公益社団法人日本将棋連盟は2026年8月7日、5月に発生した公式サイトへの不正アクセスと改ざん被害について、外部のセキュリティ専門機関によるフォレンジック調査（デジタル鑑識）が完了したと発表した。原因は、同連盟が利用していたウェブサイト管理システムのソフトウェアに存在する既知の脆弱性を悪用され、外部から不正なファイルを設置された点にある。会員情報などの漏えいや持ち出しの痕跡は確認されなかったという。同時に、被害を受けたサーバ基盤を使わずに再構築した新環境で、公式サイトの運用を再開した。
5月の公開停止から、8月の復旧まで
同連盟が公式サイトへの不正アクセスと改ざんを公表したのは5月21日。サイトは公開を停止し、その後は6月11日に立ち上げた暫定サイトで情報発信を続けてきた（INTERNET Watchの報道による）。8月7日の発表は、この一連の対応に区切りをつけるものだ。連盟は「皆様には長期間にわたりご不便をおかけいたしました」と改めて謝罪している。
つまり、発覚から復旧まで約2か月半を要したことになる。棋戦の日程や対局結果といった、ファンが日常的に参照する情報の公開手段を、それだけの期間にわたって通常の形で提供できなかった。
「既知の脆弱性」が突かれた意味
今回の発表で注目すべきは、原因が未知の攻撃手法ではなかった点にある。連盟の説明によれば、悪用されたのはウェブサイト管理システムのソフトウェアに存在する「既知の脆弱性」だ。既知の脆弱性とは、開発元がすでに問題を公表し、多くの場合は修正版やパッチが提供されている欠陥を指す。裏を返せば、対策が十分に行き渡らないタイミングで外部から攻撃を受けた形になる。
攻撃者はこの穴を通じて不正なファイルをサーバに設置した。その結果、一部のページに、閲覧者を意図しない外部サイトへ誘導するコードが不正に書き込まれていたことが確認されている。訪問者を別のサイトへ飛ばすこの種の改ざんは、フィッシングサイトや不正広告への誘導、マルウェア（利用者に害を与える不正なソフトウェア）の配布などに使われることが多い攻撃パターンだ。ただし今回、誘導先で具体的にどのような被害が発生したかについて、連盟は言及していない。
情報は盗まれていない、それでも被害は残る
連盟は、当該サイトでは個人情報等を取り扱っていないと第一報の時点で説明していた。今回のシステム全体に対する詳細な調査でも、連盟が保有する会員情報やその他情報の漏えい、およびデータの持ち出し等の痕跡はないことが改めて確認されたとしている。
復旧にあたっては、被害を受けたサーバ基盤を使わず、安全な環境でシステムを一から再構築した。あわせて改ざん検知システムやWAF（Webサイトへの攻撃を遮断する専用のファイアウォール）などの対策を検証したうえで、再発防止策を導入したという。運用中の暫定サイトをそのまま正式な公式サイトへ移行し、順次コンテンツを拡充していく方針だ。
「守るデータがない」サイトほど、対策が後回しになる
個人情報を扱わないサイトは、情報漏えいという観点では確かにリスクが低い。だからこそ、更新や監視の優先順位が下げられやすい。今回の事案は、その優先順位のつけ方に落とし穴があることを示している。
データを持たないサイトでも、改ざんされれば「訪問者を危険な場所へ運ぶ装置」として悪用される。しかも被害を受けるのは、サイト運営者ではなくサイトを信頼して訪れた利用者のほうだ。公的な団体や知名度のある組織のサイトであれば、その信頼がそのまま攻撃者の武器になる。加えて、検索エンジンからの警告表示やブラウザの遮断によって、復旧後もアクセスへの影響が長引く可能性がある。
もう一点、今回の事案が示すのは、CMS（ウェブサイト管理システム）をはじめとするソフトウェアの更新が「地味だが効く」対策だという当たり前の事実である。既知の脆弱性は、攻撃側から見れば攻撃コードが出回っていて成功率が読める、費用対効果の高い標的だ。自社サイトで使っているCMS・プラグイン・テーマのバージョンを把握できているか、更新の担当者と手順が決まっているか、そして改ざんを外部から指摘される前に自ら検知できる仕組みがあるか。この3点は、扱うデータの多寡にかかわらず、Webサイトを持つすべての組織に共通する確認事項といえる。
同じ手口に、自社は備えられていますか？