京都大学大学院文学研究科の図書館サイトが約9か月にわたり改ざん — 約100記事に不正スクリプトが埋め込まれる

項目	内容
発生日	2025年2月6日（改ざんの開始）〜2025年11月13日（改ざんが確認された最終日）
公表日	2025年11月28日
対象組織・業界	京都大学大学院文学研究科 図書館サイト（教育・研究）
影響件数	約100件の記事に不正スクリプトが埋め込まれた。個人情報は「公開情報以外は保存されておらず」流出は否定。閲覧者数は公表されていない
攻撃手法	脆弱性を突く不正アクセスによるWebサイトの改ざん。埋め込まれたスクリプトにより、意図しない広告のような表示や外部サイトへのリダイレクトが行われたおそれ
情報源	Security NEXT（2025年11月28日）

概要

京都大学は2025年11月28日、大学院文学研究科の図書館サイトが第三者による不正アクセスを受け、Webサイトが改ざんされていたと公表しました。

改ざんされていた期間は2025年2月6日から11月13日までの約9か月にわたります。約100件の記事に対して不正なスクリプトが埋め込まれ、閲覧者に対して意図しない広告のような表示や、リダイレクトによる外部サイトへの誘導が行われたおそれがあるとしています。

同大学は11月26日に同サイトを閉鎖し、仮サイトを公開しました。個人情報については、同サイトには公開情報以外は保存されていないとして流出を否定しています。一方で、改ざん期間中に同サイトを訪問するなど心当たりがある場合は、マルウェアなどへ感染していないかチェックを実施するよう促しています。

経緯

• 2025年2月6日: 改ざんが始まる（後の調査で判明）
• 2025年11月13日: 改ざんが確認された最終日
• 2025年11月26日: 同サイトを閉鎖し、仮サイトを公開
• 2025年11月28日: 京都大学が公表。閲覧者に対しマルウェア感染のチェックを呼びかけ

原因

判明している事実: 「脆弱性を突く不正アクセス」を受けたことが原因と公表されています。悪用された脆弱性の具体的な内容、対象となったソフトウェアの種類、パッチの適用状況は公表されていません。

考えられる原因（推測）

「約100件の記事」という単位で不正スクリプトが挿入されている点から、侵害されたのは記事をデータベースで管理するCMSであった可能性が考えられます。個別のHTMLファイルを1つずつ書き換えるのではなく、記事の本文フィールドに一括でスクリプトを追加する手口であれば、この形になります。

改ざんが9か月続いた背景としては、サイトの更新頻度の低さが考えられます。研究科の図書館サイトは記事の追加が不定期になりやすく、日常的に閲覧・編集する担当者がいなければ、表示の異常も管理画面の変化も気づかれにくくなります。攻撃者が広告表示とリダイレクトという「サイトを壊さない」改ざんを選んでいることも、発見の遅れに寄与したと考えられます。

対策

組織が学ぶべきこと

1. 更新の止まったサイトは、攻撃者にとって最も条件の良い場所になる

運用が落ち着いたサイトは、ソフトウェアの更新も監視も後回しになります。それは攻撃者から見れば、侵入しても長く居座れて、変更に気づかれにくい環境です。組織が保有する公開サイトを棚卸しし、更新が止まっているものについては、閉鎖・静的化・移管のいずれかを積極的に選ぶ判断が必要です。

2. 改ざんは「サイトの被害」ではなく「閲覧者の被害」として数える

今回、大学の側に個人情報の流出はありませんでした。一方で、9か月間サイトを訪れた人はマルウェア感染の可能性を確認する必要が生じています。改ざんの影響を受けるのは、サイトの持ち主よりも訪問者です。被害範囲を「自組織の情報がどれだけ出たか」だけで測ると、この事案の重さは見えません。

3. 表示の変化を機械的に監視する

広告表示やリダイレクトは、人が見れば気づく類の異常です。しかし9か月間、誰も見ていなかったという点が問題の本体でした。公開ページの内容やスクリプトの構成に変化がないかを定期的に自動照合する仕組みは、更新の止まったサイトほど価値が高くなります。

ヤグラの視点 — 発見までの時間：9か月という数字が、被害の総量を決めた

この事案の被害規模を決めたのは、脆弱性の深刻さでも攻撃者の技量でもありません。2月6日から11月13日までという9か月の長さです。同じ改ざんが1日で発見されていれば、影響を受ける訪問者は1日分で済みました。侵入の成否ではなく、侵入後にどれだけの時間が与えられたかが、被害の総量をそのまま決めています。

攻撃者の側は、その時間を得るために「壊さない改ざん」を選んでいます。トップページを書き換えて主張を掲示するような目立つ手口ではなく、記事本文に広告表示とリダイレクトのスクリプトを仕込む。サイトは普通に動き続け、管理者に届く苦情もなく、収益だけが攻撃者に流れます。発見の遅れは偶然ではなく、攻撃の設計に組み込まれた前提です。

だからこそ、公開サイトの防御は「破られないこと」ではなく「破られたことに何日で気づくか」に軸を置く必要があります。侵入の痕跡は、Webサーバのアクセスログ、ファイルやデータベースの更新記録、外部への通信といった複数の記録に分散して現れます。それらを人手で恒常的に見続けることは現実的ではなく、横断的に集約して異常を機械的に拾う仕組みが必要になります（→ ヤグラ AI SOC）。更新の止まったサイトほど、人ではなく仕組みに見張らせる価値が大きくなります。

今後の対応

• 悪用された脆弱性とソフトウェアの特定
• 改ざん期間中の訪問者への影響の把握
• サイトの再構築方針と再発防止策の公表内容

更新履歴

日時	内容
2026-08-12	2025年11月28日の公表内容をもとにアーカイブ記事として作成