Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2025-r381d94b8製造最終確認 2026-10-14 17:48

美濃工業へのランサムウェア攻撃（SafePay、VPN正規アカウント悪用、約300GB送信形跡・約60GB公開）

公表日

美濃工業株式会社
続報ありランサムウェア不正アクセス認証情報悪用

製造業の美濃工業が2025年10月、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、主要サーバーが暗号化され、約300GBが外部へ送られた形跡があり、約60GBがネット上で公開された。

対象者は？

取引先企業の情報を含むデータが公開された。個人情報は、ダークサイト上での公開は確認されていないが、流出の可能性は完全には否定できないとされている。件数と対象者の範囲は発表されていない。

取引先や関係者の方は、美濃工業からの個別の連絡や公式のお知らせをご確認ください。公式発表のURLは、渡された出典には含まれていません。

TECH+：美濃工業が問題点まで公開した理由 ↗ScanNetSecurity：個人情報が漏えいした可能性を完全に否定できない状況 ↗

いますぐできること

  • 美濃工業の取引先の方は、同社から届く連絡を確認し、不審なメールや連絡には注意する。
  • 自社のVPNに使っていないアカウントがないか確認し、不要なものを削除する。
  • VPNや管理者のアカウントに多要素認証を入れ、パスワードを長く推測されにくいものにする。

何が起きたのか

2025年10月1日夜、同社の社員用VPNの正規アカウントが不正に使われ、社内ネットワークに侵入された。10月3日夜にはサーバーの暗号化などが行われ、10月4日午前2時25分ごろ、米国に出向中の社員が異変に気付いた。24分後にネットワークを切断し、同日に第一報を公表した。その後の調査で、約300GBが外部へ送られた形跡があり、10月28日にはダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上で約60GBの公開が確認された。12月25日に最終報告と安全宣言を出し、2026年2月19日にも個人情報漏えいの可能性に関する報告を出した。

なぜ起きたのか・なぜ広がったのか

侵入に使われたのは、2025年4月に役員の海外出張のため一時的に作られたVPNアカウントだった。IDとパスワードの強度が低く、利用後も残っていた。ファームウェアは最新で、既知の脆弱性を突いた攻撃ではなかったとされる。侵入後は管理者権限も奪われ、被害が広がった。

いまの状況2026-05-29 時点続報待ち

2025年12月25日の最終報告で、同社は現在のIT環境は安全だとしている。主要システムの応急復旧は完了し、生産・出荷・金融機関との取引への影響はないとしている。身代金は支払わない方針で、今後約1年でVPNの多要素認証やActive Directoryの再構築などを進める。漏えい件数と金銭的な影響額は、まだ発表されていません。

企業として考えたいこと

あなたの会社のVPNに、一時的に作ったまま残っているアカウントや、多要素認証のないアカウントはありませんか。

技術的な要約

美濃工業は2025年10月1日から4日にかけて、ランサムウェアグループ「SafePay」による攻撃を受けた。侵入はFortiGateのSSL-VPNを経由した、2025年4月に一時利用目的で作成された正規VPNアカウントの悪用で、ファームウェアは最新で既知の脆弱性を突いたものではないとされる。ドメインコントローラー、ESXiを含む主要業務系サーバーや一部クライアントPCが暗号化され、主要ファイルサーバーからデータが取得された。通信ログからは約300GBが外部へ送信された形跡があり、10月28日にはダークウェブ上で約60GBの公開が確認された。同社は2025年12月25日に最終報告と安全宣言を公表したが、2026年2月19日にも個人情報漏えいの可能性に関する報告を出しており、個人情報の漏えい可能性は完全には否定されていない。

公開情報が限られている点について
渡された出典は報道6件のみで、被害組織の公式発表URLは含まれない（sources 8件以上・公式1件以上の最低量未達）。金銭影響・漏えい件数・中核業務の停止日数は公表情報から読み取れないため null とした。
侵入
2025-10-01 19:31
被害発生
2025-10-01
検知
2025-10-04 02:25
第1報公表
2025-10-04
最新続報
2026-05-29
侵入 → 検知
3日
侵入日から算出
検知 → 公表
0日
データ（上限）
—
確定 —
波及先
—

