明治学院大学の心理学部オリジナルWebサイトが改ざんされ、「ロボットではないことの確認」を装ってMacにコマンド実行を求める偽画面が表示されていた可能性があります。古いiPhone・iPadを狙う仕掛けも確認されました。大学の公式サイトを開いたつもりでも、表示された指示が安全とは限りません。
対象となる期間は2026年10月16日（金）夜～10月19日（月）昼頃。11月5日に大学が公表しました。特にMacで画面の指示に従って「ターミナル」などにコマンドを入力・実行した人は、ネットワークから端末を切り離して検査してください。iPhone・iPadで閲覧した人はOSのバージョン確認が必要です。
大学は調査の結果、個人情報の流出を確認していないと発表しています。ただし、これは偽画面に従った閲覧者の端末の安全を一律に保証するものではありません。この記事の確認時点：2026年11月12日（日本時間）。
まず確認：自分は対象？閲覧した端末と操作で対処が変わる
| 当時の状況 | まず行うこと |
|---|---|
| 10月16日夜～19日昼頃に心理学部サイトを閲覧した | 使用した端末（Mac、iPhone、iPadなど）と画面に従って何をしたか確認する |
| Macで偽のロボット確認が出たが、コマンドを実行していない | 画面を閉じる。確認画面に書かれた操作を後から実行しない。不安があればセキュリティ検査 |
| Macで指示どおりコマンドを実行した | 通信を切断→端末を検査→別の安全な端末からパスワード変更 |
| iPhone・iPadで閲覧した | 「設定」→「一般」→「情報」でiOS・iPadOSのバージョンを確認。18.5以前なら更新 |
| 該当期間に閲覧したか分からない | ブラウザの履歴を確認し、大学の公式相談窓口に状況を伝える |
対象は心理学部オリジナルWebサイト（psy.meijigakuin.ac.jp）です。大学によると、同じドメイン内の心理臨床センターのWebサイト（/clinic/）には被害がないことを確認しています。また、対象期間にサイトを開いた全員が感染した、という発表ではありません。
Macで偽のロボット認証に従い、コマンドを実行してしまったら
大学が案内する基本的な対処は「ネットワークから切り離す」「ウイルス対策ソフトで検査」「別の端末からパスワード変更」です。ログイン情報の窃取につながる可能性を考え、次の順番で対応します。
- Macの通信を切断する：Wi-Fiをオフにし、有線LAN接続があればケーブルを抜きます。職場・学校の管理端末なら、自己判断で初期化せず管理担当者へ連絡してください。
- 実行した内容を記録する：画面に表示された文言、実行したコマンド、日時、使用ブラウザ、スクリーンショットなど、分かる範囲で保存します。悪意あるコマンドを再実行して確認するのは避けてください。
- セキュリティ検査を行う：組織の担当者やセキュリティソフトの案内に沿って検査します。通常のスキャンだけで感染が否定できないこともあるため、実行したコマンドの内容が不明なら専門家へ相談してください。
- 別の安全な端末からパスワードを変更する：感染が疑われるMacではなく、別端末で大学アカウント、メール、Apple Account、ブラウザに保存していた重要アカウントなどの安全性を点検し、必要なものを変更します。使い回しがあれば併せて解消し、可能なら多要素認証を設定します。
- 不審なログインを確認する：主要サービスのログイン履歴やセッション、見覚えのない端末・認証通知を確認します。異常があればそのサービスの公式手順でセッションの無効化も検討します。
症状が見えなくても安全とは限りません。大学は実際に配布されたプログラムの名称や実行コマンドを公表していないため、「この操作をすれば完全に駆除できる」とは断定できません。
iPhone・iPadで閲覧した人は18.5以前か確認
大学はiOS・iPadOS 18.5以前の端末を狙う不正な仕掛けがあったと公表し、該当する場合は最新バージョンへの更新を呼びかけています。使用された脆弱性の番号（CVE）や攻撃の成功件数は示されていません。
- iPhone・iPadで「設定」→「一般」→「情報」を開き、「iOSバージョン」または「iPadOSバージョン」を確認します。
- 18.5以前の場合は、バックアップを取ったうえで「設定」→「一般」→「ソフトウェアアップデート」を開き、提供される更新を適用します。
- 更新できない場合は機種・サポート状況を確認し、大学の相談窓口やAppleサポートに相談してください。業務端末なら情報システム担当者にも連絡します。
バージョンが18.6以降だからといって、すべてのWeb上の危険から守られるわけではありません。ブラウザやOSを日頃から更新し、不審な案内には従わないことが基本です。AppleのiPhone・iPadの更新手順も参考になります。
なぜ正規の大学サイトに偽ロボット認証が出た？攻撃の仕組み
今回確認されたのは、大学サイトの管理者用アカウントが不正に使用され、不正なプログラムが設置されたという点です。ログイン情報がどのように奪われたのか、パスワードの推測なのか、別の手口なのかといった詳細は公表されていません。
| 段階 | 今回の事故で確認できること／一般的な仕組み |
|---|---|
| ① サイト管理機能を悪用 | 管理者用アカウントが不正使用され、サイトにプログラムを設置（大学の発表） |
| ② 正規のサイトを閲覧 | 対象期間に訪れた人へ、端末に応じた不正画面や仕掛けが表示された可能性（大学の発表） |
| ③ Macで偽の本人確認 | ロボット認証を装い、コンピューターでコマンドの実行を要求（大学の発表） |
| ④ 利用者の端末で実行 | 一般に、この種の攻撃では利用者自身に命令を実行させ、マルウェアの起動や情報窃取につなげるおそれがある（一般的な手口の説明） |
