PPIHの伝票処理委託先アクリーティブへのランサムウェア攻撃（顧客・従業員情報を含むサーバが暗号化、流出の痕跡は未確認）
公表日
パン・パシフィック・インターナショナルホールディングス（PPIH）とグループ各社が伝票処理等を委託するアクリーティブ株式会社のサーバがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。で暗号化され、顧客の取引情報などが対象となる可能性があります。件数はまだ発表されていません。
対象者は？
PPIHグループ各社とお取引のある顧客の、氏名（屋号）・住所・電話番号・お支払い口座を含む取引情報と、パートナーへの支払い処理を行った従業員の氏名・部署名（申請時）が対象となる可能性があります。法人顧客には個人情報は含まれないと現時点で想定されています。人数や件数は発表されておらず、ここに挙げた以外の情報については、公表に記載がありません。
個別の確認方法は、確認できた公表には記載がありません。PPIHの公式のお知らせをご覧ください。
いますぐできること
- PPIHの公式のお知らせ（PDF）を読み、自分の取引が対象となり得るか確認する。
- 取引に使っている口座の入出金明細に、身に覚えのない動きがないか見ておく。
- PPIHやアクリーティブを名乗る不審な連絡があっても、すぐに応じず、公式の窓口で確かめる。
何が起きたのか
2025年8月25日、アクリーティブで外部の業者がファイアウォール（外部からの通信を守る装置）の交換作業をした直後に、同社の監視システムが攻撃の可能性を知らせました。従業員が確認したところ、ファイルサーバーを含む一部のサーバが暗号化されて開けない状態でした。同社は装置を交換し直し、攻撃を受けたサーバへの外部からの接続を遮断しました。PPIHは2025年10月10日にこの件を公表しました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。も行われています。その後、同年11月にはオプトも、アクリーティブのサーバにあった取引先情報を含むデータが暗号化されたと発表したと報じられています。
なぜ起きたのか・なぜ広がったのか
PPIHの公表では、委託先のサーバが外部から攻撃を受けてランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。で暗号化され、預けていた情報も暗号化されたと考えられるとされています。侵入の経路の詳細は公表に書かれていません。報道では、8月24日の装置の入れ替えの際、事前の設定の関係で一部の機能が止まった状態だったとされています。委託先のサーバに複数の会社の情報があったため、PPIHグループ以外にも影響が出たと報じられています。
いまの状況2025-12-03 時点続報待ち
2025年12月3日時点で、外部への情報漏えいは確認されていません。PPIHは、ログの解析では漏えいの可能性は低いとの報告を受けているものの、10月10日の時点で暗号化されたサーバが復元できておらず、可能性を完全には否定できないとしています。アクリーティブは10月22日にフォレンジック調査で流出の痕跡は確認できなかったと公表したと報じられ、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。の監視を続けています。二次被害も確認されていません。PPIHは、委託先を含め情報管理体制を見直すとしています。補償についてはまだ発表されていません。
企業として考えたいこと
自社の業務を委託している会社に、どんな情報を預けているでしょうか。その会社のサーバが使えなくなったとき、何がどこまで止まるのかを説明できるでしょうか。
技術的な要約
PPIHおよびグループ会社が伝票処理等を委託するアクリーティブ株式会社のサーバが外部から攻撃を受け、ランサムウェアにより暗号化された。2025年8月25日、外部業者によるファイアウォール交換作業の直後に委託先の監視システムが攻撃の可能性を検知し、ファイルサーバーを含む一部サーバの暗号化が確認された。PPIHは2025年10月10日に公表し、対象となり得る情報は顧客の氏名（屋号）・住所・電話番号・お支払い口座を含む取引情報と、支払処理を行った従業員の氏名・部署名とした。外部への情報漏えいは確認されておらず、ログ解析では漏えいの可能性は低いとされるが、暗号化サーバが復元できておらず可能性は完全には否定されていない。報道では、ファイアウォール入替時のベンダーの設定ミスで一部機能が停止した状態だったとされる。二次被害は確認されておらず、アクリーティブは10月22日にフォレンジック調査で流出の痕跡は確認できなかったと公表した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器報道・研究者PPIH公表では「外部よりサイバー攻撃を受け、サーバ内がランサムウェアにより暗号化」とあり、侵入経路の詳細は記載がない。報道では、2025年8月24日のファイアウォール入替作業でシステムベンダーの事前設定ミスにより一部機能が停止した状態で機器が設置され、外部からの攻撃が成立したとされる。
- 脆弱性
- CVE 非公表報道・研究者ファイアウォール（製品名非公表）CVEの公表なし。入替時の事前設定ミスにより一部機能が停止していたと報じられている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 委託先アクリーティブのファイルサーバーを含む一部サーバが暗号化されて閲覧不能となり、システム障害が発生。PPIH側の業務への影響の詳細は公表されていない。
