企業の公式サイトやサービスサイトが乗っ取られる問題はWebサイト黎明期よりいくつも発生しています。
Webサイトが乗っ取られた場合、運営が停止するだけでなく、最悪の場合、個人情報の漏洩などサイト利用者にとっても大きな問題になるケースがあります。
このページでは実際に国内で発生した乗っ取り（改ざん）事例をいくつか紹介します。
この記事の目次
事例１：官公庁Ｗｅｂサイト連続改ざん事件（2000年）
黎明期のWebサイト改ざん事件といえばこの事件を外すわけにはいきません。
PCやブロードバンドの普及によりインターネットが急速に一般ユーザーの手に広まり始めていた2000年1月24日、科学技術庁（当時）の改ざんを皮切りに次々と官公庁および関連団体のWebサイトが改ざんされる事件が発生しました。
改ざんされたサイト数は総務庁（当時）・運輸省（当時）など10以上、特に総務庁統計局では公開中の国勢調査のデータが全て消去されるなど甚大な被害を与えました。
当時はサイバーセキュリティなどの対策が追いついておらず、修復後も再び改ざんされるなど長期に渡って影響を及ぼしました。
また最初の改ざんが当時の日本の技術推進を担当していた科学技術庁で発生したことについて批判の声も上がりました。
こちらの事件をきっかけに本格的に不正アクセス関連の法整備や対策が取られるようになったと言われています。
事例２：成田空港Webサイト改ざん事件（2015年）
2015年3月3日に発生したこちらの事件は、成田空港および空港企業のウェブサイトが改ざんされ、アクセスしたユーザーにマルウェア感染を行う悪意のあるページを読み込ませるものでした。
2日後の3月5日に復旧を発表。原因は使用していたコンテンツ管理システム（CMS）への不正アクセスによるサイト書き換えと判明しました。
事例３：トヨタ自動車ニュースページ改ざん事件（2013年）
2013年6月5日～6月14日の約10日間に渡ってトヨタ自動車のニュースページの一部が改ざんされる事件が発生しました。
改ざん内容は閲覧したユーザーに不正プログラムをインストールされる悪意のあるサイトに誘導するといったものでした。
この事件については、改ざんに気づくまで10日間も要したことや、その間のアクセス数が7万件以上あるにも関わらず、復旧後の報告で利用者にウイルス対策ソフトの導入を促すにとどまるなど、その対応に疑問視する声も上がりました。
事例４：WordPress利用サイト連続改ざん事件（2017年）
こちらは記憶に新しい2017年2月初頭に発生した事件です。
原因はWordPressの脆弱性を突いたコンテンツインジェクション、つまり認証をしていないユーザーによるコンテンツの投稿・編集が行われたことによるものとされています。
こちらの脆弱性はWordPress「4.7.0」および「4.7.1」のみで確認されているため、「4.7.2」にバージョンアップをすることで対策可能です。
こちらの改ざんでは秩父市の観光情報ページや丸川珠代五輪担当大臣の公式サイトなど多くのWebサイトが被害を受けました。
事例５：国際郵便サービスサイト改ざん・流出事件（2017年）
こちらも先程紹介した事例同様、2017年に発生した事件です。
日本郵便株式会社が運営している「国際郵便マイページサービス」において3月12日～13日にかけてWebサイト改ざんが発生し、個人情報が流出した可能性があることを発表しました。
該当サービスでは国際郵便の送り状をサイト上で作成できるサービスがあり、改ざん期間に作成された約1100件の送り状について氏名や住所など重要な個人情報が流出した可能性があると発表しています。
まとめ
今回は国内で実際に発生した5件のWebサイト乗っ取り（改ざん）事例を紹介しました。
初めに述べたように、改ざんされたWebサイトの内容によってはサービス停止だけでなく、個人情報の流出など大きな被害が発生する場合があります。
そのため、サイトを運営者は脆弱性の対策やアカウント情報の管理などについて常に注意する必要があります。
もしそれでもサイトが乗っ取られてしまった場合は被害が拡大する前に速やかに復旧・再発防止対策する必要があります。対策が遅れれば遅れるほど被害者は増えていきます。
ちなみに、WordPressの改ざん（乗っ取り）対策についてはこちらの記事で触れておりますので、もし興味のある方はご参照ください。
