LASSICへのサイバー攻撃（受託業務の一部停止、個人情報1名分の漏えい確認・24名分に漏えいのおそれ）
公表日
IT企業のLASSICが2025年11月11日にサイバー攻撃を検知し、受託業務の一部に影響が出ました。個人情報は1名分の漏えいが確認され、24名分に漏えいのおそれがあると発表されています。
対象者は？
漏えいが確認されたのは、採用業務の取引先関係者1名分（氏名、勤務先メールアドレス、勤務先情報）です。漏えいのおそれがあるのは、元従業員とIT事業部の取引先関係者24名分（氏名、勤務先メールアドレス、取引情報）で、漏えいの事実は確認されていません。発表には、メールアドレス失効などで通知が困難だった方のみが記載されたとされており、これ以外の方の件数は分かっていません。
対象の方には同社から連絡が行われているとみられます。連絡が届いていない場合は、下記の報道や同社の発表内容を確認してください。
いますぐできること
- LASSICの取引先関係者や元従業員の方は、届いたお知らせを確認し、心当たりのない不審なメールに注意してください。
- お知らせのメールが届いていない場合は、報道や同社の発表を確認してください。
何が起きたのか
LASSICは2025年11月11日にサイバー攻撃を見つけ、緊急の対策本部を作って調査を始めました。被害の範囲を調べて広がりを抑えるため、社内ネットワークへの接続を一部制限し、IT事業部が顧客から受けている保守運用・開発サービスの一部に影響が出ました。同社は11月14日と21日にも攻撃を見つけたと公表しています。12月24日には、調査の結果として、採用業務の取引先関係者1名分の個人情報の漏えいを確認し、24名分に漏えいのおそれがあると発表しました。サーバー内には不正な操作の跡が確認されています。
なぜ起きたのか・なぜ広がったのか
侵入経路や攻撃の方法は公表されておらず、原因はまだ発表されていません。同社は原因の究明を続けるとしています。
いまの状況2026-01-15 時点続報待ち
2025年12月24日の発表の時点で、二次被害や二次被害のおそれは確認されていないとされています。サービスがいつ再開したかについては、まだ発表されていません。同社は原因の究明を続け、情報セキュリティ体制の強化と再発防止に取り組むとしています。
企業として考えたいこと
自社が顧客から仕事を受けているとき、攻撃を受けて社内ネットワークを止める必要が出たら、どの顧客のどの業務が止まるかをすぐに説明できるでしょうか。
技術的な要約
LASSICは2025年11月11日にサイバー攻撃を検知し、被害範囲の特定と封じ込めを優先して社内ネットワーク接続を一部制限した。これに伴い、IT事業部が顧客から受託する保守運用・開発サービスの一部に影響が出て、再開時期は未定とされた。同社は11月14日、21日にも攻撃を検知したと公表し、外部専門機関と連携して調査を進めた。2025年12月24日の発表で、サーバー内の個人情報のうち採用業務の取引先関係者1名分の漏えいを確認し、元従業員およびIT事業部の取引先関係者24名分は漏えいのおそれがあるとした。対象者は「メールアドレス失効等により通知が困難だった方のみ」を記載したものとされ、二次被害は確認されていない。侵入経路や攻撃手法は公表されておらず、同社は原因究明と再発防止を継続するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明同社は「サイバー攻撃を受けた」としているが、侵入経路や攻撃手法（脆弱性悪用、認証情報の不正入手など）の詳細は記載されていない。調査で同社サーバ内に不正な操作をした痕跡を確認したとされる。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ネットワーク接続の一部制限に伴い、IT事業部が顧客から受託している保守運用・開発サービスの一部業務に影響が生じた。2025年11月11日時点で再開時期は未定。期間：2025-11-11時点で再開見込み未定。その後の復旧時期は提供された情報では不明。
- データ
