三英、CMSへのブルートフォース攻撃でパスワードを特定され侵入 — 問い合わせ顧客の情報が流出の可能性、サイトは再開せず

項目	内容
発生日	2025年7月22日にウェブサイト分析ツールで不審な登録を確認。7月31日にサーバ内の不正なファイルを確認
公表日	2025年12月11日
対象組織・業界	三英（体育器具・スポーツ用品の製造販売／製造）
影響件数	公表されていない。問い合わせフォームより連絡を行っていた顧客の氏名または会社名、住所、電話番号、メールアドレスが流出の可能性
攻撃手法	コンテンツマネジメントシステム（CMS）に対するブルートフォース攻撃によりパスワードを特定され、侵入された
情報源	Security NEXT（2025年12月11日）

概要

体育器具やスポーツ用品の製造販売を手がける三英は2025年12月11日、コンテンツマネジメントシステム（CMS）に対するブルートフォース攻撃によりパスワードを特定されて侵入されたことが確認されたと公表しました。

発覚の起点は2025年7月22日で、ウェブサイト分析ツールにおける不審な登録を確認したことによります。同社は7月25日にサイトを閉鎖し、7月31日にサーバ内の不正なファイルを確認しました。

流出した可能性があるのは、問い合わせフォームより連絡を行っていた顧客の氏名または会社名、住所、電話番号、メールアドレスです。件数は公表されていません。

再発防止策として、強度を持ったパスワードの利用、ログイン試行回数の制限、ウェブアプリケーションファイアウォール（WAF）や多要素認証の導入、海外からのアクセス制限を実施予定としています。侵害されたサイトは再開しない方針です。

経緯

• 2025年7月22日: ウェブサイト分析ツールにおける不審な登録を確認
• 2025年7月25日: サイトを閉鎖
• 2025年7月31日: サーバ内の不正なファイルを確認
• 2025年12月11日: 三英が公表。侵害されたサイトは再開しない方針を示す

原因

判明している事実: CMSに対するブルートフォース攻撃によりパスワードを特定され、侵入されたことが確認されています。対象となったCMSの種類、突破されたアカウントの権限、ログイン試行の回数や期間は公表されていません。

考えられる原因（推測）

再発防止策として同社が挙げた項目が、そのまま侵害前の状態を示しています。「強度を持ったパスワードの利用」「ログイン試行回数の制限」「多要素認証の導入」「海外からのアクセス制限」がいずれも「実施予定」とされていることから、侵害時点ではこれらが適用されていなかったと考えられます。ブルートフォース攻撃が成功するには、試行回数の制限がないことと、パスワードが推測可能な強度であることの両方が必要です。

発覚の契機が「ウェブサイト分析ツールにおける不審な登録」であった点も特徴的です。サーバやCMSの側の監視ではなく、アクセス解析の画面に現れた異常が入口になっています。7月22日に異常を認識し、7月31日にサーバ内の不正ファイルを確認するまで9日を要していることは、侵害の有無をサーバ側の記録から即座に判断できる状態ではなかったことを示唆します。

流出の対象が「問い合わせフォームより連絡を行っていた顧客」に限られていることから、CMS内に問い合わせの受信データが蓄積されていたと考えられます。

対策

組織が学ぶべきこと

1. ブルートフォース攻撃は、試行回数の制限がなければ時間の問題で通る

攻撃側は自動化された試行を無制限に繰り返せます。パスワードの強度だけに依存する防御は、試行回数の制限がない前提では成立しません。ログイン試行の制限、多要素認証、アクセス元の制限は、いずれも「試せる回数」を有限にする対策であり、パスワードの強化とは別の層として必要です。

2. 問い合わせフォームの受信データをCMS内に置き続けない

流出の対象は問い合わせを行った顧客でした。CMSが侵害されたときの被害範囲は、CMS内に何が保存されているかで決まります。問い合わせは対応が終われば役目を終える情報であり、CMSから切り離すか、保持期間を定めて削除することが影響を直接的に下げます。

3. サイトを再開しないという判断は、選択肢として有効である

同社は侵害されたサイトを再開しない方針を示しています。侵害された基盤を復旧させる作業には、どこまで汚染されたかを確定させる工程が伴います。サイトの役割が限定的であれば、再構築や廃止のほうが、確認しきれない不安を残す復旧より合理的です。

ヤグラの視点 — 修復か再構築か：再開しないという選択が、確定できない不安を打ち切っている

この事案でもっとも判断が現れているのは、技術的な対策の一覧ではなく、「侵害されたサイトは再開しない」という一行です。侵入を受け、サーバ内に不正なファイルが置かれていたことまで確認されたサイトについて、復旧させずに閉じる決定をしています。

侵害された環境を復旧させる場合、必要になるのは「どこまで汚染されたかを確定させる作業」です。CMSに置かれた不正ファイルはすべて見つけたか、データベースの内容は書き換えられていないか、別の裏口が残っていないか——この確認は、やり切ったことを証明できない性質の作業です。攻撃者が残したものを一つ見落とせば、対策を施した後に再び侵入されます。7月22日の異常確認から7月31日の不正ファイル確認まで9日を要した経緯は、この確認作業の難しさを示しています。

再構築や廃止は、確定できない不安を構造的に打ち切る手段です。「きれいにしたつもり」ではなく「使わない」ことで、汚染の残存という論点そのものを消せます。サイトの役割が問い合わせの受付と会社情報の掲示に限られるなら、復旧のコストと残余リスクを負う理由は薄くなります。同社が同時に挙げた多要素認証やログイン試行の制限、WAFの導入は、次の基盤に持ち込むべき前提条件です。侵害された基盤をどう扱うかは技術の問題ではなく、説明できない状態を抱えて運用を続けるかどうかという経営判断です。

今後の対応

• 流出した可能性がある顧客の件数
• 対象者への通知状況
• 新しい基盤における多要素認証・試行回数制限・WAF等の適用状況

更新履歴

日時	内容
2026-08-12	2025年12月11日の公表内容をもとにアーカイブ記事として作成