業務委託先アクリーティブへのランサムウェア攻撃（PPIHグループ・オプト等の取引先情報を含むサーバが暗号化、流出の痕跡は未確認）
公表日
パン・パシフィック・インターナショナルホールディングス（PPIH）などが伝票処理を委託するアクリーティブ株式会社のサーバがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。で暗号化されました。取引先の氏名や口座情報などが対象となり得ますが、これまでの調査で外部への流出の痕跡は確認されていません。
対象者は？
PPIHおよびグループ会社と取引のある取引先（氏名・屋号、住所、電話番号、支払い口座を含む取引情報）と、パートナーへの支払い処理をした従業員（氏名・申請時の部署名）の情報が対象となり得ます。法人のお客様は、現時点で個人情報を含まない想定とされています。オプトも取引先情報を含むデータが暗号化されたと発表しています。件数は発表されていません。
PPIHの公表文で対象となり得る情報の範囲を確認できます。個別の連絡の有無や方法については、まだ発表されていません。
いますぐできること
- PPIHなど取引のある会社の公式のお知らせを確認し、自分の情報が対象となり得る範囲か確かめる。
- 支払い口座や取引に関する不審な連絡や問い合わせがあれば、相手の連絡先を自分で調べ直して、取引先の窓口に確認する。
何が起きたのか
2025年8月25日、アクリーティブで外部業者がファイアウォール（通信の出入口を守る機器）を交換した直後に、サーバ監視システムが攻撃の可能性を検知しました。従業員が確認すると、ファイルサーバーを含む一部のサーバが暗号化されて見られない状態でした。同社は機器を再交換し、外部からの接続を遮断しました。PPIHは10月10日に公表し、個人情報保護委員会へ報告済みです。10月22日にはアクリーティブが調査結果を公表し、流出の痕跡は確認できなかったとされました。11月10日にはオプトも、取引先情報を含むデータが暗号化されたと発表しました。
なぜ起きたのか・なぜ広がったのか
PPIHの公表は、外部からサイバー攻撃を受けてサーバがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。により暗号化されたとしており、侵入経路は具体的に示されていません。報道では、8月24日の機器入替で、業者の事前設定ミスにより一部機能が止まった状態で設置され、外部からの攻撃が成立したと伝えられています。複数の会社が同じ委託先に業務を任せていたため、PPIHグループ、オプト、日本シューターなどに影響が及んだと報じられています。
いまの状況2025-12-03 時点続報待ち
2025年12月3日時点で、PPIHは漏えいの事実や二次被害は確認されていないとしています。ただし暗号化されたサーバの復元には至っておらず、漏えいの可能性は完全には否定できないと説明しています。アクリーティブ側では、不審なアクセスのあった機器は交換済みで、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。（通常の検索では見えない場所）の監視を続けており、流出が判明すれば改めて報告する方針と報じられています。PPIHは委託先を含め情報管理体制を見直すとしています。復旧の時期や件数は、まだ発表されていません。
企業として考えたいこと
自社が取引先の口座情報などを委託先に預けているとき、その委託先でサーバが暗号化されたら、何が止まり、どの情報が影響を受け得るかを、今すぐ説明できるでしょうか。
技術的な要約
PPIHおよびグループ会社が伝票処理等を委託するアクリーティブ株式会社のサーバが外部から不正アクセスを受け、ランサムウェアにより暗号化された。2025年8月25日、外部業者によるファイアウォール交換作業の直後に同社のサーバ監視システムが攻撃の可能性を検知し、ファイルサーバーを含む一部サーバが閲覧不能と確認された。PPIHは2025年10月10日に公表し、対象となり得る情報は取引先の氏名（屋号）・住所・電話番号・支払い口座情報と、支払い処理を行った従業員の氏名・部署名とした。アクリーティブは10月22日の調査結果で、フォレンジックで外部流出の痕跡は確認されなかったとされる。原因は報道によれば8月24日のファイアウォール入替時のベンダーの事前設定ミスで、オプトや日本シューターにも影響が及んだ。ダークウェブ監視は継続中で、流出が判明すれば改めて報告する方針とされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明報道・研究者PPIH公表は「外部よりサイバー攻撃を受け、サーバ内がランサムウェアにより暗号化」とのみ記し、侵入経路は具体的に示していない。報道では、2025年8月24日のファイアウォール入替作業でシステムベンダーの事前設定ミスにより一部機能が停止した状態で機器が設置され、外部からのサイバー攻撃が成立したとされる。侵入に使われた具体的な手法は不明。
