株式会社アップ、「洛西進学教室」「進学館」サイトに不正アクセス　プラグイン脆弱性悪用、採用応募者10名・従業員3名に影響のおそれ

株式会社アップは2026年9月4日、同社が運営するプロモーションサイト「洛西進学教室」（rakushin.net）と「進学館」（shingakukan.com）が外部から不正アクセスを受け、採用応募者と社内サイト管理者の個人情報が第三者に閲覧された可能性があると公表しました。

同社によると、8月24日、当該サイトで利用していた外部ソフトウェア（プラグイン）の脆弱性が悪用され、サーバー内に不正なプログラムが設置されていることが判明しました。

漏えいのおそれがある個人情報は、洛西進学教室の講師採用応募者10名と、当該サイトを管理する従業員3名の情報です。調査では外部への持ち出しを示す痕跡や二次被害は確認されていませんが、サーバー内に情報が保存されていたことから、第三者に閲覧されたおそれがあるとしています。

株式会社アップの不正アクセスのサマリー

• 【確認済み】2026年8月24日、「洛西進学教室」と「進学館」のサイトで外部からの不正アクセスが判明しました。
• 【確認済み】侵入では、当該サイトが利用していた外部ソフトウェア（プラグイン）の脆弱性が悪用されました。
• 【確認済み】サーバー内には不正なプログラムが設置されていました。
• 【確認済み】漏えいのおそれがある個人情報は、洛西進学教室の講師採用応募者10名とサイト管理者の従業員3名です。
• 【確認済み】採用応募者では氏名、性別、年齢、大学、学年、住所、電話番号、メールアドレス、希望内容などが対象です。
• 【確認済み】従業員では氏名、メールアドレスが対象です。
• 【確認済み】調査時点で、対象情報が外部へ持ち出された痕跡は確認されていません。
• 【確認済み】本件に伴う二次被害も公表時点では確認されていません。
• 【確認済み】不正アクセス遮断、サーバー隔離、不正プログラム除去、脆弱性修正などを実施しています。
• 【確認済み】個人情報保護委員会へ報告済みです。
• 【確認できず】悪用されたプラグイン名、バージョン、CVE番号は公表されていません。
• 【確認できず】攻撃者、攻撃開始時刻・侵害期間、警察への届出については公表資料から確認できませんでした。

項目	内容
公表日	2026年9月4日
発生日・確認日	2026年8月24日に不正アクセスと不正プログラム設置が判明
対象組織	株式会社アップ
対象サイト	洛西進学教室（rakushin.net）、進学館（shingakukan.com）
インシデント	外部ソフトウェア（プラグイン）の脆弱性を悪用した不正アクセス
確認された侵害	サーバー内への不正プログラム設置
漏えいのおそれがある情報	採用応募者の氏名、連絡先、大学・学年、住所、希望内容など／従業員の氏名、メールアドレス
対象者	採用応募者10名、従業員3名
外部持ち出し	痕跡は確認されていません
二次被害	確認されていません
対応状況	遮断、隔離、不正プログラム除去、脆弱性修正、システムクリーンアップ、順次復旧
個人情報保護委員会への報告	実施済み
警察への届出	確認できませんでした

8月24日、プラグインの脆弱性を悪用した不正アクセスが判明

株式会社アップによると、8月24日、洛西進学教室と進学館のプロモーションサイトが利用していた外部ソフトウェア（プラグイン）の脆弱性を悪用した不正アクセスを受け、サーバー内に不正なプログラムが設置されていることが判明しました。

事態の検知後、同社は不正アクセスを遮断し、当該サーバーと同じ外部ソフトウェアを利用していたサーバーを隔離しました。その後、不正プログラムの除去と脆弱性の修正などを実施しています。

一方、公表資料では悪用されたプラグインの製品名、バージョン、脆弱性の内容、CVE番号などは明らかにされていません。

既知の脆弱性だったのか、パッチが提供されていたのか、ゼロデイだったのかも確認できないため、特定の製品やCVEと関連付けることはできません。

洛西進学教室の講師採用応募者10名が対象

詳細調査では、該当システム内に洛西進学教室の講師採用応募者の個人情報を含むデータが保存されていたことが判明しました。

対象者は10名で、漏えいのおそれがある情報として次の項目が公表されています。

• 氏名
• フリガナ
• 性別
• 年齢
• 出身・在籍大学
• 学年
• 郵便番号
• 住所
• 電話番号
• 携帯番号
• メールアドレス
• 希望内容など

また、当該サイトを管理する株式会社アップの従業員3名について、氏名とメールアドレスも対象になっています。

ただし、公表資料は「対象となる情報がすべて第三者に取得された」としているわけではありません。サーバー内に保存され、不正アクセスを受けた状況から、第三者に閲覧されたおそれがあると判断しています。

