産業廃棄物処理事業振興財団、「優良さんぱいナビ」「さんぱいくん」に不正アクセス — 利用者のID・パスワード流出の可能性、海外発信元の攻撃

項目	内容
発生日	2026年5月25日（サイトの高負荷状態を検知）
公表日	2026年6月8日
対象組織・業界	公益財団法人産業廃棄物処理事業振興財団（WMF）／産廃業者検索サイト「優良さんぱいナビ」「さんぱいくん」
攻撃手法	海外を発信元とする不正アクセス（詳細な手口は未公表）
影響	サイト利用者の氏名・メールアドレス・ID・パスワードなどが流出した可能性（件数未公表）
情報源	Security NEXT（2026年6月8日）

概要

公益財団法人産業廃棄物処理事業振興財団（WMF）は2026年6月8日、同財団が運営する産業廃棄物処理業者の検索サイト「優良さんぱいナビ」および「さんぱいくん」において、不正アクセスにより利用者情報が流出した可能性があることを公表しました。

きっかけとなったのは2026年5月25日に検知したサイトの高負荷状態です。調査の結果、海外を発信元とする攻撃を受けていたことが判明しました。流出した可能性がある情報は、サイト利用者の氏名、メールアドレス、ID、パスワードなどとされています。件数は公表されていません。

同財団はネットワークを遮断してサイトを停止し、調査・復旧作業を進めるとともに、利用者に対してパスワードの変更となりすまし詐欺への注意を呼びかけています。

経緯

• 2026年5月25日: サイトの高負荷状態を検知
• 調査の結果、海外を発信元とする攻撃を受けていたことが判明
• ネットワークを遮断し、対象サイトを停止
• 調査・復旧作業を実施
• 利用者に対してパスワード変更を呼びかけ、なりすまし詐欺への注意を喚起
• 2026年6月8日: 事案を公表

原因

侵入経路・攻撃手法の詳細は公表されていません。同財団は「海外が発信元とされる攻撃」と説明するにとどめています。

考えられる原因（推測）: 会員登録型の検索サイトが不正アクセスを受け、氏名・メールアドレス・ID・パスワードといった認証情報を含むテーブルまで到達された場合、経路としては (a) 検索フォームや会員機能のSQLインジェクションによるデータベースの直接読み出し、(b) CMSやWebアプリケーションフレームワークの既知脆弱性の悪用、(c) 管理画面への認証突破（パスワードリスト攻撃・ブルートフォース）、が典型です。本件の起点が「高負荷状態の検知」であった点は示唆的です。大量の自動リクエストを伴う攻撃（脆弱性スキャン、総当たり、大量のクエリ実行によるデータ抽出）は、意図せずサーバ負荷という形で現れます。つまり攻撃そのものを検知したのではなく、攻撃の副作用として現れた性能異常が発見の契機になった可能性が考えられます。ただしこれは公表事実からの推測であり、確定した原因ではありません。

対策

組織が学ぶべきこと

1. 「高負荷で気づいた」は、幸運であって設計ではない

本件の発見契機はサイトの高負荷でした。これは結果的に早期の遮断につながっていますが、攻撃者が静かに動いていれば気づけなかったことも意味します。データベースからの情報抽出は、必ずしも負荷という形で表出しません。少量ずつ、時間をかけて抜き出すやり方をとれば、性能監視には何も映りません。性能異常はセキュリティ検知の代替にはならず、認証ログ・クエリログ・アウトバウンド通信といった観点からの監視が別途必要です。

2. ID・パスワードの流出は「その先」の被害を呼ぶ

本件で流出した可能性のある情報にはIDとパスワードが含まれます。この場合、被害はこのサイト単体では終わりません。多くの利用者が複数サービスで同じ認証情報を使い回しているため、流出した組み合わせは他サービスへのパスワードリスト攻撃の弾になります。同財団が利用者へパスワード変更を呼びかけたのは適切な初動ですが、呼びかけの実効性は「他のサイトでも同じパスワードを使っていないか」まで伝わるかで決まります。

3. なりすまし詐欺への注意喚起を先に出した判断

同財団は情報流出の可能性の公表とあわせて、なりすまし詐欺への注意を利用者に呼びかけています。氏名とメールアドレスの組み合わせが流出した場合、「財団や関連機関を装ったメールが届く」段階は現実的な想定です。件数や詳細が確定する前の段階で、利用者が取るべき行動（パスワード変更・不審な連絡への警戒）を先に伝えた判断は、対応設計として評価できます。調査完了を待ってから注意喚起する運用では、二次被害が先に到達します。

ヤグラの視点 — 二次攻撃の連鎖を断つ：認証情報が漏れた時点から始まる「時間差の被害」

情報漏えい事案の報道は、多くの場合「何件が漏れたか」で終わります。しかし認証情報が含まれる漏えいは、そこが被害の終点ではなく起点です。流出したメールアドレスと氏名の組み合わせは、そのまま「実在する、この業界の関係者である」ことが確認済みの標的リストになります。加えてID・パスワードが揃っていれば、他サービスへの侵入試行の材料になります。

このタイプの漏えいで想定すべき二次波は二つあります。第一に、同財団や関連機関を装ったフィッシングメールです。「不正アクセスに関するお知らせ」「パスワードの再設定はこちら」という文面は、まさにこの局面で最も自然に見え、最も成功率が高くなります。利用者は本物の注意喚起を受け取ったばかりであり、偽物を見分ける手がかりが乏しい状態に置かれます。第二に、流出した認証情報を使った他サービスへのログイン試行です。

組織側にできるのは、二次波が来る前提で先手を打つことです。利用者への注意喚起では、正規の連絡手段（自組織からはURLリンクを送らない、パスワード再設定は必ずサイトに直接アクセスして行う等）を明示し、偽物を判別する基準そのものを渡す必要があります。同時に、自組織の従業員側でも、この事案に便乗した不審メールが届いた際に即座に共有される経路が要ります。ヤグラの PhishAI は、不審なメールをメーラーのアドインからワンクリックで報告できる基盤を提供し、報告されたメールをAIが分析して同じメールが社内の誰に届いているかまで自動で調査します。時間差でやってくる二次波を、一人目の報告で止めるための設計です。

今後の対応

同財団は調査・復旧作業を継続しています。流出した可能性のある情報の件数、実際の流出の有無、サイトの再開時期について続報が出る可能性があり、注視が必要です。利用者側では、当該サイトのパスワード変更に加え、同一パスワードを他サービスで使い回していないかの確認が実務上の対応となります。

更新履歴

日時	内容
2026-08-05	過去アーカイブとして記事化（キュレーション）