このように偽の認証・エラー解決を口実に、利用者自身に危険な命令を実行させる攻撃は一般に「ClickFix（クリックフィックス）」と呼ばれる手口に似ています。MicrosoftもMacを狙う偽の確認・ダウンロード画面とターミナル実行の誘導を報告しています。ただし、明治学院大学の事案で特定のClickFix攻撃グループやマルウェアが確認されたという意味ではありません。
通常のロボット認証で、ターミナルやコマンド入力画面を開き、Webページに表示された命令を貼り付けて実行する必要はありません。「認証を完了するため」「エラーを修復するため」と説明されても、実行しないでください。
偽ロボット認証を見分けるには？URLが本物でも注意
- ターミナル・PowerShell・コマンドプロンプトを開く指示が出る：最優先の警戒サインです。コピーした文字列を貼り付けて実行しないでください。
- 「人間であることの確認」のためにOSの設定変更・アプリのインストールを要求する：確認を中断し、必要に応じて運営者の公式窓口へ問い合わせます。
- URLが正規ドメインでHTTPSでも安心しきらない：今回のように正規サイト自体が改ざんされる場合があります。鍵マークやHTTPSは、そのサイトの中身が無害である証明ではありません。
- 確認画面に不審な点がある：無理に進まずブラウザを閉じ、別の手段でお知らせを確認します。指示に従った場合は画面を閉じるだけで終わらせず、上記の対処を行います。
なお「HTTPのためブラウザが安全ではないと警告するケース」と「HTTPSでもWebページ自体が攻撃者に改ざんされるケース」は別の問題です。違いは関連記事「安全ではありません」と表示されたサイトは見ても大丈夫？で解説しています。
情報システム担当者・サイト運営者が確認したいこと
今回の大学サイトでは管理者用アカウントの不正使用が確認されています。学校・法人などのWebサイト管理者は、一般論として次の点を点検してください。
- 管理者アカウントの棚卸し、不要な権限の削除、強固で固有の認証情報、可能であれば多要素認証を導入する。
- CMS・プラグイン・サーバーの更新と、Webファイルや設定の改ざん検知を整備する。
- 管理画面のアクセス履歴、認証ログ、ファイル変更履歴、Webアクセスログの保存と監視を行う。
- 改ざんが発生した際は、サイトを安全に停止・隔離し、ログ保全、認証情報の失効、クリーンな状態からの復旧、再発防止策を検討する。
- 閲覧者から「認証画面にコマンド実行を要求された」と連絡があれば、通常の問い合わせではなくセキュリティ事故の兆候として対応する。
これらは本件の侵入経路が特定されたという意味ではなく、類似事故を減らすための一般的な管理策です。
大学の対応と今後の予定
大学は改ざん確認後に心理学部サイトの公開を停止し、外部専門機関の調査を行いました。11月5日付の公表では、不正プログラムの削除、認証情報の変更、ログイン時の認証強化などの対策を講じ、安全を確認してからサイトを再公開する方針としています。これらの対策がすべて完了したかどうかは、同発表からは確認できません。個人情報の流出は調査で確認されていません。
2026年11月5日の公式発表では、大学は今後も調査を続け、新事実が判明すれば公式サイトで続報を掲出するとしています。本記事の確認時点で、具体的な感染者数・攻撃コード・CVE番号・最終的な被害規模は確認できていません。
よくある質問（FAQ）
サイトを開いただけでパスワードは盗まれた？
開いただけで必ず盗まれるという発表はありません。特にMacでは、偽画面の指示どおりコマンドを実行したかどうかが重要な判断材料です。一方、古いiPhone・iPad向けには別の不正な仕掛けも確認されています。閲覧した端末とOSバージョンを確認してください。
Windowsパソコンも今回の対象？
大学が具体的に案内したのはMacに表示された偽画面と、iOS・iPadOS 18.5以前を狙う仕掛けです。Windowsへの影響は公式発表からは確認できません。一般論としてWindowsでも偽CAPTCHAからコマンド実行を誘導する攻撃は存在します。
明治学院大学の学生以外も対象になる？
対象期間に該当するWebサイトを閲覧した人が対象です。学生や教職員に限るとの発表ではありません。オープンなWebサイトの閲覧者も該当する可能性があります。
大学から漏えいした個人情報はある？
大学は外部専門機関の調査で個人情報の流出は確認されていないと発表しています。「流出が確定した」「パスワードが漏れた」と読み替えないでください。
まとめ：偽ロボット認証の「コマンド実行」には従わない
明治学院大学の心理学部サイトでは、正規のWebサイトが改ざんされ、Macに偽ロボット認証を表示してコマンド実行を促す画面や、古いiPhone・iPad向けの不正な仕掛けが設置されていました。対象期間に閲覧した場合は端末・OSバージョン・行った操作を確認し、Macでコマンドを実行してしまった人は直ちに端末の隔離・検査と安全な端末からのパスワード変更を進めてください。
出典・確認日
- 明治学院大学「心理学部オリジナルWebサイトに関するお知らせ」（2026年11月5日公表、11月12日確認）
- Microsoft Security Blog：macOSを狙うClickFix手口の技術解説（2026年8月5日公表、11月12日確認。今回の大学事故とは別の調査）
- Microsoft Security Blog：ClickFixの仕組み（2025年8月21日公表、11月12日確認）
- Appleサポート：iPhoneやiPadをアップデートする（2026年11月12日確認）
記事作成・一次情報確認：2026年11月12日。大学側の新たな調査結果や再開状況が公表された場合、内容を更新します。