- データ
- おそれ上限 —確定 —氏名住所電話口座取引先情報従業員情報対象となり得る情報は、顧客の氏名（屋号）・住所・電話番号・お支払い口座を含む取引情報（法人顧客には個人情報は含まれないと想定）と、パートナーへの支払処理を行った従業員の氏名・部署名（申請時）。件数は公表されていない。外部への漏えいは確認されておらず、ログ解析では可能性は低いとされるが、暗号化サーバが復元できておらず完全には否定できない。
- 波及先
- —
- PPIHおよびグループ各社
- 株式会社オプト（取引先情報を含むデータが暗号化）
- 日本シューター（請求書のシステム登録を委託、影響を受けたと報道）
- 金銭影響
- —
- サプライチェーン
- PPIHおよびグループ各社が伝票処理等を委託するアクリーティブ株式会社のサーバが侵害された。同社の委託元として、オプトや日本シューターにも影響が報じられている。
時系列
- 2025-08-24報道によると、アクリーティブでファイアウォール入替作業が行われ、システムベンダーの事前設定ミスにより一部機能が停止した状態で機器が設置された。2
- 2025-08-25委託先で外部業者がファイアウォール交換作業を実施した直後に、サーバ監視システムがサイバー攻撃の可能性を検知した。1
- 2025-08-25委託先従業員の確認で、ファイルサーバーを含む一部サーバが暗号化されて閲覧不能な状態と判明した。1
- 2025-08-25委託先がファイアウォールを再交換し、攻撃を受けたサーバの外部経路からの接続を遮断した。1
- 2025-08-25アクリーティブが同社ネットワークへの不正アクセスとシステム障害を発表した。3
- 2025-08-29アクリーティブが第二報を発表した。4
- 2025-09-05アクリーティブがダークウェブ監視を開始した（以後継続）。2
- 2025-09-12フォレンジック調査（8月25日〜9月12日）が完了した。サーバ・ファイアウォール等の機器とネットワーク上の流通経路で外部持ち出しの痕跡を確認した。2
- 2025-09-29アクリーティブの最終報告で、外部へのデータ流出の痕跡は確認されていないとされた。2
- 2025-10-10
- 2025-10-22アクリーティブが外部専門会社の調査結果を公表し、情報流出の痕跡は確認できず、不審なアクセスが見られた機器は交換済みとした。2
- 2025-11-10株式会社オプトが、委託先アクリーティブのサーバへの不正アクセスにより取引先情報を含むデータが暗号化されたと発表した。6
技術解説
公表された経緯と被害の範囲 事実
PPIHの公表（2025年10月10日）によると、PPIHおよびグループ各社が伝票処理等を委託するアクリーティブ株式会社のサーバに不正アクセスがあり、グループ各社と取引のある顧客の情報を含むサーバが暗号化された。2025年8月25日、委託先で外部業者がファイアウォールの交換作業を実施した直後に、委託先のサーバ監視システムがサイバー攻撃の可能性を検知した。委託先従業員の確認で、ファイルサーバーを含む一部サーバが暗号化されて閲覧不能と判明した。委託先はファイアウォールを再交換し、攻撃を受けたサーバの外部経路からの接続を遮断した。PPIHは、委託先が運用・管理するサーバがランサムウェアにより暗号化され、受領した情報も暗号化されたものと考えられるとしている。
対象情報と漏えいの評価 事実
PPIHによると、対象となる可能性のある情報は、顧客の氏名（屋号）・住所・電話番号・お支払い口座を含む取引情報と、パートナーへの支払い処理を行った従業員の氏名・部署名（申請時）である。法人顧客には個人情報は含まれないと現時点で想定されている。件数は公表されていない。外部への漏えいは確認されておらず、サーバやネットワーク機器のログ解析では漏えいの可能性は低いとの報告を受けているが、暗号化サーバの復元に至っておらず、可能性は完全には否定できないとしている。二次被害は確認されていない。10月22日にはアクリーティブの調査結果として、フォレンジック調査で情報流出の痕跡は確認できなかったと報じられた。
報道された侵入の経緯 事実
報道によると、2025年8月24日のファイアウォール入替作業で、システムベンダーの事前設定ミスにより一部機能が停止した状態で機器が設置され、外部からのサイバー攻撃が成立してサーバへの不正アクセスと暗号化が発生したとされる。この内容はPPIHの公表には含まれず、PPIHの公表では交換作業と検知は8月25日とされている。別の報道では、アクリーティブは8月25日未明にセキュリティ業者から連絡を受け、不正アクセスによるシステム障害が判明していたとされる。ファイアウォールの製品名やCVEは、確認できた出典に記載がない。攻撃者の名称や犯行声明についても、確認できた範囲では記載がない。
委託先を介して影響が広がる構造 解釈
伝票処理のように複数の委託元の取引情報を扱う業務では、委託先1社のサーバが侵害されると、委託元が同時に影響を受け得る構造だったと考えられる。報道では、PPIHグループのほか、オプトが取引先情報を含むデータの暗号化を発表し、日本シューターも影響を受けたとされる。PPIH側から見ると、自社の環境ではなく、管理下にない委託先のサーバにある情報が対象となった。この点は、委託先の管理やデータの預け方を考える上で重要と思われる。ただし、委託先内のネットワーク分離やデータの分割状況は公表されておらず、ここで述べたことは構造面からの推測にとどまる。
