日本リウマチ学会、研究者向けサイトのテスト用アカウントを悪用され非公開ページに不正書込

項目	内容
発生日	2025年10月22日（確認日）
対象組織・業界	一般社団法人日本リウマチ学会（学術団体・医学分野）
攻撃手法	テスト用アカウントの侵害・悪用による非公開ページへの不正書込
情報源	Security NEXT（2025年12月4日）

概要

日本リウマチ学会は、研究者向けサイトの会員ログイン機能に使用していたテスト用アカウントが侵害され、非公開ページに第三者による書き込みが行われたことを公表しました。10月22日に確認され、公開ページへの影響や会員アカウント・システム全体への影響はないと説明されています。

同学会は不正アクセス対策の強化を実施し、会員に対しては推測されにくいパスワードへ変更するよう注意喚起を行いました。

経緯

• 2025年10月22日: テスト用アカウントの侵害・非公開ページへの書き込みを確認
• 確認後: 不正アクセス対策の強化を実施
• 会員向け: 推測されにくいパスワードへの変更を呼びかけ
• 2025年12月4日: Security NEXTが報道。学会が経緯を公表

原因

「テスト用アカウント」が侵害された経緯（初期パスワードのまま放置されていたのか、開発用アカウントが本番環境で有効なまま残っていたのか、外部漏えいデータベースに掲載されていた認証情報が使われたのか）は明示されていません。

考えられる原因（推測）: 「テスト用」を冠するアカウントの侵害は、Webサイト運用の現場でしばしば発生する典型パターンです。(a) 開発・検証時に作られた初期パスワード（admin/test/デフォルト設定など）がそのまま本番環境に残っていた、(b) 本番リリース時にテスト用アカウントを削除するルールが徹底されておらず、権限が有効なまま「忘れられた」状態だった、(c) 特定のIPからのみアクセス可能にするといった追加防御がなかった、といった要因が考えられます。侵害されたアカウントの権限が「非公開ページへの書き込み可能」レベルだった点も、テスト用アカウントの権限設計が甘かったことを示唆しています。

対策

組織が学ぶべきこと

1. テスト用アカウントは「攻撃者が最初に狙う場所」

“test” “demo” “admin” “guest” といった名前のアカウントは、攻撃者が最初に総当たり・パスワードリスト攻撃を試みる対象です。本番環境で不要になったテスト用アカウントは削除するのが原則で、残す必要がある場合も書き込み権限を持たせない・特定IPからのみアクセス可能にする・多要素認証を必須にするといった追加防御が必須です。

2. 「攻撃者のいないインシデント」に近い構造

本件は「攻撃者の高度な技術で侵入された」というより、運用管理上の穴（テスト用アカウントの残置）を突かれた構造に近い事案です。個人情報や会員情報の流出は確認されていないものの、非公開ページへの書き込みが可能だったという事実は、同種の穴が他の場所にも残っていないか自問すべきシグナルです。

3. 会員パスワードの注意喚起は「対象範囲の広報」でもある

同学会は会員に「推測されにくいパスワードへ変更するよう注意を呼びかけ」ています。今回の直接原因は会員パスワードではなく運用側のテスト用アカウントですが、攻撃者が学会サイトに関心を持っていることが可視化された時点で、正規会員のアカウントも次の標的になり得るため、この注意喚起は妥当な判断です。

ヤグラの視点 — 攻撃者のいないインシデント：運用設計の穴が生む「静かな露出」

本件は、外部からの高度な攻撃技術というより、運用管理上の穴（テスト用アカウントの本番残置・権限設計の甘さ）が露出のトリガーになったタイプの事案です。同じ構造は、公開Webサーバの管理画面URLが実質公開状態になっている、開発用APIキーが本番でも有効になっている、監視対象外の実験用サーバが公開IPを持ったまま忘れられている、といった形で多くの組織に潜んでいます。

このタイプの露出に必要なのは、「攻撃者が本当に到達できる資産・アカウントは何か」を継続的に棚卸しできる仕組みです。到達可能性の観点で本当に危険な露出を絞り込む考え方（ヤグラでは思想④として整理）は、無限に存在する脆弱性・設定不備の中から「攻撃者が実際に踏むかどうか」を軸に優先順位を付ける発想の転換を意味します。まずは公開資産の棚卸しと、開発・テスト用アカウントの本番放置チェックから始めるのが現実的な第一歩です。

今後の対応

同学会は不正アクセス対策の強化を実施済みで、会員情報への影響は確認されていません。ただし、テスト用アカウントの残置という運用の穴が突かれた事実は、同種のWebサイト運用を行う学術団体・医療系団体全般への警鐘として意味を持ちます。同学会が公開する対策詳細（削除したアカウント数・追加した防御策）の内容次第で、業界全体への好影響が期待できます。

更新履歴

日時	内容
2026-07-30	初稿公開（2025年12月4日の公表を元に、アーカイブ整備の一環として記事化）