セントラルコンサルタント、コーポレートサイトへの不正アクセスで問い合わせフォーム情報が閲覧された可能性
| 項目 | 内容 |
|---|---|
| 発生日 | 非公表（調査中） |
| 対象組織・業界 | セントラルコンサルタント株式会社（建設コンサルタント） |
| 攻撃手法 | コーポレートサイトへの不正アクセス（詳細手口は非公開） |
| 情報源 | サイバーセキュリティ.com（2026年8月3日） |
社会資本整備・都市開発などを手がける建設コンサルタントのセントラルコンサルタント株式会社は、2026年7月31日、同社コーポレートサイトが第三者から不正アクセスを受けた可能性があると公表しました。攻撃の影響により、問い合わせフォームに入力された会社名・氏名・メールアドレス・電話番号・住所・問い合わせ内容などが第三者に閲覧されたり取得されたりした可能性があるとしています。
現時点で個人情報の漏えいは確認されておらず、同社は不正アクセスの影響範囲と事実関係について調査を進めています。
- 発生日・検知日は現時点で非公表
- 2026年7月31日: 同社が不正アクセスの可能性と、問い合わせフォーム情報の閲覧可能性について公表
- 現時点で個人情報の漏えいは確認されていないと説明
- 新事実判明時は速やかに公表予定
侵入経路・攻撃手口は公表されていません。同社は「不正アクセスの影響範囲と事実関係について調査を進めている」とだけ説明しています。
考えられる原因（推測）: コーポレートサイトの問い合わせフォームに紐づくデータが閲覧された可能性という説明から、(a) CMS（WordPress等）や問い合わせフォームプラグインの脆弱性悪用、(b) Webサーバ側の管理画面へのブルートフォース／認証情報窃取、(c) データベースへのSQLインジェクション、が典型的な筋書きです。「閲覧された可能性」という表現は、外部への持ち出し（exfiltration）を裏付けるログが揃わない段階での慎重な言い回しとして解釈できます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「漏えいは確認されていない」の技術的な意味
Section titled “1. 「漏えいは確認されていない」の技術的な意味”「現時点では個人情報の漏えいは確認されていません」という表現は、その時点までのログ調査範囲で漏えいの痕跡が見つかっていないという意味です。攻撃者がデータを持ち出したかを証明するには、Webサーバ・DBサーバのアクセスログ、アウトバウンド通信ログの相関分析が必要で、これらが十分に残っていないと「不在の証明」まで踏み込めません。「未確認」と「確認済み不在」は別物であることを組織として理解し、対象顧客への説明もその前提で行う必要があります。
2. 問い合わせフォーム=個人情報の宝庫
Section titled “2. 問い合わせフォーム=個人情報の宝庫”コーポレートサイトの問い合わせフォームは、営業リード獲得の重要なチャネルであると同時に、入力者の会社名・連絡先・問い合わせ内容という個人＋業務情報が集約される場所でもあります。BtoBの建設コンサルタント業では、発注者側の担当者情報が蓄積されている可能性が高く、フィッシング再利用リスクや取引先偽装のリスクを含めた通知設計が求められます。
3. Webサイトのアーキテクチャ棚卸し
Section titled “3. Webサイトのアーキテクチャ棚卸し”コーポレートサイトのCMSやプラグイン構成、フォーム送信データの保存先（DB／メール／外部SaaS）、外部からのアクセス可能面を洗い出しておくことが、影響範囲確定の前提条件になります。攻撃を受けてから「どこにデータが残っていたか」を再調査する事態を避けるためには、平時からのアセット・情報フロー可視化が有効です。
ヤグラの視点 — 影響範囲の特定：「閲覧された可能性」を「範囲を絞った可能性」に更新するために
Section titled “ヤグラの視点 — 影響範囲の特定：「閲覧された可能性」を「範囲を絞った可能性」に更新するために”インシデント公表で最も重要かつ最も難しいのが、「どこまでやられたか」を初期段階でどれだけ絞り込めるかです。本件のように「問い合わせフォーム情報が閲覧された可能性があるが、漏えいは確認されていない」という説明は、正直な現状報告として妥当ですが、対象者は「自分の情報が漏れたのか、漏れていないのか」を知りたい状況が続きます。
この曖昧さを解消するには、Webサーバ・アプリケーションサーバ・DB・アウトバウンド通信のログを横断で相関分析し、「何が読まれ、何が持ち出され、何がそもそも触られていないか」を短時間で切り分ける必要があります。ヤグラの AI SOC は、Webアクセスログ・DBクエリログ・通信ログを含む100+の連携先からログを集約し、AIエージェントが相関分析を代行することで、「暫定→確定」への更新に必要な調査時間を大幅に短縮します。
同社は影響範囲・事実関係の調査を継続しており、問い合わせフォーム入力者への個別連絡の有無・件数・情報種別の続報が注視されます。BtoB業種のコーポレートサイト侵害は、発注者側の情報がフィッシング再利用に悪用されるリスクがあるため、取引先経由の二次被害への警戒も必要です。
| 日時 | 内容 |
|---|---|
| 2026-08-03 | 初稿公開 |