公表内容の評価と残る不確実性 解釈
PPIHの公表は、対象情報の種類、漏えいは確認されていないが完全には否定できないこと、二次被害が確認されていないこと、個人情報保護委員会への報告を記載している。確認できた事実と残る不確実性を分けて書いており、読み手が判断しやすい形と読める。一方で、件数、対象となる顧客の範囲、PPIH側業務への影響、侵入経路の詳細は記載がない。報道の8月24日（入替作業）とPPIH公表の8月25日（交換作業）の日付の違いや、検知の経緯の違いは、手元の出典だけでは整理できない。アクリーティブ自身の公表は報道を通じた間接的な確認であり、一次資料での確認が望まれる。
対応
- 封じ込め
- 委託先がファイアウォールの再交換を実施し、攻撃を受けたサーバの外部経路からの接続を遮断した。不審なアクセスが見られた機器は交換済み。委託先は専門機関によるフォレンジック調査を実施し、ダークウェブ監視を2025年9月5日から継続している。
- 公表の仕方
- PPIHは2025年10月10日に「業務委託先における不正アクセス被害に関するお知らせとお詫び」を公表。対象情報の種類、漏えいは確認されていないが完全には否定できないこと、二次被害は確認されていないことを記載した。アクリーティブは8月25日の第1報、8月29日の第二報、9月29日の最終報告、10月22日の調査結果公表を行った。
- 当局対応
- 個人情報保護委員会（個人情報保護法に基づきPPIHグループおよび委託先が報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 境界機器の入替直後は、機能が意図どおり有効かを検証する必要がある。報道では、入替時の事前設定ミスで一部機能が停止した状態だったとされる。 | 入替・交換作業の手順書に完了条件を設け、作業直後にルールセット・IPS・管理アクセス制限の設定差分（旧機器との diff）を取得して作業者以外が確認する。外部からポートスキャンを行い、想定外の開放がないことを確かめるまで本番切替を完了としない。 |
| 暗号化されたサーバが復元できない間は、漏えいの可能性を完全には否定できず、説明が長引く。 | ファイルサーバのバックアップをオフラインまたはイミュータブル（書換不可）で保管し、復旧手順を定期的に訓練して復旧目標時間を測る。あわせてサーバ・FW・プロキシのログを外部の保管先へ転送し、暗号化後も解析できるようにする。 |
| 委託先に預けた情報の種類と量が、事故時の影響範囲を決める。今回の対象には口座情報を含む取引情報が含まれた。 | 委託先に渡すデータ項目を棚卸しして最小化し、口座番号などはマスキングやトークン化を検討する。委託契約に保存期間と廃棄の確認方法を定め、委託先ごとのデータ一覧を台帳で管理して年1回以上更新する。 |
| 委託先の事故は、委託元からは見えにくく、検知・連絡の経路が重要になる。 | 委託契約に、インシデント発生時の通知期限と連絡窓口、フォレンジック結果の共有範囲を明記する。委託先との合同の連絡訓練を行い、自社側の個人情報保護委員会への報告の判断手順も事前に用意する。 |
| 外部への持ち出しの有無は、ログとフォレンジックの両方で確認する必要がある。委託先では、機器とネットワーク上の流通経路を対象に調査が行われたと報じられている。 | EDRとネットワークフローログ（NetFlow等）を長期保存し、大容量の外向き通信を検知するアラートを設定する。公開情報の監視（ダークウェブ監視等）を契約し、検知時の対応手順を決めておく。 |
自組織などでの確認項目
- 自組織の境界機器（ファイアウォール・VPN装置）を入替・更新する際の手順書に、作業後の設定差分の確認や外部からのスキャンによる検証が含まれているか。
- 自組織が業務委託先に預けている個人情報・口座情報などの一覧があり、項目ごとに本当に必要かを見直しているか。
- 委託先がランサムウェア被害にあったとき、何時間以内に連絡を受けられるか、契約や連絡網で確認できるか。
- 自組織の重要サーバのバックアップはオフラインまたは書換不可で保管され、復元できることを直近1年以内に試したか。
未解明点
- 対象となる顧客・従業員の件数は公表されているか（確認できた出典には記載がない）。
- 侵入経路の詳細と攻撃者の名称は、公式に明らかにされているか。
- 暗号化されたサーバの復元状況と、それに伴う漏えい評価の最終的な結論はどうなったか。
- PPIHグループ側の業務への影響の有無と期間はどうだったか。
- 報道の「8月24日の入替作業」と、PPIH公表の「8月25日の交換作業」、および検知の経緯（監視システムの検知と、セキュリティ業者からの連絡）の関係はどうなっているか。
- 再発防止策の具体的内容と、PPIHが述べた情報管理体制の見直しの結果はどうなったか。
出典
- 1株式会社パン・パシフィック・インターナショナルホールディングス2025-10-10公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-24報道本文確認済
- 3ScanNetSecurity2025-09-05報道本文確認済
- 4ScanNetSecurity2025-09-10報道本文確認済
- 5ScanNetSecurity2025-10-22報道本文確認済
- 6ScanNetSecurity2025-12-03報道本文確認済