テーオーシーへの不正アクセス（ランサムウェアLynxが犯行声明、ファイルの一部暗号化を確認）
公表日
TOCビルなど不動産事業を手がける東証スタンダード上場のテーオーシーが、自社ネットワークへの第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を2025年12月4日に確認し、12月8日に公表した。影響の範囲や件数はまだ公表されていない。
何が起きたのか
テーオーシーは2025年12月4日、自社ネットワークに第三者が不正に入ったことを確認しました。同社は関係機関に報告し、影響を受けた機器を切り離すなどの対策をとり、12月8日に公表しました。公表と前後して、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。グループ「Lynx」が同社に関する犯行声明とみられる投稿をしましたが、データのサンプルは示されておらず、実際にLynxが攻撃したかは不明とされています。12月19日に同社は続報を出し、12月24日にはScanNetSecurityが、ファイルの一部が暗号化されていたことを確認したと報じました。
なぜ起きたのか・なぜ広がったのか
侵入の経路や手口は、まだ明らかにされていません。どのシステムがどこまで影響を受けたのかも、調査中とされています。
いまの状況2025-12-24 時点続報待ち
2025年12月24日時点で、同社は外部の専門家と連携し、範囲の調査、復旧、影響を受けた情報の確認を進めています。漏えいした情報の種類や件数、業績への影響は調査中または精査中で、具体的な数字はまだ発表されていません。重大な影響が出ると判断した場合は、速やかに公表するとしています。
企業として考えたいこと
自社のネットワークで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかった場合、影響を受けた機器を素早く切り離し、確認できた事実と調査中の事柄を分けて説明できる体制が整っているでしょうか。
技術的な要約
東証スタンダード上場のテーオーシーは、2025年12月4日に自社ネットワークへの第三者による不正アクセスを確認し、12月8日に公表した。公表と前後して、ランサムウェアグループLynxが同社に関する犯行声明とみられる投稿をしたが、データサンプルはなく、実際にLynxが攻撃したかは不明とされている。12月19日の続報を受け、ScanNetSecurityは12月24日にファイルの一部の暗号化が確認されたと報じた。侵入経路、漏えいした情報の種類・件数、業績への影響は調査中または精査中である。同社は関係機関への報告、影響を受けた機器の隔離を行い、外部専門家と連携して調査と復旧を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明リリースでは、不正アクセスの具体的な手口や侵入経路、攻撃者の属性などは明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- Lynx 被害組織は認めていないダークウェブ上で同社に関する犯行声明とみられる投稿。「Encrypted, Proof」「暗号化済み」「証拠あり」のラベルのみで、具体的なデータファイルやサンプルは確認できない。
- ATT&CK
影響
- 業務停止
- なし 影響を受けた機器の隔離を実施。業務停止の有無・期間は公表情報から読み取れない。業績への影響は精査中。
- データ
- 調査中上限 —確定 —漏えいした情報の種類・件数、データ窃取の有無は調査中。報道によりファイルの一部の暗号化が確認されたとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-12-04
- 2025-12-04関係機関への速やかな報告と、影響を受けた機器の隔離など被害拡大防止策を実施（確認後）。2
- 2025-12-08
- 2025-12-08
- 2025-12-09セキュリティ対策Labが、被害範囲調査中として報道。業績への影響は精査中とされる。2
- 2025-12-17セキュリティ対策Labが、Lynxの犯行声明（ラベルのみでサンプルなし）を報道。攻撃の範囲や実行主体は不明とされる。1
- 2025-12-19
- 2025-12-23ScanNetSecurityが、業績予想への影響は精査中として報道。3
- 2025-12-24ScanNetSecurityが、ファイルの一部の暗号化を確認したと報道。5
技術解説
公表された経緯と同社の対応 事実
テーオーシーは2025年12月4日に第三者による不正アクセスを確認し、12月8日付のリリースで公表した。同社は、関係機関への速やかな報告と、影響を受けた機器の隔離など被害拡大を防ぐ対策を行ったと説明している。外部の専門家と連携し、インシデントの範囲調査、復旧措置、影響を受けた情報の確認を進めている。12月19日には12月8日公表分の続報を発表した。リリースでは、不正アクセスの具体的な手口や侵入経路、攻撃者の属性などは明らかにされていない。顧客・取引先・関係者への謝罪も表明され、業績への影響は精査中で、重大な影響が生じると判断した場合は速やかに公表するとしている。
Lynxの犯行声明の内容 事実
