アイサンテクノロジー、自社サイトが脆弱性を突かれて改ざん — 訪問者を外部サイトへ誘導、翌日停止しサーバ環境を刷新

項目	内容
発生日	2026年5月6日（不正アクセス・改ざん発生）
対象組織・業界	アイサンテクノロジー株式会社（測量・自動運転向けソフトウェア開発）
攻撃手法	ウェブサイトの脆弱性を悪用した不正アクセス → プログラム改ざんによる外部サイトへの誘導
情報源	Security NEXT（2026年6月11日）

概要

測量および自動運転向けソフトウェアを手がけるアイサンテクノロジーは、同社ウェブサイトが脆弱性を悪用した不正アクセスを受け、一部プログラムが改ざんされたことを公表しました。改ざんにより、サイトの訪問者が外部サイトへ誘導される状態になっていました。

発生は2026年5月6日。同社は翌5月7日にサイトを一時停止し、被害を受けた旧環境を閉鎖したうえでサーバとシステム環境を刷新し、5月14日に再開しています。個人情報や機密情報の流出については否定しています。

経緯

• 2026年5月6日: ウェブサイトの脆弱性を悪用した不正アクセスを受け、一部プログラムが改ざんされる。訪問者が外部サイトへ誘導される状態となる
• 2026年5月7日: サイトを一時停止
• 被害を受けた旧環境を閉鎖し、サーバおよびシステム環境を刷新
• 2026年5月14日: サイトを再開
• 個人情報・機密情報の流出は確認されていないと発表
• 2026年6月11日: 事案が報じられる

原因

同社は「ウェブサイトの脆弱性を悪用された不正アクセス」と説明しており、具体的にどの脆弱性が悪用されたか、どのコンポーネントに存在したものかは公表されていません。

考えられる原因（推測）: 企業サイトのプログラム改ざんによる外部サイト誘導は、国内で継続的に観測されている類型で、典型的な経路は以下です。(a) CMS本体・テーマ・プラグインの既知脆弱性を突かれ、任意のPHPコードを書き込まれる、(b) 管理画面の認証情報が窃取・推測されてログインされ、テンプレートやウィジェットに転送コードを挿入される、(c) ウェブサーバのミドルウェア・ライブラリの既知脆弱性からファイル書き込み権限を取得される、というものです。

改ざん内容が「一部プログラムの改ざんによる外部サイトへの誘導」である点からは、訪問者のブラウザで実行されるスクリプトまたはサーバ側の転送処理が書き換えられ、特定条件（リファラ・ユーザーエージェント・アクセス時刻など）で外部サイトへリダイレクトする形が想定されます。この手口は、管理者が管理画面から確認したときには正常に見える（管理者のアクセスを除外する条件が仕込まれる）ことが多く、発見が遅れる要因になります。

また同社が「旧環境を閉鎖してサーバとシステム環境を刷新」という対応を選んでいることは、改ざんされたファイルの特定・除去だけでは残存リスクを排除できないと判断したことを示しています。脆弱性の悪用による侵入では、初期侵入後にバックドアが複数箇所へ設置されるのが通例であり、この判断は妥当です。

対策

組織が学ぶべきこと

1. 改ざんの被害者は、自社ではなく訪問者である

Webサイト改ざんの被害評価は、自社データの流出有無だけでは測れません。同社は個人情報・機密情報の流出を否定しており、これは事実として重要です。しかし改ざんが有効だった期間、サイトを訪問した顧客・取引先・求職者は、意図せず外部サイトへ誘導されていたことになります。誘導先がマルウェア配布・フィッシング・詐欺広告のいずれであっても、被害を受けるのは訪問者です。企業サイトは自社の情報を置く場所である以上に、訪問者に対して自社が責任を負うプラットフォームです。

2. 「翌日に停止した」判断の重み

5月6日に発生し、5月7日に停止——1日での停止判断です。サイト停止は、営業機会の損失・問い合わせ経路の断絶・IR上の説明といったコストを伴い、社内では「原因を特定してから止めるべきでは」という議論が起こりやすい判断です。しかし改ざんサイトを稼働させ続けることは、訪問者を危険にさらし続けることを意味します。停止を先延ばしにする1日は、訪問者の被害が1日分積み上がる時間です。この点で同社の初動は早い部類に入ります。

