株式会社シーエーシー／ Academic Support Navi

寄附金 Web 申請クラウド「Academic Support Navi」に不正プログラム設置、利用企業の申請者情報に漏えいのおそれ

最終更新 2026-10-11

概要（公表された事実）

公表主体	株式会社シーエーシー
業種	情報通信業
経緯	侵入: 2025-12-18 判明: 2025-12-25 第1報: 2026-01-05
件数	非公表件数は非公表。サービスを利用する複数の企業（寄附・助成の実施企業）の申請者と管理者が対象
漏えいした情報	氏名、メールアドレス、性別、生年月日、所属団体・機関の情報、申請時の入力情報
二次被害	個人情報の参照・外部流出を示す痕跡は確認されず、目的は暗号資産のマイニング等のリソース不正利用と推定（第3報）
報告先	個人情報保護委員会、一般社団法人情報サービス産業協会（JISA）

侵入経路	既知の脆弱性サービスで利用していた一部のコンポーネントの脆弱性が悪用され、Web サーバーに不正プログラムが設置・実行された（利用企業 JCR ファーマの公表による）。コンポーネント名・CVE・パッチ公開状況は公表されていない
MFA	不明
委託先・SaaS 経由	公表文では触れられていない
原因の公表度	一部のみ公表
判定	判定に必要な事実が非公表根拠: 既知の脆弱性とされたが、パッチ公開日・侵入日が公表されていない（判定ルール）

「一部のコンポーネントにおける脆弱性が悪用されたことによる」

侵入経路の根拠／出典

「Webサーバーに外部から不正なプログラムが設置および実行されたことが確認されました」

侵入経路の根拠／出典

「不正なプログラムが設置された2025年12月18日深夜から」

侵入日の根拠／出典

「OS・モジュールの脆弱性対応やインフラ設定の見直しを行い」

侵入経路の根拠／出典

この節は公表された事実ではなく、公表文から読み取れる範囲の推定です。

シーエーシー自身の公表は「Web サーバーに不正なプログラムが設置・実行された」までで、侵入口には触れていない。利用企業の JCR ファーマが同社の報告として「一部のコンポーネントにおける脆弱性」の悪用と書いている。

侵入が 2025年12月中旬で、目的がマイニングと推定されている点からは、公開直後の Web フレームワーク系の脆弱性が自動化された攻撃で広く狙われたケースと似ている。ただしコンポーネント名は公表されておらず、特定の脆弱性と結びつける根拠はない（推定）。

確認項目	やり方
公開サーバーで使っているフレームワーク・ライブラリの脆弱性情報を追えているか	SBOM や依存関係の一覧を作り、脆弱性 DB（JVN・GitHub Advisory など）と突き合わせる通知を仕組みにする。公開側のサーバーは特に優先度を上げる
Web サーバー上で想定外のプロセスや CPU 使用率の急増に気づけるか	マイニング目的の侵入は CPU 使用率に出やすい。プロセス監視・リソース使用率のアラートと、EDR による未知のプログラム実行の検知を入れる
Web サーバーから DB の全データに届く権限になっていないか	アプリケーションの DB アカウントを最小権限にし、Web 層が侵害されても全件取得できない構成にする