筑後市の公式ホームページに不正アクセス、一時閉鎖のあと再開

福岡県筑後市は2026年11月10日、第三者による市の公式ホームページへの不正アクセスが確認されたため、11月4日からホームページを一時閉鎖していたと公表しました。侵入の経路の特定と遮断などの対策を終え、同日11時に再開しています。個人情報が漏えいしたかどうかと、その範囲はまだ調査中です。

閉鎖から再開までの経緯

市は10月23日の時点で、ホームページのPHPの脆弱性について、安全を確保するための対応作業は終わっているとお知らせしていました。このときは、この脆弱性による不正アクセスや情報漏えいなどの被害は確認されていないとしていました。

その後、第三者による不正アクセスが確認され、市は11月4日にホームページを一時閉鎖しました。11月10日のお知らせには不正アクセスの具体的な手口や、いつ侵入されたかは書かれていません。PHPの脆弱性との関係や、ページの改ざんがあったかどうかも示されていません。

再開までに行った対策

市が再開までに行ったのは、次の対策です。

• 侵入の経路の特定と遮断
• 脆弱性の修正
• パスワードの初期化
• 管理者の権限の全面的な見直し
• 不正アクセスへの防御の強化
• ホームページの保守運用事業者による安全性の確認

原因の調査も進めたとしていますが、詳しい内容は公表されていません。保守運用事業者の名前や、ホームページに使っているシステムの名前も示されていません。

個人情報と今後の対応

個人情報の漏えいの有無と範囲は調査中です。漏えいが確認された場合は、対象の人に連絡し、ホームページなどで公表するとしています。調査を続けて分かったことは改めて知らせ、再発防止と情報セキュリティ対策の強化には市全体で取り組むとしています。

市民には市を名乗る不審なメール、電話、郵便物に注意し、心当たりのない連絡で個人情報を入力したり、ファイルを開いたり、リンクを押したりしないよう求めています。問い合わせの窓口は総務部総務広報課の電話とお問い合わせフォームです。

中小企業が学べること

市は10月に脆弱性への対応を終えたと知らせ、その後に不正アクセスを確認してホームページを閉じました。両者の関係は公表されていませんが、脆弱性を直すことと、すでに入られていないかを確かめることは別の作業です。修正を当てたあとも、修正前の期間のアクセスの記録や、サーバーに見覚えのないファイルがないかを確かめておくと、入られていた場合に早く気づけます。早稲田大学もPHPの脆弱性への対応の中で過去の侵入の痕跡を見つけています（早稲田大学に不正アクセス、MyWasedaの情報延べ3,342件取得）。

市が再開の前に行ったパスワードの初期化と管理者の権限の見直しは、侵入が分かったときに急いで行う作業です。ホームページの管理画面に入れるアカウントがいくつあり、それぞれ誰のものかを保守の会社と一緒に一覧にしておくと、いざというときにすぐ変えられます。PHPの脆弱性についてはPHPに外からコード実行の脆弱性2件、悪用の観測もで取り上げています。