サイバー攻撃を受けた組織が、その手口を2日以内に公開する。しかもIoCは、出典を明記すれば防御・研究・教育のために自由に利用できるという。医療法人グループのMedi Faceが8月14日に出した発表は、検知からおよそ41時間後のものでした。今回公表されたのは、Webサイトと検索インフラをめぐる攻撃の解析結果です。
株式会社Medi Face（医療法人鳳應会グループ）は2026年8月14日、同社グループのWebインフラが組織的なサイバー攻撃を受けたと発表した。検知は8月12日19時33分で、発表時点では攻撃が断続的に続いているとしていた。同社によると、海外IPを経由したPHP Webシェルの起動を起点に、Google Search Consoleの所有権奪取、Cloudflare Pagesでの偽ページ構築、三重APIジオクローキングが順に実行された。
インドネシアのモバイル端末には違法賭博サイトを、日本のIPやPCには同社が「無害なループ」と呼ぶ経路へ転送する仕組みだったという。同社は223,701行のアクセスログなどから証拠保全を完了し、首謀者とみられる人物の接続元IPを国内で検出したとしている。
From: 
【緊急公開】医療機関を襲った8月12日の大規模サイバー攻撃｜医療法人鳳應会グループ Medi Face社がデジタルフォレンジック解析および証拠保全を完了（2026-08-12 19:33:27発生）
【編集部解説】
医療機関のサイバー被害と聞いて思い浮かぶのは、電子カルテが暗号化されて診療が止まる光景ではないでしょうか。今年2月に公表された日本医科大学武蔵小杉病院のケースも、ランサムウェアによる被害でした。今回Medi Faceが公表したのは、Webサイトと検索インフラの悪用という別種の被害です。同社は、医療機関のブランドと検索上のプレゼンスが攻撃に利用されたと説明しています。なお、患者情報や診療データへの影響については、今回の発表では明らかにされていません。
攻撃の順序を追うと、構造が見えてきます。起点はPHPのWebシェル。サーバ上に置かれると、その実装とWebサーバープロセスの権限に応じて、攻撃者はコマンド実行やファイル操作を行える状態になります。ここが次の段につながります。Search Consoleには複数の所有権確認方法がありますが、その一つが、Googleの指定するHTMLファイルをサイト上に配置する方法だからです。サイトにファイルを置ける状態は、条件がそろえば、Googleに対して所有者を名乗れる状態でもあります。
誤解を避けるために添えておくと、Search Consoleは検索順位を直接操作するダイヤルではありません。所有権を奪っただけで、順位が自動的に上がるわけでもない。一方、確認済み所有者になれば、URLのクロール再リクエストやサイトマップの送信、一時的な検索結果からの削除などを行えます。ただしクロールやインデックス登録はGoogleへのリクエストやヒントであって、実行や掲載が保証されるものではありません。攻撃者が得たのは順位そのものではなく、検索上のプレゼンスに関わる管理権限でした。
そのうえで用意されたのが、Cloudflare Pagesに作られた、自社ブランド名を冠した偽ページです。同社によれば、そこではAMP形式も使われていたといいます。ただしAMPを使うこと自体が、Google検索で信頼性や順位を高める仕組みではありません。むしろ本件が示しているのは、無料枠のあるホスティングサービスでも、他社のブランド名を冠した攻撃用ページを構築できてしまうという事実のほうでしょう。
最も厄介なのは三重APIジオクローキングです。インドネシアのモバイル端末から来たアクセスにだけ違法賭博サイトを見せ、日本のIPやPCには、同社が「無害なループ」と呼ぶ経路へ転送する。同社の説明どおりなら、日本のIPやPCから通常どおり開いて確かめるだけでは、違法賭博サイトを再現しにくい設計です。被害の姿が、地理と端末の条件の裏側に置かれていました。
なぜ医療機関が狙われたのか。同社は、医療がGoogleのYMYLに当たる分野であることを理由の一つに挙げています。検索品質評価ガイドラインでも、健康や安全に大きく影響しうる情報は慎重な評価の対象とされています。ただしYMYLは、ドメインに与えられる合格証ではありませんし、その評価が別のサイトへ移る仕組みでもありません。本件で狙われたのは、医療機関が長い時間をかけて築いたブランドと社会的信用のほうだった、というのが同社の見立てです。