- 脆弱性
- CVE 非公表報道・研究者ファイアウォール（製品名非公表）CVEの公表なし。入替作業時の設定ミス（一部機能停止状態での設置）が原因と報じられている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 委託先のファイルサーバーを含む一部のサーバが暗号化され閲覧不能となった。PPIH公表時点（2025年10月10日）でも暗号化されたサーバの復元には至っていないとされる。
- データ
- おそれ上限 —確定 —氏名住所電話口座従業員情報取引先情報対象となり得る情報は、取引先の氏名（屋号）・住所・電話番号・お支払い口座を含む取引情報と、パートナーへの支払い処理を行った従業員の氏名・申請時の部署名。法人顧客は現時点で個人情報を含まない想定。ログ解析では外部漏えいの可能性は低いとされ、フォレンジックでも流出の痕跡は確認されていない。件数は公表されていない。
- 波及先
- —
- PPIHおよびグループ会社
- 株式会社オプト（取引先情報を含むデータが暗号化）
- 日本シューター（請求書のシステム登録を委託、影響を受けたと報道）
- 金銭影響
- —
- サプライチェーン
- PPIH、グループ会社、オプトなどの業務委託先であるアクリーティブのサーバが攻撃を受け、委託元から受領した情報も暗号化された。PPIHにとっては委託先経由の被害。
時系列
- 2025-08-24アクリーティブでファイアウォールの入替作業。システムベンダーの事前設定ミスで一部機能が停止した状態で設置されたと報じられている。2
- 2025-08-25外部業者のファイアウォール交換作業の直後に、サーバ監視システムがサイバー攻撃の可能性を検知した。1
- 2025-08-25
- 2025-08-25
- 2025-09-05ダークウェブ監視を開始した（継続中）。2
- 2025-09-128月25日から続いたフォレンジック調査が終了。サーバやファイアウォール等の機器とネットワーク上の流通経路で外部持ち出しの痕跡を確認した。2
- 2025-09-29最終報告で、外部へのデータ流出の痕跡は確認されていないとされた。2
- 2025-10-10
- 2025-10-22
- 2025-11-10オプトが、委託先アクリーティブのサーバ被害により取引先情報を含むデータが暗号化されたと発表した。5
技術解説
公表されている事実経過 事実
PPIHの公表によると、PPIHおよびグループ会社が伝票処理等を委託するアクリーティブ株式会社のサーバに不正アクセスがあり、取引のあるお客様の情報を含むサーバが暗号化された。2025年8月25日、委託先で外部業者がファイアウォールの交換作業を実施した直後に、委託先のサーバ監視システムがサイバー攻撃の可能性を検知した。従業員の確認で、ファイルサーバーを含む一部のサーバが暗号化され閲覧不能と判明した。委託先はファイアウォールを再交換し、攻撃を受けたサーバの外部経路からの接続を遮断した。サーバ内はランサムウェアにより暗号化され、委託元から受領した情報も暗号化されたものと考えられるとされている。
対象となり得る情報と流出調査の結果 事実
PPIHが示した対象となり得る情報は、取引先の氏名（屋号）・住所・電話番号・お支払い口座を含む取引情報と、パートナーへの支払い処理を行った従業員の氏名・申請時の部署名である。法人のお客様は現時点で個人情報を含まない想定とされた。ログ解析では外部への漏えいの可能性は低いとの報告を受けているが、暗号化されたサーバの復元には至っておらず、漏えいの可能性は完全には否定できないと説明された。報道によれば、フォレンジック調査は8月25日〜9月12日に行われ、9月29日の最終報告と10月22日の公表でも流出の痕跡は確認されていない。ダークウェブ監視は9月5日から継続中で、二次被害も確認されていない。件数は渡された出典に記載がない。
報じられた原因と取引先への広がり 事実
ScanNetSecurityなどの報道によれば、2025年8月24日のファイアウォール入替作業で、システムベンダーの事前設定ミスにより一部機能が停止した状態で機器が設置され、外部からの攻撃が成立したとされる。ただしPPIHの公表は8月25日の交換作業直後の検知として記しており、日付には差がある。侵入に使われた具体的な手法は、渡された出典には示されていない。影響は他の委託元にも及んだと報じられている。オプトは11月10日、委託先のサーバ被害により取引先情報を含むデータが暗号化されたと発表した。請求書のシステム登録を委託していた日本シューターも影響を受けたと報じられている。
