エネサンスホールディングスへのランサムウェア攻撃（LPガス顧客情報約36.5万件の漏えいのおそれ、配送委託元にも波及）
公表日
LPガス販売大手のエネサンスホールディングスがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、グループ全体のシステムが止まりました。顧客の氏名・住所・電話番号など最大約36.5万件と、従業員など約2千件の情報が漏えいしたおそれがあります。
対象者は？
エネサンスグループ（エネサンス北海道・東北・新潟・関東・中部・九州、共同瓦斯）のLPガスの顧客と、グループの従業員などです。エネサンスにガスの配送を任せていた他のガス会社（柴田産業、北斗興業、ENEOSグローブエナジーなど）の顧客も含まれます。件数は最大約36.5万件で、流出が確定した件数は公表されていません。委託元の会社は、クレジットカード・口座・ガス料金の情報は含まれないと説明しています。
対象の方には書面で順次連絡するとされています。連絡が難しい方については、公式のお知らせが本人への通知の代わりとされています。エネサンス以外のガス会社と契約している方は、その会社のお知らせも確認してください。
いますぐできること
- エネサンスやガス会社を名乗るメール・電話・郵便で、支払いや個人情報を求められても応じない。気になるときは検針票や公式サイトにある窓口に自分から問い合わせる
- 登録している電話番号やメールアドレスに、不審な連絡が増えていないか気をつける
何が起きたのか
2025年10月21日、エネサンスホールディングスとグループ会社で一斉にシステム障害が起きました。調べたところ、一部のサーバーやパソコンのデータが暗号化されるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害だと分かりました。会社はすぐに外部との接続を切り、注文の受付や出荷は手作業で続けました。11月30日には、盗まれたとみられる情報が犯人側のサイトで公開されていることを会社が確認しました。2026年5月11日に、漏えいのおそれがある件数が公表されました。
なぜ起きたのか・なぜ広がったのか
侵入の経路や手口は、調査しても特定できなかったと会社は説明しています。そのうえで、インターネットとの接続口から入られた可能性が高いとしています。エネサンスは自社の顧客だけでなく、他のガス会社から配送の仕事も受けていて、その顧客の名前や住所も同じネットワークに保管していました。グループ会社も同じネットワークを使っていたため、被害が全国の地域会社や配送の委託元にまで広がりました。
いまの状況2026-05-11 時点続報待ち
システムは2025年12月の時点でおおむね復旧しています。二次被害は確認されていないとされています。再発防止として、グループ全体の監視の強化、社員教育、犯人側サイトの見張りなどを進めるとしています。侵入した機器の種類、身代金への対応、復旧にかかった費用は、まだ発表されていません。
企業として考えたいこと
自社が仕事を任せている会社には、自社のお客様の情報がどれだけ預けられているでしょうか。その会社が攻撃されたとき、すぐに連絡が来る取り決めはあるでしょうか。
技術的な要約
住友商事・出光興産・コスモエネルギーHDが出資する家庭用LPガス大手のエネサンスホールディングスで、2025年10月21日にグループ全体のシステム障害が発生し、外部専門家の調査で一部サーバ・端末のデータが暗号化されるランサムウェア被害と確認された。同社は発生直後に外部接続を遮断し、10月23日に第1報、10月30日の続報でランサムウェアと攻撃者サイトへの社名・ロゴ掲載を公表した（Qilinが10月29日に犯行を主張）。11月30日未明には窃取されたとみられる情報が攻撃者のリークサイトで公開されたことを確認し、LPガス配送を委託していた柴田産業・北斗興業・ENEOSグローブエナジーなどの委託元も顧客情報漏えいの可能性を相次いで公表した。2026年5月11日の第4報で、侵入経路は特定できないが『インターネットとの接続口から侵入された可能性が高い』とし、顧客情報約36.5万件・従業員等約2千件の漏えいのおそれを公表した。