そして今回のリリースで最も注目したいのは、技術の中身ではなく公表の速さと開示の範囲です。検知は8月12日19時33分、発表は8月14日12時28分。およそ41時間です。攻撃手口の詳細を公表するには、調査の進展や二次被害への配慮が必要になる場合があります。そのなかで、検知から約41時間で技術情報まで公表した点は、本件の特徴の一つです。
しかも同社は、出典の明記を求めたうえで、IoC（侵害の痕跡）を防御・研究・教育の目的で自由に使ってよいとし、転載と引用も歓迎するとしています。被害情報を自社の傷として抱えるのではなく、業界の共有資産として差し出すという判断です。8月13日に取り上げた葬祭事業者の事例は、発覚から5日での公表でした。少なくともこの2件では、規模の大きくない事業者による短期間の公表が続いています。
この判断を共有資産として実際に働かせるには、もう少し材料が要ります。リリースはクローキングエンジンのコード解析やIoC一覧をGitHubで公開しているとしていますが、PR TIMES版・公式サイト版のいずれにもリポジトリへのリンクが見当たりません。IoCは鮮度が短く、早く広く届くほど価値が出るものです。ここが接続されたとき、同社が掲げた公益性はそのまま形になります。
記述の性格も押さえておきたいところです。同社は首謀者について「〜と思われる」と留保を付けています。国内で検出した接続元IPと首謀者との結び付けは現時点で同社の見立てであり、刑事告訴を含む法的措置も準備の段階にあります。セキュリティベンダーや公的機関による独立した確認も、まだ公表されていません。確定した事実として扱う段階ではないでしょう。
なお、同社が「断続的に続く」としたのは8月14日の発表時点の状況です。その後の推移を示す続報は、現時点では確認できていません。患者情報への影響とあわせて、続報を待つことになります。
一方で、この記事を読んですぐにできることが一つあります。自組織のSearch Consoleを開き、所有者の一覧に見覚えのないアカウントが並んでいないかを確認することです。心当たりのない所有者がいれば、使われた確認方式に応じた所有権トークンをすべて取り除いたうえで、サイト側が侵害されていないかも調べる必要があります。Search Consoleの一覧は、侵害の痕跡が現れる場所の一つです。
医療では、院内感染対策の体制整備が求められ、JANISなどを通じて発生状況を把握し、対策に生かす仕組みが築かれてきました。今回の公表は、その作法をサイバーの領域へ持ち込もうとする試みに見えます。41時間という数字が、次に被害に遭う組織にとっての参照点になっていくかどうか。その答えは、この情報をどれだけの人が受け取り、使うかにかかっています。
【関連記事】
日本医科大学武蔵小杉病院、ナースコールシステムへのランサムウェア攻撃で約1万人の患者情報が漏洩
ナースコールシステムが狙われ、約1万人分の患者情報が漏えいした事例。侵入口は医療機器保守用のVPN装置だったと発表されている。
AIツールを検索中にサポート詐欺 葬祭事業者が発覚5日で公表した5日間の記録
AIツールを検索中にサポート詐欺へ遭った事業者が、発覚から5日で公表するまでの5日間を追った記事。今回と近い規模の開示事例にあたる。
WordPress、守る場所は管理画面からAPIへ｜wp2shellが示したもの
WordPressで守るべき場所が管理画面からAPIへ移りつつあることを扱った記事。Webシェル設置に至る経路を考えるうえでの土台になる。
CaptiveCrunch｜ホテルWi-Fi乗っ取り、帰属根拠はどこまで公開されたか
ホテルのWi-Fi乗っ取りをめぐり、攻撃者の帰属を裏づける根拠がどこまで公開されたのかを検証した記事。本件と同じ論点を扱っている。
【編集部後記】
偽ページに冠されたfraise-clinicという名前をたどると、実在するFRAISE CLINICに行き着きます。同院は鳳應会の関連事業として公式サイトにも掲載されています。公開資料から確実に確認できるのは、攻撃者が実在する医療ブランドの名前を偽ページに使ったことです。患者が検索窓に打ち込むかもしれない、具体的な名前でした。
ブランドを守るという言葉が、ここでは比喩ではなくなります。自社の名前で検索したとき、何が並ぶか。しばらく確かめていない方は、この機会にどうぞ。
【用語解説】
Webシェル
サーバ上に設置され、外部からコマンド実行やファイル操作を行うための小さなプログラム。何ができるかは、その実装と、Webサーバーのプロセスに与えられた権限に左右される。
