相模女子大学、併設校サイトの脆弱ページ経由で不正アクセス — 利用者を外部サイトへ自動誘導

項目	内容
発生日	2026年7月13日（検知日）
対象組織・業界	学校法人相模女子大学（教育）
攻撃手法	併設校サイトの「バーチャルキャンパスツアー」ページの脆弱性悪用による不正アクセス、利用者の外部サイトへの自動転送
情報源	サイバーセキュリティ.com（2026年7月23日）

概要

学校法人相模女子大学は、2026年7月16日、大学ホームページが第三者による不正アクセスを受けたと公表しました。併設校サイトで公開していた「バーチャルキャンパスツアー」のページに脆弱性があり、これを悪用された結果、検索サイトから同大学を検索した際に「このサイトにアクセスすると、コンピュータに損害を与える可能性があります」といった警告が表示される状況、および一部の利用者が外部サイトへ自動転送される状況が発生していました。

問題ページは既に閉鎖されており、現在は安全に運用されていると発表されています。

経緯

• 2026年7月13日: 検索サイトで同大学を検索した際に警告表示があることを確認、脆弱性の悪用が判明
• 2026年7月16日: 公表。問題ページを閉鎖し、安全な運用に復帰

原因

原因は、併設校サイトで公開していた「バーチャルキャンパスツアー」のページの脆弱性とされています。同大学は「Webページの脆弱性」と説明していますが、具体的な脆弱性の種類（XSS、SQLインジェクション、認証バイパス、CMSプラグイン脆弱性等）は公表されていません。

考えられる原因（推測）: 大学サイトの中でも「バーチャルキャンパスツアー」のようなインタラクティブコンテンツは、通常のCMSとは別に外部ツール・古いFlash/JavaScriptライブラリ・独自PHP等で構築されているケースが多く、本サイト本体の更新サイクルから外れて放置されがちな資産です。オープンキャンパス時期に構築され、その後メンテナンス担当が変わったり忘れられたりする「サブサイト」で、脆弱性が発見・修正されないまま残っていた可能性が考えられます。攻撃者はこの種の忘れられたページを狙って侵害し、閲覧者を悪意あるサイトへリダイレクトするコード（マルウェア配布サイト、フィッシングサイト等）を埋め込む手口が典型的です。

対策

組織が学ぶべきこと

1. サブサイト・レガシーページの棚卸し

大学・自治体・企業サイトには、本サイトとは別に運用されているサブサイト・キャンペーンサイト・イベント特設サイトが多数存在します。これらは構築時点で最新技術を使っていても、その後の更新が止まり、脆弱性が放置される「攻撃者にとって美味しいターゲット」になります。定期的な棚卸し、廃止判断、または本サイトへの統合が、この種の被害を減らす基本手段です。

2. 「本ドメイン全体」への信頼を毀損するリスク

本件では「バーチャルキャンパスツアー」という1ページの脆弱性が、大学サイト全体に対する検索エンジンの警告表示に発展しました。1つの脆弱ページが本ドメイン全体のレピュテーションを毀損する構造は、EC・大学・企業サイトいずれでも同じです。サブサイトを別ドメインで運用するか、少なくとも定期的なセキュリティスキャンの対象に含めることが、被害の局所化に必要です。

3. 検索エンジンの警告表示を「異常検知の入口」にする

本件では、検索サイトで大学名を検索した際の警告表示が発覚のきっかけになっています。Google Search Console等の検索エンジンによる異常通知は、多くの組織で活用しきれていない情報源です。これらの通知を受け取る担当を明確にし、日次・週次で確認する運用にすることで、外部からの「気づき」を早く受け取れます。

ヤグラの視点 — 組織固有知識の学習：「忘れられたサブサイト」問題を再発させない仕組み

大学サイトの「バーチャルキャンパスツアー」のような忘れられがちなサブサイトは、多くの組織で発生する典型パターンです。担当者交代、外部委託先の変更、当初の目的（オープンキャンパス）の終了——サブサイトが「誰も見ていない状態」になる経路は複数あり、一度サイトマップから外れると再発見されにくくなります。

同じ形の異常を次は取れるか、という視点で言えば、「本ドメイン配下で公開されているすべてのURLパス」の一覧を組織として持っているかが問われます。攻撃者はこの一覧を持っています（クロール・DNS列挙・過去アーカイブから）。防御側が持っていないと、対称性が崩れます。ヤグラの AI SOC は、対応履歴をメモリに登録しAIが調査推論に活用する仕組みを持ち、「同じ形の脆弱ページ露出」を過去事案から学習して継続的にハンティングする活用が可能です。

今後の対応

同大学は問題ページを閉鎖し、セキュリティ対策の強化と再発防止に取り組むとしています。他のサブサイト・特設サイトの棚卸しと点検が、今後の再発防止の焦点になります。

更新履歴

日時	内容
2026-08-02	初稿公開（2026年7月23日 サイバーセキュリティ.com報道時点）