Medi Face：PHPの脆弱性を狙ったサイバー攻撃に関するご報告

公表によれば、Medi Faceは2026年11月5日、PHPの脆弱性を狙った攻撃で一部のWebサイトが影響を受けたとした。一方、ITmedia（@IT）の報道とMedi Face自身のプレスリリースによると、同社は2026年8月14日の時点で、デジタルフォレンジック解析と証拠保全の完了をすでに発表している。この攻撃は同年8月12日19時33分27秒（JST）に検知され、その後も断続的に続いているという [s2][s4]。11月の公表文には攻撃時期の記載がないが、これらの出典から攻撃の検知は8月12日だったことがわかる [s2][s4]。

Medi Faceの分析では、攻撃は無差別の脆弱性スキャンや金銭目的のランサムウェアとは異なり、医療機関ドメインの検索上の評価と信用を悪用するものだった [s2][s4]。同社は準備期間が120日以上（約4か月）に及んだ可能性があるとみている。事前の情報収集、Cloudflare Pagesでの偽サイト構築、Google Search Consoleの権限奪取が周到に行われたという [s4]。攻撃者はTelegramの非公開チャンネルで役割分担や進捗を共有していたとされる [s2][s4]。同社は、同じ手口とインフラを使うグループが日本やアジアの他の医療機関・企業にも攻撃している可能性が高いとしている [s4]。リークサイトへの掲載や金銭要求に関する記述は出典にない。

侵入の起点は、インドネシアなど複数の海外IPアドレスを経由したPHP製Webシェルの直接起動だった。その後、Google Search Con­soleの所有権が奪取された [s2][s4]。Medi Faceによれば、「fgh.php」「yomanx498.php」などのファイルがWebシェルやバックドアとして使われたとみられ、攻撃者は後にこれらを削除した [s2][s4]。同社は、この削除を証拠隠滅の意図を示す可能性があるとみて、削除ファイルのキャッシュ断片やメタデータ、タイムスタンプ、22万3701行のアクセスログを調べた [s2][s4]。

攻撃者はCloudflare Pagesの無料サービス上に「medi-face」「fraise-clinic」を名乗る偽サイトを作り、AMP形式のページも確認されたという [s2][s4]。クローキングも使われ、インドネシアのモバイル端末からのアクセスには賭博サイトを表示した。日本のIPアドレスやPCからのアクセスは無害な転送ループに送っていた [s2][s4]。同社は、捜査機関やセキュリティ研究者の目をかわす狙いがあった可能性を指摘している [s2][s4]。医療情報はGoogleがYMYLと位置づける分野で、攻撃者はこの分野の検索上の信頼を悪用して、検索経由の訪問者を違法賭博サイトへ誘導した [s4]。同社は攻撃基盤を5段階の構造と分析した [s2]。

Medi Faceは接続元の分析から、インドネシア経由の先に東京都内に割り当てられたIPアドレスがあり、攻撃の主導者に関係する可能性があると分析している。ITmedia（@IT）は、IPアドレスの所在地情報だけで攻撃者個人を特定できるわけではなく、同社側の分析として捉える必要があると指摘している [s2][s4]。同社は刑事告訴や損害賠償請求を含む法的措置を準備しており、弁護団は不正アクセス禁止法違反や電子計算機損壊等業務妨害罪などの適用を視野に入れている。名誉毀損罪にも言及している [s2][s4]。インドネシアを拠点とすると推定される実行グループには、国際刑事司法共助条約（MLAT）を通じた捜査協力の申請も準備している [s4]。

同社はクローキングエンジンのコード解析結果やIoCをGitHubなどで公開し、類似被害の発見やアフィリエイトID、決済経路の追跡に関する情報提供をセキュリティ関係者に呼びかけている [s2][s4]。