システムは概ね復旧済みで、二次被害は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認第4報（2026-05-11）の公式表現は『侵入経路及び詳細な手口の特定には至らなかったものの、インターネットとの接続口から侵入された可能性が高い』。これを境界（インターネット接続口）からの侵入としてVPN/境界機器に分類したが、機器の種別（VPN装置・ファイアウォール・リモートデスクトップ等）、製品名、脆弱性か認証情報悪用かは公表されておらず、確定事項ではなく同社の推定である。Qilinは一般に公開サーバの脆弱性悪用、フィッシング、窃取した認証情報の利用を初期侵入に使うと報告されている（@IT/KELA）が、本件との対応は不明。
- 脆弱性
- CVE 非公表不明非公表（インターネットとの接続口にある機器・サービス）第4報は侵入経路を特定できなかったとしており、脆弱性の有無・製品名・CVEは不明。『接続口から侵入された可能性が高い』という同社推定のみ。
- 攻撃者
- Qilin 被害組織の言及なし2025年10月29日頃、Qilinがリークサイトにエネサンスホールディングス（enessance.co.jp）の社名とロゴを掲載し犯行を主張（DeXpose、セキュリティ対策Lab）。10月30日までに一度掲載が消え、11月6日に再掲載されたと報じられた。データ量の主張は確認できない。同社は11月30日未明に窃取されたとみられる情報が攻撃者の運営するダークウェブ上のリークサイトで公開されたことを確認している。
- ATT&CK
影響
- 業務停止
- あり 2025-10-21にグループ全体でシステム障害。受注・出荷はシステムが使えず手作業で対応し順次出荷、マイエネサンスでの請求金額照会に支障。発生直後に外部との接続を遮断し、被害ネットワークから隔離した環境でシステムを再構築して業務を再開（10/30続報）。ガス供給・保安業務への影響は公表されていない。期間：2025-10-21の発生から、第3報（2025-12-08）で『概ね復旧』と公表するまで約7週間
- データ
- おそれ上限 365,000確定 —件氏名住所電話メール従業員情報第4報：顧客情報約36.5万件（氏名・住所・電話番号・メールアドレス等、全対象者の全項目ではない）、グループ従業員等の情報約2千件（氏名・電話番号等）。records_max は顧客情報の約36.5万件で、従業員等約2千件は含めていない。攻撃者によるリークサイトでのデータ公開自体は同社が確認しており（2025-11-30未明）、公開データの一部に個人情報が含まれていた。委託元の公表分：ENEOSグローブエナジー約1,300件（北海道・神奈川県の一部、氏名・住所・電話番号）、柴田産業（佐賀市の顧客396件と報道、エネサンス九州経由）、北斗興業（件数非公表、エネサンス北海道経由）。これら委託元分が36.5万件の内数かは公表されていない。クレジットカード・口座・ガス料金情報は含まれないと委託元は説明。
- 波及先
- 3 社（顧客情報漏えいの可能性を公表したLPガス配送委託元・確認分）
- 柴田産業（2025-11-21公表、配送・緊急時対応委託先エネサンス九州から報告）
- 北斗興業（エネサンス北海道のネットワーク上の顧客氏名・住所）
- ENEOSグローブエナジー（2026-01-14公表、エネサンス北海道・エネサンス関東経由、約1,300件）
- 金銭影響
- —
- サプライチェーン
- エネサンスグループは自社販売に加え、他のLPガス事業者からLPガス配送・緊急時対応を受託しており、配送に必要な委託元顧客の氏名・住所・電話番号を自社グループのネットワーク上に保持していた。グループ会社（エネサンス北海道・関東・九州）がHDのネットワークを利用していたため、HDへの攻撃が委託元の顧客情報の漏えいのおそれに直結した。
時系列
- 2025-10-21
- 2025-10-23
- 2025-10-29
- 2025-10-30
- 2025-11-06
- 2025-11-21
- 2025-11-30
- 2025-12-08
- 2025-12-25『当社関係者を装った不審な電子メールにご注意ください』を公表5
- 2026-01-14
- 2026-05-11
技術解説
攻撃の構造：グループ共通ネットワークの暗号化と二重恐喝 事実