所有権の確認
Search Consoleで「このサイトの持ち主である」ことを証明する手続き。指定されたHTMLファイルをサイトに置く、HTMLタグを埋め込む、DNSレコードを設定するなど、複数の方式がある。
所有権トークン
所有権の証明として使われるファイルやタグ、DNSレコード。ユーザーを削除しても、トークンが残っていれば再び所有者として確認されうる。
クロールとインデックス登録
検索エンジンがページを取得することをクロール、取得した内容を検索対象として登録することをインデックス登録という。いずれもリクエストできるが、実行や掲載が保証されるものではない。
三重APIジオクローキング
Medi Faceが今回の仕組みに用いている呼称で、原典の表記は「三重API地理的クローキング」。アクセス元の地域や端末などを判定し、条件によって表示先を切り替える仕組みで、同社は外部APIを組み合わせた判定機構だったと説明している。
AMP
高速でユーザー優先のWebページを構築するためのオープンソースのWebコンポーネントフレームワーク。モバイル専用ではない。Google検索では他の技術で作られたページと同じ基準で扱われ、AMP自体が信頼性や順位を高める仕組みではない。
YMYL（Your Money or Your Life）
健康や安全、お金など、誤った情報が人生に大きく影響しうる領域を指すGoogleの区分。検索品質評価ガイドラインで、慎重な評価の対象とされている。
IoC（Indicators of Compromise／侵害の痕跡）
攻撃に使われたIPアドレス、ファイル名、通信先といった手がかり。同種の攻撃を検知するために共有される。攻撃者がIPアドレスやファイルなどを変更すると、個々のIoCの有効性が低下することがある。
ランサムウェア
データを暗号化したうえで、復旧と引き換えに金銭を要求するマルウェア。国内の医療機関でも、この類型による被害事例が繰り返し公表されている。
【参考リンク】
株式会社Medi Face（外部）
AIドクターによるメンタルヘルス支援を手がける企業の公式サイト。今回の攻撃を受け、解析結果と情報提供窓口をお知らせ欄で公開している。
医療法人鳳應会（外部）
札幌・小樽を地盤に、保健・医療・福祉を横断して支える医療法人の公式サイト。Medi Faceを含むグループの母体にあたる組織である。
PR TIMES｜本件リリース（外部）
本件の発表をPR TIMESで配信した版。公式サイト版と本文は同一で、2026年8月14日12時28分という配信日時をここで確認できる。
Cloudflare Pages（外部）
静的サイトやアプリを公開できるホスティングサービスの公式ドキュメント。無料枠があり、今回は自社ブランド名を冠した偽ページの構築に悪用された。
Google Search Console ヘルプ（外部）
サイトが検索でどう扱われているかを管理できるGoogleの無料ツール。所有者の一覧や所有権の確認方法も、このヘルプから確認できる。
JANIS｜院内感染対策サーベイランス（外部）
厚生労働省による院内感染対策サーベイランス事業。参加医療機関の発生状況を集計し、感染対策に生かすための情報として還元している。
【参考記事】
サイトの所有権を確認する（外部）
Search Consoleでサイトの所有権を確認する方法の一覧。HTMLファイルの配置やDNSなど、複数の方式があることがわかる。
新しい所有者に覚えがない場合（外部）
身に覚えのない所有者が追加されていた場合の対処を示すヘルプ。所有権トークンをすべて除去する必要があることが説明されている。
所有者、ユーザー、権限の管理（外部）
確認済み所有者が持つ権限の範囲を解説したヘルプ。所有者はプロパティを完全に制御でき、すべてのツールを利用できると明記されている。
Ask Google to Recrawl Your Website（外部）
Googleに再クロールを依頼する方法を説明した公式文書。リクエストしても、クロールや掲載が保証されるわけではないと明記されている。
サイバー攻撃被害情報の共有と公表のあり方について（外部）
被害情報の共有と公表をめぐるJPCERT/CCの解説。手口の詳細を公表する際に必要となる調査の進展や二次被害への配慮に触れている。
刑事事件フローチャート（外部）
刑事事件の流れを示した図解。公訴を提起するのは検察官であり、被害者などは告訴を行うことができるという制度上の区別を確認できる。