- おそれ上限 25確定 1人氏名メール取引先情報従業員情報漏えい確認1名（採用業務の取引先関係者。氏名、勤務先メールアドレス、勤務先情報）。漏えいのおそれ24名（元従業員およびIT事業部の取引先関係者。氏名、勤務先メールアドレス、取引情報。漏えい事実は未確認）。records_max=1+24の合算。同社は通知が困難だった方のみ記載しているとしており、実際の対象者数は異なる可能性がある。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- IT事業部が顧客から受託する保守運用・開発サービスの一部業務に影響が出た。取引先関係者の情報も漏えい対象に含まれる。二次被害は確認されていない。
時系列
- 2024-04-19別件：LASSICが受託したICHIGOの開発案件で、再委託先のフリーランスエンジニアがGitHub上にソースコードの一部を無断公開（前後に公開され、その後非公開化）。今回の攻撃とは別の事案として報じられている。2
- 2025-11-11サイバー攻撃を検知し、緊急事態対策本部を立ち上げて調査を開始。3
- 2025-11-11被害範囲の特定と封じ込めを優先し、社内ネットワーク接続を一部制限。IT事業部の受託保守運用・開発サービスの一部に影響。2
- 2025-11-11第1報を公表。個人情報・顧客データの外部流出は未確認、サービス再開時期は未定とした。2
- 2025-11-12セキュリティ対策Labが第1報を報道。2
- 2025-11-14サイバー攻撃を再度検知した事実を公表（同社の後の発表による）。1
- 2025-11-21サイバー攻撃を再度検知した事実を公表（同社の後の発表による）。外部専門機関と連携して調査を継続。1
- 2025-12-24
- 2025-12-25セキュリティ対策Labが12月24日の発表を報道。1
- 2026-01-15ScanNetSecurityが本件を報道。3
技術解説
公表された経過 事実
報道によれば、LASSICは2025年11月11日にサイバー攻撃を検知し、緊急事態対策本部を立ち上げて調査を進めた。同日、被害範囲の特定と封じ込めを優先して社内ネットワーク接続の一部を制限したと発表した。これに伴い、IT事業部が顧客から受託する保守運用・開発サービスの一部業務に影響が出て、再開時期は未定とされた。この時点では個人情報や顧客データの外部流出は確認されていないとしていた。同社はその後、11月14日、21日にも攻撃を検知した事実を公表し、外部専門機関と連携して調査を進めたとしている。12月24日には調査結果として個人情報の漏えい確認を発表した。
漏えい対象と公表された数 事実
12月24日の発表では、漏えいが確認されたのは採用業務の取引先関係者1名分で、氏名、勤務先メールアドレス、勤務先情報とされる。漏えいのおそれがあるのは元従業員およびIT事業部の取引先関係者24名分で、氏名、勤務先メールアドレス、取引情報であり、漏えい事実は確認されていない。同社は対象者について「メールアドレス失効等により通知が困難だった方のみ記載している」としている。現時点で二次被害および二次被害のおそれは確認されていないとしている。調査では、同社サーバ内で不正な操作をした痕跡を確認していたと報じられている。
件数の読み方と侵入経路が不明であることの意味 解釈
確認1名と、おそれ24名は性格が異なるため、分けて読む必要がある。25名という数は両者を足した便宜上の合算であり、確定件数ではない。また同社は通知が困難だった方のみを記載したとしているため、実際の対象者はこれより多い可能性があり、25名が上限だとも言い切れない。侵入経路や攻撃手法は公表されていないため、現時点では再発防止策が何に対応するのかを外部から評価できない。ただし調査は継続中とされており、評価は今後の続報を待って見直すのが妥当と考えられる。
受託業務への影響の構造 解釈
