システム部門やセキュリティ担当者へ連絡し、証拠保全を優先する必要があります。

ClickFixとは　利用者自身に不正処理を実行させる攻撃

ClickFixは、偽のエラー画面、CAPTCHA、セキュリティ確認画面、Windows Updateなどを表示し、問題を解決するための手順であるかのように装って、利用者自身に端末上で不正な処理を実行させるソーシャルエンジニアリングです。

トレンドマイクロも、ClickFixについて多様なサイバー攻撃に悪用されている手口として注意を呼びかけています。

特徴は、攻撃者が直接実行ファイルをクリックさせるだけではなく、「本人確認」「エラー解消」「セキュリティチェック」など正規の操作に見せかける点です。

利用者自身による操作として実行されるため、Webフィルタリングや一部のセキュリティ対策だけでは防止できない場合があります。

近年はWebサイト改ざんとClickFixを組み合わせ、正規企業のドメインを訪問した利用者へ偽画面を表示する手口も確認されています。

正規サイトの改ざんはフィッシングより判別が難しい

今回の事案で注意すべきなのは、利用者が偽サイトへ誘導されたのではなく、正規のSPOON SPORTSドメイン内で不審な画面が表示される状態になっていた点です。

一般的なフィッシング対策では、「URLやドメインが正規か確認する」ことが推奨されます。

しかし、正規サイトそのものが改ざんされた場合、ブラウザのアドレス欄には正規ドメインが表示されるため、利用者がURLだけで攻撃を見抜くことは困難です。

そのため企業では、利用者教育だけでなく、Webサイト側でのファイル改ざん検知、WAF、管理画面の認証強化、脆弱性管理、サーバー監視などを組み合わせる必要があります。

利用者側でも、「正規サイトだから安全」とだけ判断せず、通常のWeb閲覧では必要のないOS操作やコマンド実行を求める画面が表示された場合には、その時点で操作を中止することが重要です。

TYPE ONEなど関連サイトでは同様の改ざんを確認せず

株式会社スプーンは、TYPE ONE、リジカラ、SPOON SPORTS Global Official Siteについて、8月20日時点で同様の改ざんや不審な挙動は確認されていないとしています。

SPOON SPORTSは、Honda車向けのパーツやチューニングなどを展開するブランドで、公式サイトでも世界のHondaファン向けに製品やサービスを提供していると説明しています。

今回の公表はspoonsports.jpを対象としたものであり、関連ブランドやグローバルサイトまで侵害されたとする情報はありません。

情報システム部門への示唆

今回の事案は、正規Webサイトの改ざんが、単なる表示内容の変更ではなく、訪問者の端末侵害につながる攻撃の入口として利用される可能性を示しています。

Webサイトを外部の開発・保守会社へ委託している企業では、自社の社内ネットワークとは別に、CMS、Webサーバー、FTP・SFTP、クラウド管理画面、Gitリポジトリ、保守会社の管理アカウントなど、Webサイト更新経路全体を把握する必要があります。

侵入経路がまだ判明していない段階では、特定の脆弱性や認証情報漏洩を推測するべきではありません。

一方、再発防止では少なくとも、管理アカウントへの多要素認証、不要な管理画面の外部公開停止、アクセス元制限、CMS・プラグインの脆弱性管理、ファイル整合性監視、変更履歴の保存を確認する必要があります。

ClickFixへの対策では、EDRやアンチウイルスだけでなく、利用者教育も重要です。

通常のWebページがOSのコマンド実行やクリップボードを使った操作を要求することは極めて異例です。企業内では「Webサイト上の指示だけを根拠にOSの実行機能を操作しない」というルールを明確にする必要があります。

また、今回のサイトを業務用PCから閲覧し、偽画面の指示に従った可能性がある従業員がいる場合、ヘルプデスクへの自己申告を促すことも重要です。

感染が疑われる端末については、ネットワーク隔離、EDR・ログ調査、認証情報のローテーションを行い、必要な証拠を取得する前に安易な初期化やファイル削除を行わないことが求められます。

IPAは、一般利用者向けに「情報セキュリティ安心相談窓口」を設け、不正アクセスやウイルス感染などに関する技術的な相談を受け付けています。

出典

• 当社ウェブサイトの不正改ざんに関するお詫びと注意喚起 – SPOON SPORTS
• ClickFix（クリックフィックス）とは？ 多様な攻撃に悪用されるソーシャルエンジニアリングの手口 – トレンドマイクロ
• 情報セキュリティに関する技術的なご相談 – IPA
• Spoon – 株式会社スプーン
• ClickFix（クリックフィックス）とは？対策や実態を株式会社ラックへ聞く – セキュリティ対策Lab