2025年10月21日にHDとグループ会社で同時にシステム障害が発生し、外部専門家の調査で一部サーバ・端末内のデータが暗号化されるランサムウェア被害と判明した。同社は発生直後に外部接続を遮断し、被害ネットワークから隔離した環境でシステムを再構築して業務を再開している。Qilinは10月29日頃にリークサイトへ社名・ロゴを掲載し、11月30日未明には窃取されたとみられるデータの公開を同社自身が確認した。つまり暗号化の前にデータが持ち出されており、典型的な二重恐喝型である。第4報は侵入経路と手口を特定できなかったとしつつ、『インターネットとの接続口から侵入された可能性が高い』と推定するにとどまり、機器種別・脆弱性・侵入日時は明らかにされていない。
受託配送事業者としてのデータ集積が委託元へ波及 事実
エネサンスグループは自社顧客へのLPガス販売に加え、他社からLPガス配送や緊急時対応を受託している。そのため配送に必要な委託元顧客の氏名・住所・電話番号を自社ネットワーク上に保持しており、HDへの攻撃が委託元の顧客情報漏えいのおそれに直結した。実際に柴田産業（エネサンス九州経由、2025-11-21公表）、北斗興業（エネサンス北海道経由）、ENEOSグローブエナジー（エネサンス北海道・関東経由、約1,300件、2026-01-14公表）が個別に公表している。グループ子会社がHDのネットワークを利用していたことも公表で明示されており、地域子会社単位の分離がなかったことが被害範囲を全国に広げた。
公表の評価：リーク確認から件数公表まで5か月超 解釈
初動は早く、発生2日後に第1報、9日後にランサムウェアと攻撃者サイト掲載を自ら認めた点は評価できる。一方で、リークサイトでのデータ公開確認（2025-11-30）から件数と項目を示した第4報（2026-05-11）まで5か月以上を要し、同社自身も第4報で長期間を要したことを謝罪している。その間に委託元各社が先行して漏えいの可能性を公表しており、個人の立場からは委託元の通知で初めて知るケースも生じたと考えられる。公開データの精査に時間がかかったのは、受託分を含め複数の委託元・地域のデータが混在し、誰のデータかを突き合わせる必要があったためと推測される。攻撃者名（Qilin）には公式発表では一度も言及していない。
重要インフラ（ガス）事業者としての論点 解釈
LPガスは家庭のライフラインであり、配送・保安業務が止まれば供給途絶や保安上のリスクに直結する。今回、受注・出荷は手作業で継続され、ガス供給・保安への影響は公表されていないが、どの程度紙運用で持ちこたえたか、保安（緊急時対応）システムがどのネットワーク上にあったかは不明である。Qilinは2025年にアサヒグループなど国内大手製造業も攻撃しており、境界機器の脆弱性や窃取された認証情報からの侵入、Mimikatz等による認証情報ダンプ、ネットワーク分割の不備を突いた横展開が典型とされる。『インターネットとの接続口』からの侵入という推定は、VPN・リモートアクセス機器を起点とする国内ランサム被害の多くの事例と整合的である。
対応
- 封じ込め
- 発生直後に外部との接続を遮断して被害拡大を防止し、緊急対策本部を設置。外部専門家の支援で調査し、被害ネットワークから隔離した環境でシステムを再構築して業務を再開、12/8時点で概ね復旧。再発防止策としてグループ全体のセキュリティ対策と監視の強化、情報セキュリティ体制の見直し、社員教育、攻撃者リークサイトの継続監視を表明。
- 公表の仕方
- 10/23第1報（障害発生、原因調査中）、10/30続報（ランサムウェア確定、攻撃者サイトへの掲載を認識）、12/8第3報（リークサイトでの情報公開を確認）、12/25不審メール注意喚起、2026-05-11第4報（漏えいのおそれ約36.5万件・約2千件、侵入経路の推定）。攻撃者名は公表せず。個別通知は書面で順次行い、通知困難な場合は公表をもって本人通知に代えるとした。委託元各社は自社で別途公表。
- 当局対応
- 警察：2025-10-30の続報時点で警察署に相談済み
- 監督官庁：2025-10-30の続報時点で報告済み（官庁名は非公表）