攻撃の分類

侵入口
VPN/境界機器公表で確認
FortiGateのSSL-VPNを経由した正規VPNアカウントの悪用。当該アカウントは2025年4月に海外出張する役員の一時利用のため例外的に作成され、ID・パスワードの強度が極めて低く、利用終了後も削除されずに残っていた。2025年5月以降に組織外IPからのログイン成功の形跡がある。侵入後にWindowsサーバーの管理者権限が奪取され、管理者アカウントはパスワード強度が低くSIDも初期設定のままだったため容易に特定されたとみられている。
脆弱性
CVE 非公表公表で確認
FortiGate（SSL-VPN）
ファームウェアは最新で、既知の脆弱性を突いた攻撃ではなかったとしている。認証情報の窃取／不正取得が起点とされ、脆弱性悪用ではない。
攻撃者
SafePay 被害組織が認めた
2025年10月25日にダークウェブ上で同社へのサイバー攻撃を主張。ただしサンプル情報は公開されておらず、当時は真偽不明とされた。
ATT&CK
T1078 Valid AccountsT1133 External Remote ServicesT1486 Data Encrypted for ImpactT1070.004 Indicator Removal: File Deletion

影響

業務停止
あり ドメインコントローラー（Active Directory）、ESXiを含む主要業務系サーバー、一部クライアントPCが暗号化され、ファイル暗号化・サーバー初期化が確認された。バックアップは無事で、直前の木曜日のデータでおおむね復元でき、土曜日のうちに生産活動再開の目処が立った。生産設備自体はシステムやPCを経由せずアナログで動かせた。最終報告では、主要システムの応急復旧は完了し、生産活動・出荷・金融機関との取引への影響はないとしている。
データ
おそれ上限 —確定 —
取引先情報業務データ
通信ログ分析で10月2日夜から4日早朝にかけて約300GBが外部へ送信された形跡。10月28日にダークウェブ上のサイトで同社データ約60GBの公開を確認（翌29日にサイト閉鎖）。公開データには取引先企業の情報が含まれていた。第四報では顧客情報・個人情報の一部流出を確認したと発表されたが、最終報告では個人情報のダークサイト上での公開は確認されていないものの流出の可能性は完全には否定できないとしている。件数は公表されていない。
波及先
—
  • 公開データに取引先企業の情報が含まれていた
  • 取引先への二次被害は、現時点で具体的な不正利用や被害は確認されていない（第四報時点）
金銭影響
—
サプライチェーン
委託先や製品提供元を経由した侵害ではなく、自社の社員用VPNアカウントの悪用が起点。ただし公開データには取引先企業の情報が含まれていた。

時系列

  1. 2025-04
    海外出張する役員が急遽VPNを使うため、一時利用の正規VPNアカウントが作成された。強度の低いID・パスワードで、利用終了後も削除されずに残った。12
  2. 2025-05
    この頃以降、組織外IPアドレスからVPNログインが成功していた形跡がある。2
  3. 2025-10-01 19:31
    社員用VPNアカウントを正規ID/パスワードの不正利用で悪用され、社内ネットワークへ侵入された。34
  4. 2025-10-01 20:32
    システム管理者アカウント権限が悪用され、組織内探索、クライアント端末の制御権奪取、複数端末を出口にしたデータ搾取が10月4日04:45のVPN切断まで続いた。34
  5. 2025-10-03 20:58
    システム破壊、ファイル暗号化、サーバー初期化が実行された。3
  6. 2025-10-04 01:21
    ランサムノートが社内フォルダへ配置された（社長側の説明では午前1時20分ごろ）。31
  7. 2025-10-04 02:25
    米国出向中の社員が本社サーバーのデータ閲覧不能とランサムノートに気付き、攻撃を確認した。13
  8. 2025-10-04 02:49
    ネットワークを遮断した（情報管理課課長が自宅から遠隔操作、経営層の判断を仰がず実行）。31
  9. 2025-10-04 04:45
    VPNを切断した。34
  10. 2025-10-04
    第一報を公開。顧客・関係各所・警察へ連絡し、受注・生産・出荷・資金決済系システムの確認と復旧を開始した。バックアップは無事で、土曜日のうちに生産再開の目処が立った。31
  11. 2025-10-08
    個人情報保護委員会へ流出可能性を報告した。3
  12. 2025-10-10
    フォレンジック調査を本格開始した。3
  13. 2025-10-21
    第三報を公表（この時点では通信量を「極小容量」と評価）。43
  14. 2025-10-25
    SafePayがダークウェブ上で同社への攻撃を主張した（サンプル情報は未公開）。3
  15. 2025-10-28
    攻撃者運営のダークウェブ上サイトで同社データ約60GBの公開を確認した。翌29日にサイトは閉鎖された。23
  16. 2025-11-03
    第四報を発表。「極小容量の通信」から「相当量の通信」に訂正し、約300GBの不正な通信量と顧客情報・個人情報の一部流出を確認したとした。34
  17. 2025-12-25
    最終報告および安全宣言を発表した。25
  18. 2026-02-19
    個人情報漏えいの可能性に関する報告を発表した。6
  19. 2026-05-29
    TECH+が、同社が自社の問題点まで公開した経緯とEDR・多要素認証の導入済み対策について報じた。1

