SecurityHeroblog
セキュリティの基本14閲覧

空欄が埋められた詐欺の台本 — 数学塾の情報流出の後にかかってくる電話

大峙洞（テチドン）をはじめ全国に支店を持つ数学塾「センガクハヌンファンソ（考える牛）」の試験予約サイトが侵入され、生徒の名前・学校・学年・生年月日と保護者の電話番号が流出した可能性があると報じられました。その情報を手にした人物が「お子さんがけがをした」と電話してきたとき何をすべきか、そしてまだ確認されていないことは何かを整理しました。

携帯電話にこんなメッセージが届いたことは、誰にでもあるでしょう。「○○○様、お誕生日おめでとうございます。特別クーポンを差し上げます。」名前の欄だけを自分の名前に差し替えたメッセージです。残りは誰に送っても同じです。だから誰も騙されません。空欄は一つだけで、その空欄に自分の名前が入っているからといって、相手が自分を知っているわけではないからです。

では、空欄が五つならどうでしょうか。子どもの名前。子どもが通う学校。学年。生年月日。そして自分の電話番号。この五つの欄がすべて正確に埋められた状態で電話がかかってきます。「○○さんのお母さんですよね？ ○○小学校3年生の○○さんが、塾に行く途中でけがをしました。」

この記事は、その空欄がどこで埋められたのか、そして空欄がすべて合っていてもなぜその電話を信じてはいけないのかについての話です。「空欄埋め」の一つの話で最後まで通します。

まず、自分の側で起こりうること

知らない番号から電話がかかってきます。相手が子どもの名前を言います。学校と学年も合っています。そしてこう言います。塾に行く途中で接触事故があった。けがをして今すぐ病院に行かなければならない。あるいは、子どもを預かっている。

親はその場で凍りつきます。相手が送れと言う先にお金を送るか、続いて届いたメッセージの中のリンクを押します。子どもの名前と学校を正確に知っている人が嘘をつくはずがないと思うからです。ところが今週から、その考えの前提が揺らぎます。

事実 9月17日、数学塾センガクハヌンファンソの試験予約サイトに何者かが侵入したと、マネートゥデイが報じました。塾は翌日の18日にホームページでこの事実を告知しました。試験予約サイトは、この塾に入ろうとする生徒が入塾試験やレベルテストの日程を決める場所です。つまりそのサイトにあった情報は、すなわち「試験を予約したことのある子どもと親の情報」です。

事実 流出したと推定される情報は、生徒の名前、学校、学年、生年月日、そして保護者の名前と電話番号だと、保安ニュースが報じました。成績や決済情報のような機微情報は含まれていないと個人情報保護委員会が把握していると、アジア経済が伝えました。個人情報保護委員会は、個人情報が漏れる事故を監督する政府機関です。機微情報とは、漏れると特に大きな被害が出る情報を別に呼ぶ言葉です。

事実 流出告知の後、保護者が集まるオンラインコミュニティに、こうした連絡を受けたという投稿が上がっていると保安ニュースが報じました。塾に行く途中で事故があったので補償しろという電話。子どもがけがをして病院に行かなければならないという話。子どもを預かっているというメッセージ。

推定 ここで線を一本引いておきます。コミュニティに上がったそれらの電話が、本当に今回の流出情報を使ってかけられたものかどうかは確認されていません。 この記事は「こうした電話がかかってくる可能性がある」までしか言いません。ただ、その台本の空欄を埋める材料が流出した可能性があるということは報じられた事実であり、だから今書いています。

なぜ通用するのか — 空欄が埋まると他人の台本が「自分のこと」になる

推定 「お子さんがけがをした」という台本は、誰にかけても同じです。変わるのは空欄だけです。空欄が空いていれば、この台本はあまり通用しません。「お子さんがけがをしました」と言われれば、「誰ですか？ どこの学校ですか？」と聞き返すことになります。聞き返すその一拍に疑いが入り込みます。

推定 空欄が埋まると、その一拍が消えます。子どもの名前と学校、学年が正確に出てくると、頭より先に体が動きます。確認する隙もなくお金を送ったりリンクを押したりしてしまいます。詐欺師が望むのはまさにその「隙のなさ」です。今回流出した可能性があると報じられた項目は、まさにその空欄です。

事実 塾はこう呼びかけたと、アジア経済が報じました。知らない人からの連絡やメッセージを受けたらボイスフィッシングの可能性があると考え、個人情報を渡したりリンクを押したりすることを控えるように。ボイスフィッシングとは、電話で急を要する状況をでっち上げてお金や情報を奪い取る詐欺です。メッセージの中のリンクで同じことをする場合はスミッシングと呼びます。

事実 塾は該当サイトを一時的に閉鎖し、関係機関に届け出たと報じられました。関係機関とは、こうした事故を担当して処理する政府機関をひとまとめに呼ぶ言葉です。流出対象の保護者にはメッセージで知らせている最中で、警察に捜査を要請する資料を準備しているとのことです。

推定 どのように侵入したかは報じられていません。この記事は手口を推測しません。親が知っておくべきなのは破られた方法ではなく、どの空欄が埋められたのか、そしてだからどんな電話を警戒すべきかです。

数字で見た規模

今回の件は数字が少ないです。特に**何人の情報が流出したのかが、どの報道にもありません。**だから、ない数字を作って入れることはしませんでした。二つ目の欄を見てください。