同社は被害範囲の特定と封じ込めを優先し、ネットワーク接続を一部制限した。この対応の結果として、顧客から受託する保守運用・開発サービスに影響が出たと読める。受託業務の拠点となるネットワークを止めると顧客側の業務にも波及しうる点で、受託型の事業が持つ構造的な難しさを示している。一方で、拡大防止を優先した判断自体は、公表内容から見て合理的な選択肢の一つだったと考えられる。ただし復旧時期や顧客への影響の程度は示されておらず、実際の停止期間や顧客側の被害は確認できない。評価は断定を避け、続報を待つ必要がある。
対応
- 封じ込め
- 被害範囲の特定と封じ込めを優先して社内ネットワーク接続を一部制限し、ネットワークの一部遮断を含む暫定対策を継続。緊急事態対策本部を設置し、外部専門機関と連携して原因調査と復旧作業を実施。
- 公表の仕方
- 2025-11-11に第1報を公表し、11月14日、21日の検知も公表。2025-12-24に個人情報漏えいの調査結果を発表した。対象者のうちメールアドレス失効等で通知が困難だった方のみを発表に記載。原因究明を継続し、情報セキュリティ体制の強化と再発防止に取り組むとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 検知後の封じ込めは、業務影響を伴ってでも優先される場面がある。受託業務への影響を事前に想定しておくことが重要。 | 顧客別に業務とネットワークの依存関係を一覧化し、遮断する範囲を段階分けした手順書を用意する。顧客環境へ入る接続（VPN・踏み台）は、ほかの社内系統から単独で切り離せるようセグメントを分ける。 |
| 攻撃の再検知が複数回続いた（11月14日、21日）。初動後も侵害が残っていないか確認し続ける必要がある。 | EDRとログ基盤で、封じ込め後も一定期間は高頻度の監視を行う。ネットワーク遮断の解除前に、永続化の痕跡（新規アカウント、スケジュールタスク、不審なサービス）の点検を完了条件にする。 |
| 個人情報の対象者は、取引先関係者や元従業員にも及びうる。顧客データ以外の保管場所も棚卸しが必要。 | サーバごとに保存する個人情報の種別を台帳化し、元従業員や取引先の連絡先データには保持期限と削除ルールを設定する。不要データの定期削除を運用に組み込む。 |
| 通知が困難な対象者が出ることを前提に、連絡手段を用意しておく必要がある。 | 連絡先データの有効性を定期的に確認する。メール以外の通知経路や、公式サイトでの告知を含む通知テンプレートを事前に作成し、法務・広報と合同で机上演習を行う。 |
| サーバ内の不正な操作の痕跡を確認できたのは、操作ログが保全されていたためと考えられる。ログは調査の前提になる。 | サーバの認証・操作ログを改ざんしにくい別系統へ転送し、保管期間を十分に確保する。時刻同期を統一し、事後の調査で侵入日を特定できる状態にしておく。 |
自組織などでの確認項目
- 自組織が受託している業務を止めずに、侵害のあった環境だけを切り離す手順はあるか。実際に遮断した場合、どの顧客のどの作業が止まるか一覧で説明できるか。
- 自組織のサーバに保存されている元従業員・取引先関係者の個人情報はどこにどれだけあるか。保持期限を過ぎたものが残っていないか。
- 漏えいのおそれが出たとき、メールアドレスが失効した相手に連絡する代替手段を決めているか。公式サイトでの告知を誰が判断して出すかが決まっているか。
未解明点
- 侵入経路と攻撃手法（脆弱性悪用か認証情報の不正入手かなど）は何だったのか。公表されていない。
- 侵入日と、11月14日・21日に再検知された攻撃の内容（最初の攻撃と同一かどうか）は何か。
- 受託保守運用・開発サービスはいつ再開したのか。顧客への影響の程度はどうだったか。
- 通知が困難だった方以外の対象者を含めた実際の対象者数は何人か。また、12月24日の発表を伝える記事に「複数名分」という表現があるが、1名という確認数との関係は何か。
- 顧客データや顧客システムへの影響の有無は、第1報以降どのように確認されたか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-25報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-12報道本文確認済
- 3ScanNetSecurity2026-01-15報道本文確認済