技術解説

攻撃の構造：正規VPNアカウントから管理者権限、暗号化まで 事実

公表によると、侵入経路はFortiGateのSSL-VPNを経由した正規VPNアカウントの悪用で、ファームウェアは最新、既知の脆弱性を突いた攻撃ではなかったとされる。10月1日19:31に侵入され、20:32にはシステム管理者アカウント権限が悪用された。以降、組織内探索、クライアント端末の制御権の詐取、複数端末を出口にしたデータ詐取が、10月4日4:45のVPN切断まで続いた。10月3日20:58にシステム破壊・ファイル暗号化・サーバー初期化が実行され、10月4日1:21にランサムノートが社内フォルダへ置かれた。ドメインコントローラー、ESXiを含む主要業務系サーバー、一部クライアントPCが暗号化され、主要ファイルサーバーからデータが取得された。

侵入口となったアカウントの状態と被害の広がり 事実

問題のVPNアカウントは2025年4月に、海外出張する役員の一時利用のため例外的に作成された。ID・パスワードの強度は極めて低く、利用終了後も削除されずに残っていた。2025年5月以降に組織外IPアドレスからログインが成功していた形跡があり、10月1日に本格的な侵害活動が始まったと説明されている。侵入後はWindowsサーバーの管理者権限が奪取された。管理者アカウントはパスワード強度が低く、SIDも初期設定のままだったため、攻撃者に容易に特定されたとみられている。データ面では、通信ログから10月2日夜〜4日早朝に約300GBが外部へ送信された形跡があり、10月28日にダークウェブ上で約60GBの公開が確認された。公開データには取引先企業の情報が含まれていた。

解釈：一時的な例外対応が残る問題と、初動の速さ 解釈

以下は事実から読み取れる解釈である。まず、期限付きの例外アカウントが失効の仕組みを持たないまま残りうる点は、多くの組織に共通する構造的な課題とみられる。VPNに多要素認証が無い状態では、パスワードの強度が侵入を防ぐほぼ唯一の要素になる。その後に管理者アカウントの強度不足や初期設定のSIDが重なり、被害が域内全体へ広がったと考えられる。一方で、発覚から24分でのネットワーク遮断や、無事だったバックアップによる早期の生産再開の見通しは、被害の拡大を抑えたとみられる。生産設備がシステムを経由せずアナログで動かせた点も、事業継続に寄与した可能性がある。ただし、これらの因果関係は公表資料だけでは断定できない。

公表の経過と評価：訂正を含む段階的な開示 解釈

同社は攻撃確認当日の10月4日に第一報を出し、計5回にわたり段階的に開示した。第四報（11月3日）では、第三報までの「極小容量の通信」という評価を「相当量の通信」に訂正し、約300GBの不正な通信量と顧客情報・個人情報の一部流出を確認したと発表した。12月25日には最終報告と安全宣言を公表したが、最終報告では個人情報のダークサイト上での公開は確認されていないものの、流出の可能性は完全には否定できないとしている。2026年2月19日にも個人情報漏えいの可能性に関する報告が出ている。調査の進展に応じて評価を改め、その訂正を明示した点は、公表のあり方として参考になるとみられる。一方、漏えい件数や個人情報の範囲は、渡された資料からは読み取れない。