数字 何 出典
約70か所 センガクハヌンファンソの全国支店数 保安ニュース（報道）
9月17日 試験予約サイトへの侵入日 マネートゥデイ（報道）
9月18日 塾ホームページでの告知日 マネートゥデイ（報道）
（なし） 流出した生徒・保護者の数 どの報道にもなし

事実 約70か所の支店。大峙洞の塾一つの話ではありません。全国のどの支店であれ、この塾の試験を一度でも予約したことがあれば対象になりうるということです。塾は、ハッカーが資料をすべて確保中だと知らせてきたことを理由に、予約履歴のある保護者と生徒全員の情報が流出した可能性が高いと明らかにしたと報じられました。ただし「全員」は塾の推定表現であり、それが何人なのかはどこにもありません。

事実 17日に侵入、18日に告知。一日の差です。そしてその18日付の報道に、すでにコミュニティのフィッシング電話の投稿が言及されています。子どもが学校に行って帰ってくる間に、台本の空欄が埋められていた可能性があるという意味です。

推定 だから対応は「あとで気をつけよう」ではありません。今日です。空欄が埋められた台本は、作られたその日から使われます。今日は告知が出た翌日です。

だから今やること

二つです。どちらも今日できて、お金はかかりません。

一つ。子どもがけがをした・事故に遭ったという電話は、切って自分からかける。

相手が子どもの名前を知っていようと、学校と学年まで言おうと、塾や病院や警察だと名乗ろうと同じです。まず切ります。そして子ども本人に電話します。子どもが出なければ学校へ、塾の代表番号へかけます。自分がもともと知っていた番号に、自分で直接かけることが核心です。相手が教えてきた番号ではだめです。本当に子どもがけがをしていたなら、この確認は電話一本で終わりますし、詐欺ならここですぐに露見します。

空欄で言うとこうです。空欄がすべて正しく埋められているということは、相手がその台本を手にしているという意味であって、相手が本物だという意味ではありません。本物かどうかは、自分がかける電話一本でしか確認できません。

二つ。塾や機関の名前で届いたメッセージの中のリンクは押さない。

塾が流出対象者にメッセージで知らせている最中だと報じられました。そのメッセージを受け取ったなら、これからはこう考えればよいのです。自分の子どもの空欄はすでに埋められているかもしれない。だから今後届く見知らぬ連絡は、詐欺の可能性をまず前提に置く。特にメッセージの中のリンクを押せと言われたり、アプリをインストールしろと言われたり、個人情報を書き込めと言われたり、お金を送れと言われたら、その場で止まります。塾自身がリンクを押さないよう呼びかけている状態です。

推定 二つを一行にまとめるとこうです。埋められた空欄は信じる根拠ではありません。自分がかけた電話だけが根拠です。この一行は小学生の子どもに言ってもよいし、祖父母に伝えてもよいものです。どちらも電話を受ける可能性があるからです。

私たちが分からないこと

このブログは、確認されていないことを確認されたことのように書きません。今回の件でまだ分かっていないことです。

  • 流出した人数が分かりません。 どの報道にも数値がありません。「全員」は塾の推定表現であり、この記事もそのまま推定として書きました。
  • コミュニティに上がった事故・誘拐を装う電話が、今回の流出情報を使ったものかどうか分かりません。 関連性が確認されていません。その報告を伝えたメディアも保安ニュース一社です。だからこの記事の電話の場面は「かかってくる可能性がある」ことであって、「この流出のせいで起きた」ことではありません。
  • 誰が、なぜやったのか分かりません。 ハッカーが金銭を要求したのか、データをどこかに公開したり売ったりしたのかは報じられていません。だからこの記事には国籍も組織名もありません。
  • どうやって侵入したのか分かりません。 侵入経路とどんな弱点があったのかについて報道がありません。
  • 塾の告知の原文を直接見ていません。 塾ホームページの告知ページはアクセスが遮断されていました。この記事の告知内容は、すべて報道が引用したものを基準にしています。

確認されていないこと：流出人数、コミュニティのフィッシング電話と今回の流出の関連性、ハッカーの要求とデータ流通の有無、侵入経路、塾の告知原文。本文の事実は保安ニュース・マネートゥデイ・アジア経済の三社の報道を相互に照合したもので、侵入日・告知日・流出推定項目・塾の呼びかけ内容が一致しました。フィッシング電話の報告は保安ニュース一社のみが伝えました。

出典

一次出典はセンガクハヌンファンソのホームページの流出案内告知です。アクセスが遮断されており原文を確認できなかったため、以下の報道が引用した内容で代えます。

この記事は私たちの観測ではなく、他者の取材を材料に書いています。そのため攻撃タイムライン・MITRE・IOCブロックはなく、マスキングするIPや引用する認証情報の資料もありません — ない資料を作って入れることはしません。すべての事実は2026年9月18日の塾の告知を伝えた報道を基準に書き、告知の原文は直接確認できなかったため、本文では「報じられました」と区別しました。流出人数は報じられておらず、コミュニティのフィッシング電話と今回の流出の関連性は確認されていません。攻撃主体・原因・国籍は確認されていないため書いていません。真似できるコマンド・アドレス・手順は掲載しません。観測日・発行日 2026-09-19。