外部への持ち出し痕跡は確認されず

株式会社アップは調査の結果、9月4日時点では対象情報が外部へ持ち出された痕跡を確認していないとしています。

本件に伴う二次被害についても確認されていません。

一方、対象データが侵害されたサーバー内に保管されていたことから、第三者が閲覧した可能性を否定できないと判断し、対象となる可能性がある人へ電子メールなどで個別に連絡しています。

したがって、本件は「13名の個人情報流出が確認された」と表現するのは適切ではありません。

確認されているのはサーバーへの不正アクセスと不正プログラムの設置で、個人情報については「閲覧されたおそれ」「漏えいのおそれ」がある段階です。

同じプラグインを利用するサーバーも隔離

株式会社アップは、侵害が確認されたサーバーだけでなく、同じ外部ソフトウェアを利用していたサーバーも隔離しました。

対象サイトと同ソフトウェアを利用していたサーバーについて、不正プログラムの有無を確認し、システムをクリーンアップした上で、安全性を確認できたサイトから順次復旧を進めています。

9月4日の発表時点では「順次復旧」とされており、すべての対象サイト・サーバーについて復旧が完了したとの記載はありません。

再発防止策として、セキュリティ体制の強化と個人情報管理体制の見直しも進めるとしています。

個人情報保護委員会へ報告

株式会社アップは、本件について個人情報保護法に基づき個人情報保護委員会へ報告しています。

一方、警察への届出については9月4日の公表資料に記載がなく、確認できませんでした。

対象者には個別通知を行い、不審なメール、SMS、電話などへの注意を呼びかけています。

同社は、心当たりのない連絡ではURLをクリックしたり個人情報を入力したりしないよう求めています。

採用応募情報を悪用した二次被害に注意

今回、二次被害は確認されていません。

ただし、漏えいのおそれがある採用応募情報には、氏名や連絡先だけでなく、大学名、学年、年齢、住所、希望内容なども含まれています。

今後想定されるリスクとして、採用担当者や教育事業者を装ったフィッシングメール、SMS、電話などが考えられます。実際の応募内容や大学名などを組み合わせた場合、一般的な迷惑メールより信頼させやすい内容になる可能性があります。

対象者は、採用手続きや面接、登録情報の確認などを理由に送られてきた連絡であっても、URLや送信元を確認し、不審な場合は公式窓口へ別経路で確認することが重要です。

これは今後想定されるリスクであり、本件でこうした二次被害が発生したことを示すものではありません。

情報システム・Webサイト管理者への示唆

今回の事案で確認された侵入経路は、Webサイトで利用していた外部プラグインの脆弱性です。

Webサイト管理ではCMS本体だけでなく、プラグイン、テーマ、ライブラリなど外部コンポーネントも継続的な脆弱性管理の対象にする必要があります。

特に、複数サイトで同一のプラグインを利用している場合、1サイトで侵害が確認された時点で同じコンポーネントを利用する別サーバーも影響確認の対象にすることが重要です。今回、株式会社アップが同一ソフトウェアを利用するサーバーを隔離した対応も、この観点に沿うものです。

また、Webサイト内に採用応募や問い合わせフォームのデータを保存する場合は、保存期間と保存目的を定期的に見直す必要があります。利用目的を終えた個人情報をWebサーバー側へ長期間残すほど、サイト侵害時の影響範囲は大きくなります。

セキュリティ対策Labでは、ホームページ内にフォーム送信データが保存されていたことで個人情報への影響可能性が生じたマネジメントサービスセンターの事案も取り上げています。

関連記事：マネジメントサービスセンター、ホームページへの不正アクセスで297名の個人情報に影響の可能性　管理者権限取得とサイト改ざんを確認

教育サービスでは、採用情報だけでなく、生徒・保護者情報、成績、決済、問い合わせ履歴など、多様な個人情報を扱います。外部公開Webサイトを「広報用システム」として低い重要度で管理せず、保管データと外部コンポーネントの両面からリスクを把握することが必要です。

関連記事：教育サービスのサイバー攻撃・情報漏洩事例と対策

出典

• 2026年9月4日付 不正アクセスに関する公表資料 – 株式会社アップ
• 会社案内 – 株式会社アップ
• マネジメントサービスセンター、ホームページへの不正アクセスで297名の個人情報に影響の可能性　管理者権限取得とサイト改ざんを確認 – セキュリティ対策Lab
• 教育サービスのサイバー攻撃・情報漏洩事例と対策 – セキュリティ対策Lab