同社の公表と前後して、ダークウェブ上でランサムウェアグループLynxが同社に関する犯行声明とみられる投稿をした。スクリーンショットには具体的なデータファイルやサンプル画像はなく、「暗号化済み」「証拠あり」といったラベルのみが表示されている。ダークウェブ側のページも「Encrypted, Proof」と主張しているだけで、実際のデータサンプルは示されていない。報道は、犯行声明の段階であり、攻撃の範囲や実際にLynxが同社を攻撃したかは不明としている。同社がこの声明について何らかの見解を示したという記載は、確認できた情報の中にはない。
影響範囲について確認できていること 事実
同社の公式リリースについて、報道は、漏えいした具体的な情報の種類・件数、ランサムウェアによる暗号化やデータ窃取の有無はまだ調査中とされていると伝えている。どのシステムがどこまで侵害されたか、データ窃取があった場合の情報の内容も確定していない。その後、ScanNetSecurityは12月24日付で、同社ネットワークへの不正アクセスでファイルの一部の暗号化が確認されたと報じた。ただし、確認できた内容は見出しの範囲であり、暗号化の対象範囲や件数は分かっていない。漏えい件数は、上限も確定値も公表されていない。
犯行声明と被害状況の関係（解釈） 解釈
以下は解釈である。Lynxの投稿にある「暗号化済み」というラベルと、報道されたファイルの一部の暗号化の確認は、方向としては重なって見える。ただし、投稿にはサンプルがなく、同社も攻撃者を特定して公表していないため、両者を同一の攻撃として結び付ける根拠は現時点で十分とは言えない。また、確認から公表まで4日、続報まで約2週間であり、調査の途中段階で段階的に開示されている状況とも読める。侵入経路や窃取の有無が示されるまでは、断定的な評価は避け、続報を待つのが妥当である。
対応
- 封じ込め
- 不正アクセス認識後、関係機関へ速やかに報告し、影響を受けた機器の隔離など被害拡大防止策を実施。外部専門家と連携し、範囲調査、復旧措置、影響を受けた情報の確認を進めている。
- 公表の仕方
- 2025年12月8日にリリースで公表し、顧客・取引先・関係者へ謝罪。12月19日に続報を発表。業績への影響は精査中で、重大な影響が生じると判断すれば速やかに公表するとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 犯行声明は事実確認が済むまで切り分けて扱う必要がある。サンプルのない声明は真偽が不明で、被害の実態と別に管理すべきである。 | 攻撃者の主張と自社で確認した事実を別の欄で管理するインシデント記録の様式を用意し、ダークウェブ監視の結果は「主張」タグ付きで記録する。ログ・EDR・バックアップ状態の突合を確認の条件にする。 |
| 調査の初期は侵入経路や影響範囲が分からないまま公表を求められる。確定事項と調査中の事項を分けて示す準備が要る。 | 公表文のテンプレートに「確認済み／調査中／未確認」の区分を設け、件数は上限と確定を別項目にする。続報の公表条件と担当者を事前に決めておく。 |
| 機器の隔離など初動の被害拡大防止策は、検知直後に実行できる状態にしておくことで効果が高まる。 | EDRのネットワーク隔離機能やVLAN単位の遮断手順をランブック化し、年1回は隔離の演習を行う。隔離実行の権限者と連絡経路を明記する。 |
| ランサムウェアでは暗号化の有無とデータ窃取の有無が別々に判明することがあり、段階的に情報が更新される。 | 暗号化の確認とは独立に、外向き通信ログ（プロキシ、FW、DNS）を長期間保管し、大量転送の有無を調べられるようにする。ログ保管期間は最低90日を目安にする。 |
| 業績への影響を精査中の段階でも、上場企業は適時開示の判断を継続して求められる。 | IR・法務・情報システムの合同の判断会議を設け、影響額の見積り更新の頻度と開示判断の基準を、インシデント対応計画に明記する。 |
自組織などでの確認項目
- 自社のネットワークで、影響を受けた機器を数分から数時間以内に隔離できる手順と権限者が決まっているか。直近で実際に試した記録はあるか。
- ダークウェブ上で自社名の犯行声明が見つかった場合に、真偽を確認する担当・手順・判断基準が定められているか。
- インシデント公表文で、確認済みの事実・調査中の事項・件数の上限と確定を区別して書く様式が自社にあるか。続報の時期の目安を決めているか。
- 暗号化被害の有無と、データ窃取の有無を別々に調べるために必要なログ（外向き通信、認証、ファイルアクセス）が、必要な期間保管されているか。
未解明点
- 不正アクセスの侵入経路や手口は何だったのか（リリースでは明らかにされていない）。
- 漏えいした情報の種類・件数と、データ窃取の有無はどうだったのか（調査中とされている）。
- 暗号化されたファイルの範囲や、Lynxが実際に攻撃に関与したかはどうか（同社は攻撃者を公表していない）。
- 業務への影響の有無・期間と、業績への影響はどうなるのか（精査中とされている）。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-17報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2025-12-09報道本文確認済
- 3ScanNetSecurity2025-12-23報道本文確認済
- 4ScanNetSecurity2025-12-24報道本文確認済
- 5ScanNetSecurity2025-12-24報道本文確認済