3. 修復ではなく刷新を選んだこと

同社は改ざんファイルの修復ではなく、旧環境の閉鎖とサーバ・システム環境の刷新を選択しました。改ざんされたサイトの復旧では、「どこまで書き換えられたか」を完全に列挙できない限り、修復してもバックドアが残る可能性が消えません。環境を作り直すことは、時間とコストの代わりに「残存リスクがない」という説明可能性を買う判断です。5月7日停止から5月14日再開まで約1週間で刷新を完了しており、再構築を短期間で回せる構成だったことも読み取れます。

4. 公開サーバは「無限に見つかる脆弱性」の最前線にある

企業サイトは、CMS・テーマ・プラグイン・ライブラリ・ミドルウェア・OSという多層の依存関係の上に成り立っており、そのどこかに脆弱性が公表されない月はありません。すべてを常時最新に保つのは現実的でない一方、公開サーバは「攻撃者が実際に到達できる」場所です。到達可能性という観点で優先順位を付けたとき、企業サイトは常に最上位にあります。ここに関しては「CVSSの高い順」ではなく「外部から触れるものから」という順序で手を入れる必要があります。

ヤグラの視点 — 発見までの時間：改ざんの気づきの遅れは、そのまま第三者の被害量になる

インシデントにおける「発見までの時間」は、通常は自社の被害規模と直結する指標として語られます。侵入から検知までが長ければ、横展開が進み、持ち出されるデータが増える——そういう文脈です。

しかしWebサイトの改ざんでは、この指標の意味が変わります。気づかなかった時間は、自社の被害ではなく、サイトを訪問した第三者の被害として積み上がります。改ざんに気づかず1か月稼働させれば、1か月分の訪問者が外部サイトへ送られます。自社のデータは1バイトも流出していなくても、被害総量は日ごとに増えていきます。

そして厄介なのは、改ざんが気づきにくいように設計されることです。管理者のアクセスには正常なページを返し、検索エンジンからの流入だけを転送する。特定の時間帯だけ有効にする。管理画面のプレビューには影響を与えない。こうした条件分岐が仕込まれると、社内の誰かが自社サイトを開いても異常は見えません。「見て確認する」という運用では検知できない類型です。

だからこそ、機械的に検知する仕組みが必要になります。ファイルの改変監視、外部からの定期的な挙動確認（実際にクローラのように訪問して転送先を確認する）、Webサーバのアクセスログ・エラーログにおける異常な書き込み要求の検出、公開サーバから外部への予期しない通信の検出——これらはいずれも、人が目視で行うには量が多すぎ、かつ継続性が求められる作業です。

アイサンテクノロジーの事案は、5月6日発生・5月7日停止という短い時間で止まっています。しかし国内では、決済ページの改ざんが数年間気づかれなかった事例も報告されています。同じ「改ざん」という事象で、被害量が数桁変わる分かれ目が、検知までの時間です。

ヤグラの AI SOC は、公開サーバのアクセスログ・ミドルウェアのログ・ネットワーク機器のログを集約して横断で監視し、AIが異常を検知・調査することで、検知から初動までの時間を平均数分の水準まで縮めることを狙った基盤です。人手で全ログを見切ることは現実的ではありません。ウイルス対策ソフトを入れていても、公開サーバの脆弱性を突かれた改ざんは防げないという点も、この事案が示していることの一つです。

今後の対応

サイトは環境刷新を経て再開済みで、事案としては収束しています。監視ポイントは、①悪用された脆弱性の内容が追加公表されるか、②改ざんが有効だった期間と誘導先の性質（マルウェア配布か、フィッシングか）に関する追加情報、③改ざん期間中にサイトを訪問した第三者に対する注意喚起の有無です。訪問者側の被害が事後に判明する可能性があるため、誘導先に関する情報開示は継続的な関心事になります。

更新履歴

日時	内容
2026-08-04	アーカイブとして初稿作成（2026年6月11日報道時点）