日本ブラインドサッカー協会、公式サイトと20周年記念サイトが改ざん — Cloudflareを装った偽の認証画面で訪問者に操作を促す記述が追加

項目	内容
発生日	2026年8月12日午前3時頃〜午前7時頃（改ざんが行われた時間帯）。同日午前に発見し、サイトを一時停止
公表日	2026年8月20日（報道は2026年8月25日）
対象組織・業界	日本ブラインドサッカー協会（JBFA／東京都新宿区／公共・非営利）。対象は公式ウェブサイトとJBFA20周年記念サイトの2サイト
影響件数	個人情報の流出は確認されていない。8月12日にサイトを訪問し、キーボードの指定操作、コピー貼り付け、OS機能の起動、ファイルのダウンロードや実行を行った利用者には、ウイルススキャンの実施を呼びかけている
攻撃手法	公式ウェブサイトの管理画面のアカウント情報を第三者が不正に取得してログインし、記事データを書き換え。あわせてCloudflareを装った偽のセキュリティ認証画面を表示させる不正な記述が追加されていた
情報源	日本ブラインドサッカー協会「当協会ウェブサイトの改ざんと復旧に関するお知らせ」（2026年8月20日）、Security NEXT（2026年8月25日）

概要

日本ブラインドサッカー協会（JBFA）は2026年8月20日、同協会が運営する公式ウェブサイトとJBFA20周年記念サイトが第三者による不正アクセスを受けて改ざんされたと公表しました。

原因は、公式ウェブサイトの管理画面のアカウント情報を第三者が不正に取得してログインされたことです。改ざんでは記事データが書き換えられ、あわせてCloudflareを装った偽のセキュリティ認証画面を表示させるための不正な記述が追加されていました。

改ざんが行われたのは8月12日午前3時頃から午前7時頃までです。同日午前に発見し、サイトを一時停止して調査と復旧作業を実施しました。

本件による個人情報の流出は確認されていないとしています。一方で、8月12日にサイトを訪問した利用者のうち、キーボードの指定された操作、コピー貼り付け、OS機能の起動、ファイルのダウンロードや実行を行った場合は、ウイルススキャンを実施するよう呼びかけています。

再発防止策として、アカウントを個人単位で発行・管理すること、多要素認証の導入、パスワードの定期変更と管理方法の見直し、アクセス権限の見直し、運用ルールの改善、管理端末のセキュリティ強化を挙げています。

経緯

• 2026年8月12日午前3時頃〜午前7時頃: 管理画面へ不正にログインされ、2サイトが改ざんされる
• 2026年8月12日午前: 改ざんを発見。公式ウェブサイト等を一時停止し、調査と復旧作業を開始
• 2026年8月20日: 日本ブラインドサッカー協会が公表。サイトを再開し、再発防止策を発表
• 2026年8月25日: 報道により広く伝えられる

原因

判明している事実: 公式ウェブサイトの管理画面のアカウント情報を第三者が不正に取得し、ログインして一部のデータを書き換えたことです。そのアカウント情報がどこから取得されたのか、パスワードの使い回しやフィッシングなど具体的な経路は公表されていません。

考えられる原因（推測）

再発防止策の並びが手がかりになります。先頭に置かれているのが「アカウントを個人単位で発行・管理する」と「多要素認証の導入」です。これから読み取れるのは、改ざん時点では管理画面のアカウントが個人単位になっておらず、多要素認証もかかっていなかったということです。共用のアカウントは、パスワードが関係者のあいだで共有され、退任した人の手元にも残ります。誰がいつログインしたのかも後から切り分けられません。

狙いがどこにあったかも読み取れます。Cloudflareの認証画面を装う手口は、サイトそのものを壊すためではなく、訪問者に操作をさせるために使われます。協会が注意喚起で挙げているのは、キーボードの指定操作、コピー貼り付け、OS機能の起動、ファイルのダウンロードや実行という4つです。これらは、認証を通すための手順だと思って利用者が自分で実行しない限り起きません。改ざんの狙いが訪問者の端末側にあったことになります。

対策

組織が学ぶべきこと

1. サイトの管理アカウントを個人単位にして、多要素認証をかける

改ざんの入口は脆弱性ではなく、管理画面へのログインでした。共用アカウントのままだと、パスワードが流出したときに誰の手元から出たのか分からず、退任した人の分を止め忘れても気づけません。同協会が再発防止策の先頭にこの2つを置いているとおり、外部から到達できる管理画面については、個人単位の発行と多要素認証が最初の一手になります。

2. 改ざんされた時間帯を特定できるようにしておく

同協会は改ざんの時間帯を「8月12日午前3時頃から午前7時頃」と4時間の幅で示しています。この特定ができたので、注意喚起の対象を「8月12日にサイトを訪問した人」に絞れました。時間帯が分からなければ、対象は「ここ数週間の訪問者すべて」に広がります。管理画面へのログイン記録とファイルの更新記録を残しておくことが、そのまま呼びかける範囲の広さを決めます。

3. 訪問者への注意喚起は、操作の種類まで書く

同協会の注意喚起は「不審な画面が出た場合」ではなく、キーボードの指定操作、コピー貼り付け、OS機能の起動、ファイルのダウンロードや実行という4つの操作を挙げています。読んだ人は自分が該当するかどうかを判断できます。「心当たりのある方はご確認ください」という書き方では、誰も自分のことだと思いません。改ざんの内容が分かった時点で、利用者が何をしたら危ないのかを具体的に書ける状態にしておく必要があります。

ヤグラの視点 — 訓練で防げた分岐点：認証画面が操作を求めてきたら偽物、という1点

Cloudflareの認証画面は、多くの人が何度も通過してきた画面です。「あなたが人間であることを確認しています」と表示されて数秒待つ、というだけの経験が積み重なっているので、そこに疑いを向ける習慣はありません。今回追加されたのは、その見慣れた画面を装って、訪問者に自分の手で操作をさせる記述でした。

この手口が成立するのは、利用者が「認証のための手順」だと思って実行するからです。協会が挙げた4つの操作——キーボードの指定操作、コピー貼り付け、OS機能の起動、ファイルのダウンロードや実行——は、いずれもサイト側が勝手に実行できるものではありません。逆に言えば、本物の認証画面がこれらを求めることはないという一点を知っていれば、そこで手が止まります。

この1点は、仕組みで塞ぐより先に配ったほうが早い種類の知識です。認証画面がキーボード操作やコピー貼り付けを求めてきたら、その画面は偽物——これだけで今回の分岐点は越えられます。ただし、越えられるのは今回の形だけです。生成AIが広まって以降、不自然な日本語で見分けるという手がかりは消え、攻撃の入口はメール一本から、SMS、電話、そして今回のようなWeb上の偽画面へと広がりました。インシデントの原因の74%が人的要因という比率は変わらないまま、騙し方の種類だけが増えています。年に一度メールの訓練を配って終わりにすると、増えたぶんはそのまま素通しになります。かといって、新しい手口を自社で調べて題材に起こし続けるのは負担が大きい。最新の手口を反映したマルチチャネル型の訓練を、運用の手間をかけずに回せる形が要ります（→ ヤグラ アウェアネス）。

今後の対応

本件は原因・影響範囲・再発防止策のいずれも公表され、サイトも再開しています。追加公表の予定は示されていません。

• 参考: 管理画面のアカウント情報が取得された経路は公表されていません
• 参考: 8月12日の訪問者に実際のマルウェア感染が生じたかどうかは示されていません

更新履歴

日時	内容
2026-08-28	2026年8月20日の公表内容および2026年8月25日の報道をもとに記事を公開