東京都中小企業振興公社、事業サイトへの不正アクセス被害を公表サイト運営業務を一部停止|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

東京都中小企業振興公社は2026年7月31日、同公社が業務委託により運営する事業サイトに対して不正アクセスがあったことを公表しました。対象は、スタートアップ等を活用した価格転嫁・賃上げ支援事業の公式サイトです。公表時点では、侵入経路や原因、個人情報漏えいの有無などの詳細は明らかにされていません。

サマリー

東京都中小企業振興公社が、事業公式サイトへの不正アクセス被害を公表しました
対象は、業務委託により運営されているスタートアップ等を活用した価格転嫁・賃上げ支援事業の公式サイトです
同公社は受託業者に指示し、サイト運営業務を一部停止したうえで調査対応を進めています
原因、侵入経路、影響範囲、個人情報漏えいの有無は、公表資料上では明らかにされていません
情報システム部門では、委託先が運営するキャンペーンサイトや事業サイトについても、監視・権限管理・インシデント時の連絡体制を確認する必要があります

本件の整理

項目	内容
公表日	2026年7月31日
公表組織	東京都中小企業振興公社
対象サイト	スタートアップ等を活用した価格転嫁・賃上げ支援事業の公式サイト
運営形態	東京都中小企業振興公社が業務委託により運営
発生事象	公式サイトへの不正アクセス
原因	公表資料では不明
漏えい情報の内容	公表資料では、個人情報漏えいや対象情報に関する記載は確認できません
個人情報保護委員会への報告状況	公表資料では確認できません
対応状況	受託業者に指示し、サイト運営業務を一部停止。受託業者、関係機関、専門家等と調査対応を実施
利用者への影響	公社は利用者に不便をかけるとして理解を求めています

何が起きたか

東京都中小企業振興公社の発表によれば、同公社が業務委託により運営しているスタートアップ等を活用した価格転嫁・賃上げ支援事業の公式サイトに対し、不正アクセスがあったことが判明しました。

同公社は現在、受託業者に指示し、サイト運営業務を一部停止するとともに、受託業者、関係機関、専門家等と調査対応を実施していると説明しています。公表文は短く、どの機能が停止しているのか、不正アクセスを受けた時期、検知の経緯、アクセスされた可能性がある情報の範囲までは記載されていません。

今回の事案は、同公社本体の全システムではなく、業務委託により運営される特定事業の公式サイトに関するものとして公表されています。ただし、事業サイトは申請、問い合わせ、参加登録、資料請求など、利用者との接点になりやすい領域です。情報システム部門としては、組織本体の基幹システムだけでなく、委託先が運用する公開サイトもリスク管理の対象として扱う必要があります。

原因は現時点で不明

公表資料では、不正アクセスの原因は明らかにされていません。脆弱性の悪用、管理画面の認証情報の不正利用、委託先環境の設定不備、CMSやプラグインの問題など、考えられる経路は複数ありますが、本件については公式発表で確認された事実に限定して見る必要があります。

現時点で判明しているのは、事業公式サイトに不正アクセスがあったこと、サイト運営業務の一部停止と調査対応が進められていることです。原因が未公表の段階では、特定の製品や運用ミスに結びつけて断定するのは避けるべきです。

一方で、公開Webサイトを対象とした不正アクセスでは、CMSの更新遅れ、管理画面の露出、弱いパスワード、MFA未導入、不要な管理者アカウントの残存、WAFやログ監視の不足が典型的なリスクになります。一般的な不正アクセスの手口や対策については、不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説でも整理しています。

情報漏えいの確認状況

今回の公表では、個人情報や事業利用者情報の漏えいについて、確認されたとも否定されたとも記載されていません。対象となる情報の種類、件数、ログ上の持ち出し痕跡、外部への公開有無についても、現時点の公表資料からは確認できません。

不正アクセスの初報では、影響範囲が確定していないため、漏えいの有無を明確に書けないケースが少なくありません。調査の進展により、個人情報保護委員会への報告や対象者への個別連絡が必要になる可能性もありますが、本件について同公社の発表では、個人情報保護委員会への報告状況は確認できませんでした。

利用者側では、対象事業に関連する問い合わせや登録を行った記憶がある場合、同事業名や東京都中小企業振興公社を装う不審なメール、電話、フォーム案内に注意が必要です。特に、調査中の事案に便乗して、再登録、本人確認、補助金・支援金手続きの確認などを求める連絡には警戒すべきです。

委託先運営サイトで起きるインシデントの難しさ

今回のように、公的機関や自治体関連団体が実施する事業では、特設サイトや申請受付サイト、問い合わせフォームの構築・運営を外部事業者へ委託することがあります。事業開始までの期間が短く、年度単位で構築・運用されるサイトでは、恒久的な社内システムと比べてセキュリティ設計や監視体制が後回しになりやすい面があります。

組織としては、自社・自組織のネットワーク内にない外部運用サイトであっても、利用者から見れば公式サイトの一部として認識されます。侵害が起きた場合、実際の運用主体が委託先であっても、説明責任や信用への影響は発注側にも及びます。

セキュリティ対策Labでは、東京都関連の委託事業で発生した情報漏えい事例として、東京都の委託先がサポート詐欺起点の不正アクセスで800名分の個人情報漏洩も取り上げています。委託先環境でのインシデントは、契約、運用、ログ保全、初動連絡のどれか一つが弱いだけでも、状況把握が遅れやすくなります。

情報システム部門への示唆

情報システム部門や事業部門は、公式サイト、特設サイト、キャンペーンサイト、申請フォームを外部委託で運営している場合、管理対象から外れていないかを確認する必要があります。事業部門が個別に立ち上げたサイトであっても、ドメイン、CMS、管理者アカウント、問い合わせフォーム、データ保存先、ログ保管場所を台帳化し、責任分界点を明確にすることが重要です。

委託契約では、脆弱性診断、CMSやプラグインの更新、MFAの導入、管理画面へのアクセス制限、ログの保存期間、インシデント発生時の報告期限を具体的に定めるべきです。契約書にセキュリティ対策を抽象的に記載するだけでは、発生時に必要なログが残っていない、誰が利用者へ連絡するか決まっていない、といった問題が起きます。

公開Webサイトでは、WAFやCDNの導入、管理画面のIP制限、不要アカウントの削除、パスワード再設定、バックアップからの復旧手順確認を平時から実施しておくことが現実的です。今回のように原因が不明な段階では、同種の委託運営サイトを洗い出し、更新状況と管理者権限、ログ取得状況を点検することが優先されます。

利用者対応の観点では、公式発表ページ以外の連絡手段に誘導されるメールや、支援事業を名乗って個人情報や認証情報の再入力を求める連絡への注意喚起も必要です。不正アクセスそのものの影響範囲が限定的だったとしても、事案に便乗したフィッシングやなりすましが発生すれば、二次被害につながるおそれがあります。