委託先の変更作業が持つ意味（解釈） 解釈
報道どおりであれば、今回の被害は攻撃手法の巧妙さより、機器入替という通常の変更作業の過程で防御が一時的に弱まった点に特徴がある。ただし侵入経路は公表されておらず、設定ミスと侵入の因果は報道ベースにとどまる。また、1社の委託先に複数の委託元のデータが集まる構造では、委託先の障害が複数の組織に同時に波及しうる。PPIHやオプトのように、自社の環境が無事でも取引先情報が暗号化される事態が起きる。委託元が委託先の変更管理や復旧体制をどこまで把握できていたかは、公表からは分からない。いずれも一般的な見方であり、個別組織の対応の優劣を述べるものではない。
対応
- 封じ込め
- ファイアウォールの再交換と、攻撃を受けたサーバの外部経路からの接続遮断を実施した。不審なアクセスのあった機器は交換済み。専門機関によるフォレンジック調査（2025年8月25日〜9月12日）とダークウェブ監視（9月5日〜継続）を行っている。
- 公表の仕方
- PPIHは2025年10月10日に公表。暗号化されたサーバの復元に至らず、漏えいの可能性を完全には否定できないため。現時点で漏えいの事実や二次被害は確認されていない。今後は委託先を含め情報管理体制を見直すとしている。
- 当局対応
- 個人情報保護委員会（PPIHグループ各社および委託先が個人情報保護法に基づき報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 境界機器の入替・更新は、設定の確認が済むまで攻撃を受けやすい時期になる。 | 入替作業の手順書に、設置後の疎通・機能有効化チェック（IPS・フィルタ・管理面の制限）と第三者によるレビューを必須項目として入れる。作業完了前にポートスキャンで外部から見える口を確認する。 |
| 作業直後の異常は、監視によって早期に検知できた。作業時間帯の監視は有効である。 | 変更作業の時間帯は、サーバ監視のアラート閾値を厳しくし、担当者がリアルタイムで確認する体制にする。EDRの隔離操作を即時に実行できる権限を事前に割り当てる。 |
| 委託先に預けたデータの範囲と、委託先の復旧能力を委託元が把握しておく必要がある。 | 委託先に預けるデータの項目を台帳化し、支払い口座などは必要最小限にする。委託契約に、変更管理・バックアップ・インシデント通知期限の条項を入れ、年1回確認する。 |
| 暗号化されたサーバが復元できないと、漏えいの有無を完全には否定できず、公表や通知の判断が難しくなる。 | ファイルサーバのバックアップをオフライン／イミュータブルな領域に3-2-1方式で保持し、復元訓練を定期的に行う。ログを別システムへ転送して保全する。 |
| 1社の委託先の障害が、複数の委託元に同時に波及する。 | 委託先を含む連絡網と影響範囲の確認手順を整備し、委託先で障害が起きた際に自社が保有するデータを即時に洗い出せるよう、委託先ごとのデータ一覧を用意する。 |
自組織などでの確認項目
- 自組織のファイアウォールなど境界機器の入替・更新作業では、設置後に設定が有効になっていることを誰がどの方法で確認しているか。
- 委託先に預けている情報の種類（口座情報や従業員情報など）を一覧で説明でき、その保管場所と復旧手段を把握しているか。
- 委託先がランサムウェア被害を受けたとき、自組織が連絡を受ける期限と経路、公表や当局報告の判断者は決まっているか。
- 暗号化されたデータを復元できない場合に、漏えいの有無を判断するためのログや調査手段は自組織に残っているか。
未解明点
- 侵入に使われた具体的な手法と、設定ミスとの因果関係は公表されているか。
- 暗号化されたサーバの復元状況と、業務の再開時期はどうなっているか。
- 対象となる取引先や従業員の件数と、個別通知の有無・範囲はどうなっているか。
- 委託先を含む情報管理体制の見直しで、具体的にどのような再発防止策が実施されるのか。
出典
- 1株式会社パン・パシフィック・インターナショナルホールディングス2025-10-10公式本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2025-10-24報道本文確認済
- 3ScanNetSecurity2025-10-22報道本文確認済
- 4ScanNetSecurity2025-10-31報道本文確認済
- 5ScanNetSecurity2025-12-03報道本文確認済