- 個人情報保護法に基づく本人通知を第4報で実施（個人情報保護委員会への報告の有無・時期は公表文で明示なし）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 『インターネットとの接続口』からの侵入が推定されながら、経路を特定できなかった | VPN・FW・リモートアクセス機器の認証ログと設定変更ログを機器外（SIEM・syslogサーバ）に1年以上保全し、管理画面はインターネットから到達不可にする。リモートアクセスはMFA必須・証明書認証とし、KEV掲載の境界機器脆弱性は72時間以内に対処する |
| 地域子会社がHDの共通ネットワークを利用し、1回の侵入で全国のグループ・委託元データに到達された | 子会社・地域ごとにネットワークセグメントとADの権限境界を設け、管理者アカウントをTier分離。委託元顧客データは委託元単位で保存領域とアクセス権を分け、アクセスは配送業務アプリ経由に限定する |
| 暗号化前にデータが持ち出され、リークサイトで公開された | EDRとプロキシで rclone・MEGAsync・WinSCP 等の転送ツール実行と大容量アップロードを検知・遮断し、サーバセグメントからインターネットへの直接通信をデフォルト拒否にする |
| 受託データの範囲把握に時間がかかり、委託元が先行して公表した | 受託契約ごとに保持データ項目・保存場所・件数をデータマップとして維持し、インシデント時に委託元別の影響件数を24〜72時間で算出できるようにする。委託元への通知手順と期限を契約に明記する |
| ライフライン事業でシステム停止時も配送・保安を継続する必要がある | 配送先リスト・保安台帳の最新オフラインコピー（暗号化した可搬媒体や紙）を拠点ごとに定期作成し、手作業運用の訓練を年1回実施する。バックアップはオフライン／イミュータブル保管とする |
自組織などでの確認項目
- あなたの会社が他社から業務を受託している場合、委託元の顧客データを自社ネットワークのどこに、どの粒度で分けて保持しているか。侵害時に委託元別の件数を何日で出せるか。
- 子会社や地域拠点が本社のネットワーク・ADを共用しているとき、1拠点の侵害がグループ全体に広がらないための境界はどこにあるか。
- 侵入経路が特定できなかった原因はログの欠如だと考えられる。あなたの環境で、VPN装置やFWのログはどこに何日保存されているか。
- 委託先がランサムウェア被害を受けたとき、委託元として何を確認し、いつ自社顧客へ公表するか、事前に決めているか。
未解明点
- 侵入に使われた機器・サービスの種別と製品名、脆弱性か認証情報悪用か、侵入日時と滞留期間
- 顧客情報約36.5万件のうち委託元由来のデータが何件か、公表した3社以外に影響を受けた委託元はあるか
- ガス供給・保安（緊急時対応）業務への影響の有無と、手作業運用の期間
- 報告した『監督官庁』の名称と、個人情報保護委員会への報告の内容・時期
- 身代金要求への対応方針と、復旧・再構築費用などの財務影響
- 公開データの総量と内容（Qilinの主張したデータ量）
出典
- 1株式会社エネサンスホールディングス2025-10-23公式本文確認済
- 2株式会社エネサンスホールディングス2025-10-30公式本文確認済
- 3株式会社エネサンスホールディングス2025-12-08公式本文確認済
- 4株式会社エネサンスホールディングス2026-05-11公式本文確認済
- 5株式会社エネサンスホールディングス2025-12-25公式本文確認済
- 6ScanNetSecurity2025-11-14報道本文確認済
- 7ScanNetSecurity2025-12-22報道本文確認済
- 8ScanNetSecurity2026-05-22報道本文確認済
- 9ScanNetSecurity2025-12-11報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2025-11-04報道本文確認済
- 11セキュリティ対策Lab（Rocket Boys）2025-12-08報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）2026-01-15報道本文確認済
- 13ScanNetSecurity2026-01-30報道本文確認済
- 14DeXpose2025-10-29研究者本文確認済
- 15株式会社エネサンスホールディングス公式本文確認済
- 16@IT2025-10-14報道本文確認済