1 寄附や助成を申請したことがある人 サービスを使う企業から連絡が届くことがある。複数の企業から同じ内容の連絡が届く場合がある（会社の案内）
2 全員 申請先を名乗る不審なメールのリンクや添付ファイルは開かない（一般的な対策）
被害にあっているときの手順を見る →
利用企業に寄附や助成を申請した人と、利用企業の管理者。件数は公表されていない
3月23日に再開。各申請サイトの再開時期は、利用企業ごとに異なる
02 HOW THEY WERE HACKED
どんなハッキングをされた？ 2026年1月5日、シーエーシー（CAC）は、寄附金のWeb申請を受け付けるクラウドサービス「Academic Support Navi」に不正アクセスがあったと発表しました。2025年12月18日の深夜、Webサーバーに不正なプログラムが置かれて動かされ、主な目的はサーバーの処理能力を勝手に使うこと（暗号資産のマイニングなど）と推定されています。情報の流出の痕跡は見つかりませんでしたが、攻撃者がすべての情報にアクセスできる状態だったため、CACは「漏えい等が発生したおそれがある事態」として扱いました。サービスは約3か月止まり、3月23日に再開しました。
1 シーエーシー ・ Academic Support Navi 不正なプログラムの設置によるサーバーの不正利用
マルウェアとは → STEP 1 プログラムを置く 2025年12月18日深夜、Webサーバーに外から不正なプログラムが置かれ、動かされた
STEP 2 管理者の権限を使う 第三者が管理者の権限を不正に使ったことが確認された
STEP 3 サーバーを勝手に使う 主な目的は、暗号資産のマイニングなどでサーバーの力を使うことと推定
STEP 4 不審な動きで停止 12月25日に不審な動きを見つけ、サービスを止めて通信を遮断した
くわしい内容を見る ↓
侵入 2025年12月18日深夜（不正なプログラムが置かれた）
発覚 2025年12月25日。サーバーの不審な動きから
公表 2026年1月5日（第1報）。1月13日（第2報）、2月12日（第3報、2月18日更新）、3月23日（最終報）
影響の範囲 利用企業に寄附や助成を申請した人と、利用企業の管理者。件数は公表されていない
情報の種類 申請者の氏名、メールアドレス、性別、生年月日、所属団体・機関の情報、申請で入力した内容。管理者は氏名とメールアドレス
漏えいの評価 見られた・持ち出された跡はなく、実際に盗まれた可能性は低いと推定。ただし、すべての情報にアクセスできる状態だったため「漏えい等が発生したおそれがある事態」として対応
ほかのシステム 社内のほかのシステムやデータベース、ほかのサービスへの不正アクセスの跡はなかった
いまの状況 3月23日に再開。各申請サイトの再開時期は、利用企業ごとに異なる
2025年12月18日 Academic Support Navi 深夜、Webサーバーに不正なプログラムが置かれる
2025年12月25日 Academic Support Navi 不審な動きを見つけ、サービスを停止。外との通信を遮断
2025年中 CAC ほかのサービスも緊急に点検し、不審なアクセスがないことを確認
2026年1月5日 CAC 第1報。サービスの一時停止と不正アクセスを公表
1月13日 CAC 第2報。管理者権限の不正使用を確認。個人情報保護委員会と情報サービス産業協会（JISA）に報告
2月12日 CAC 第3報。外部専門機関の調査が完了し、結果を公表
2月18日 CAC 第3報を更新。申請者への連絡は利用企業と協力して行うと追記
3月23日 CAC 最終報。新しい環境でサービスを再開
停止と遮断 サービスを止め、サーバーへの外からのアクセスと、サーバーから外へのアクセスを遮断した
環境の作り直し きれいな新しい環境に、システムを作り直した
弱点への対応 OSやモジュールの脆弱性に対応し、インフラの設定を見直した
外部の診断 自社の確認に加え、外部の専門機関による脆弱性診断をした
報告と連絡 個人情報保護委員会とJISAに報告。申請者には、サービスを使う企業から連絡した