対応

封じ込め
攻撃確認から24分後（02:49）にネットワークを切断し、約2時間後にVPNも遮断、PC起動禁止とメール送信停止を全社周知した。各拠点間の通信回線切断、外部VPN接続停止、感染疑い端末の隔離を実施。バックアップから生産に必要なシステムを順次復元し、全ユーザーアカウント（悪用された管理者アカウント含む）のパスワードを変更した。EDR/振る舞い検知の導入、全サーバー・端末のスキャン、VPNを含む入口の全封鎖（当面再開予定なし）を行い、今後約1年でVPNへの多要素認証、Active Directory再構築、パスワードポリシー厳格化、セグメンテーション、EDRとSOCによる24時間監視体制を整備するとした。身代金は支払わない方針。
公表の仕方
攻撃確認当日（2025年10月4日）に第一報を公開し、計5回にわたり段階的に開示。第四報（11月3日）で第三報までの評価を「極小容量」から「相当量」に訂正した。12月25日に最終報告・安全宣言を発表し、2026年2月19日に個人情報漏えいの可能性に関する報告を公表した。
当局対応
  • 警察
  • 個人情報保護委員会（2025-10-08に流出可能性を報告）
  • 主要取引先（報告）

教訓と対策

教訓具体的な対策
一時利用のVPNアカウントが、用が済んだ後も削除されずに残っていた例外アカウントには作成時に有効期限を必ず設定し、IdPやFortiGateのユーザー定義で自動失効させる。四半期ごとに未使用・期限切れアカウントを棚卸しして削除する。
VPNが、強度の低いID・パスワードだけで利用できる状態だったSSL-VPNの全ユーザーに多要素認証（FortiTokenやSAML連携）を必須化する。パスワードポリシーで最小長と漏えいパスワード照合を強制する。
管理者アカウントのパスワードが弱く、SIDも初期設定のままで容易に特定された特権アカウントは名前を変更し、長いランダムパスワードを使う。LAPSで端末ごとに管理し、Tierモデルで管理権限を分離する。特権ログオンを監視する。
外部IPからのVPNログイン成功が2025年5月以降続いていたが、10月まで検知されなかった可能性があるVPNログをSIEMへ集約し、未登録IPや海外IPからの成功ログイン、深夜帯のログインにアラートを設定する。EDRとSOCによる24時間監視を整備する。
バックアップが無事だったため復旧が速かった。一方で約300GBの外部送信があったバックアップは本番ADと別の認証基盤に置き、オフラインまたは不変（イミュータブル）の保管を併用する。ファイルサーバーからの大量外向き通信をプロキシ・FWで閾値検知し、遮断手順を事前に定める。

自組織などでの確認項目

  1. 自組織のVPNアカウントのうち、期限切れ・未使用・一時利用のものは何件あり、削除や失効の手順は定められているか。
  2. VPNと管理者アカウントに多要素認証は適用されているか。適用されていない例外はどこにあるか。
  3. 夜間・休日に攻撃の兆候を見つけたとき、経営層の判断を待たずにネットワークを遮断できる権限と手順が、現場に与えられているか。
  4. 外部IPからのVPNログイン成功や、大量の外向き通信を検知できるログと監視の仕組みはあるか。

未解明点

  • 個人情報の漏えい件数と対象者の範囲は、渡された資料では公表されていない。
  • 2025年5月以降の組織外IPからのログインが誰によるもので、10月までの間に何が行われたのかは明らかでない。
  • 約300GBの送信データのうち、約60GB公開分以外の内容と行方は明らかでない。
  • 金銭的な影響額や、復旧にかかった日数（中核業務の停止日数）は公表されていない。

出典

  1. 1
  2. 2
    美濃工業、ランサムウェアによるサイバー攻撃の被害 最終報告を公表
    セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-05報道本文確認済
  3. 3
    美濃工業へのサイバー攻撃の情報 漏洩「極小」から「相当量」-ランサムウェア グループ SafePayが犯行声明
    セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-04報道本文確認済
  4. 4
  5. 5
  6. 6