https://infomation-sytem-security.hatenablog.com/entry/ganbarusha-unauthorized-access-case-study

情報システム部のセキュリティ担当として、日々国内で発生するサイバー攻撃の事例をチェックしています。2025年11月3日、教材販売を行う株式会社がんばる舎が、同社Webサイトへの不正アクセス被害を公表しました。

この事案は、特定の企業だけでなく、多くのWebサイト運営者や、そこに情報を預けている利用者にとって、改めてセキュリティ対策の重要性を認識させるものです。

今回は、この事例を深掘りし、情報システム部門として、そして個人事業主として、私たちが取るべき対策について解説します。

がんばる舎の公表によると、不正アクセスが発生したのは2025年10月8日でした。この日、同社のWebサイトが第三者による不正アクセスを受けました。

公表までに時間を要した点については、「不確定情報の公開は混乱を招くため、調査結果を待ち、被害最小化の準備を整えた上で告知した」と説明されています。セキュリティインシデント対応においては、正確な情報収集と対応準備が不可欠であり、この点は理解できますが、利用者への通知の迅速性も重要な課題です。

現時点（公表時）で個人情報の流出は確認されていませんが、その可能性を完全には否定できないとして、以下の情報が漏洩した恐れがあるとされています。

【私の考察】 クレジットカード情報は漏洩の対象に含まれていないとのことですが、保護者とお子様の氏名、住所、電話番号、メールアドレスといった機微な個人情報が流出した場合、二次被害としてなりすましや標的型攻撃メールに悪用されるリスクが極めて高くなります。

今回の不正アクセスの具体的な侵入経路は公表されていませんが、一般的にWebサイトへの不正アクセスで考えられる原因と、それに対する対策をCISSPの専門的な視点から解説します。

Webサイトを構成するCMS（コンテンツ管理システム）やプラグイン、OS、Webサーバーソフトウェアなどに既知の脆弱性が残っていた場合、攻撃の標的となります。

対策	解説
パッチ管理の徹底	すべてのソフトウェア、特にWebサイト関連システムは、ベンダーが提供するセキュリティパッチを遅滞なく適用する。自動化を推進し、パッチ適用漏れをなくす。
WAF（Web Application Firewall）の導入	SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーション層への攻撃を検知・防御する。
定期的な脆弱性診断	外部の専門家による診断を定期的に実施し、潜在的なセキュリティホールを事前に特定・修正する。

ブルートフォース攻撃（総当たり攻撃）やパスワードリスト攻撃によって、管理画面への不正ログインを許すケースも多いです。

対策	解説
多要素認証（MFA）の必須化	管理画面へのログインには、ID/パスワードに加えて、ワンタイムパスワードなどのMFAを必須とする。
複雑で長いパスワードの利用	パスワードポリシーを強化し、辞書攻撃に強いパスワードの使用を強制する。