オークマ連結子会社Okuma Europe GmbHへのランサムウェア攻撃（情報漏えいは確認されず）
公表日
オークマのドイツの連結子会社Okuma Europe GmbHで、サーバーのファイルが暗号化されるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害が2025年9月20日に確認されました。その後の調査では、個人情報や機密情報の漏えいは確認されていません。
対象者は？
第1報では、Okuma Europe GmbHが管理する従業員等の個人情報と機密情報が一部外部に漏れた可能性があるとされました。第2報では、オークマとグループ会社が管理する従業員等の個人情報・機密情報の漏えいは確認されていないとされています。取引先やお客様への影響も確認されていません。対象になりうる人数や情報の種類は発表されていません。
個別の連絡や問い合わせ窓口については、発表資料には書かれていません。オークマの公式お知らせ（第1報・第2報）で最新の内容を確認してください。
いますぐできること
- オークマやOkuma Europe GmbHの関係者は、公式のお知らせ（第1報・第2報）を確認する。
- 会社や取引先から個別の案内が届いた場合は、その内容に従う。
何が起きたのか
2025年9月20日（土）、ドイツにあるオークマの連結子会社Okuma Europe GmbHのサーバーに第三者が不正に入り、保存されていた各種ファイルが暗号化されていることが確認されました。同社はすぐに現地の警察等に相談し、外部の専門家の支援を受けて調べと復旧を進めました。9月25日の第1報では、従業員等の個人情報や機密情報が一部外部に漏れた可能性があると発表されました。11月6日の第2報では、調査の結果、漏えいは確認されていないと発表されました。
なぜ起きたのか・なぜ広がったのか
なぜ起きたのか、なぜ広がったのかは、まだ発表されていません。第1報では、原因の把握には時間がかかる見込みとされ、第2報でも侵入経路は示されていません。
いまの状況2025-11-06 時点続報待ち
2025年11月6日の第2報の時点で、感染したシステムは復旧し、再発防止策が行われています。個人情報・機密情報の漏えいは確認されておらず、取引先やお客様への影響も確認されていません。2025年度の業績への影響は軽微とされています。原因や侵入経路の詳細は、まだ発表されていません。
企業として考えたいこと
自社の海外子会社でサーバーのファイルが突然暗号化されたとき、休日でも、誰がどの権限で被害の拡大を止め、本社に何時間以内に報告できるようになっていますか。
技術的な要約
2025年9月20日、オークマの連結子会社であるドイツのOkuma Europe GmbH（OEG社）のサーバに第三者から不正アクセスがあり、保存されていた各種ファイルが暗号化されるランサムウェア被害が確認された。オークマは9月25日に第1報を公表し、従業員等の個人情報および機密情報が一部外部に漏えいした可能性があるとした。11月6日の第2報では、感染したシステムは復旧し再発防止策を実施していること、個人情報・機密情報の漏えいは確認されていないこと、取引先や顧客への影響は確認されていないことを公表した。2025年度の業績への影響は軽微と判断している。
攻撃の分類
- 侵入口
- 不明第1報で「被害の全容、原因の把握には、今しばらく時間を要する見込み」とされ、第2報（取得できた範囲）でも侵入経路は示されていない。第三者によるサーバへの不正アクセスがあったとのみ公表されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サーバの各種ファイルが暗号化された。感染したシステムは復旧済み。業務停止の有無や日数は公表情報から読み取れない。2025年度業績への影響は軽微と判断。
- データ
- なし上限 —確定 —従業員情報第1報（2025-09-25）では、OEG社が管理する従業員等の個人情報および機密情報が一部外部へ漏えいした可能性があるとされた。第2報（2025-11-06）では、オークマおよびグループ会社が管理する従業員等の個人情報および機密情報の漏えいは確認されていないとされた。件数は非公表。
- 波及先
- —
- 金銭影響
- 本件が当グループの2025年度の業績へ与える影響は軽微と判断（金額は非公表）。
- サプライチェーン
- OEG社およびその子会社を除き、オークマとグループ会社への影響は確認されていない。取引先・顧客への影響も確認されていない。
時系列
- 2025-09-20
- 2025-09-20OEG社が管理する従業員等の個人情報および機密情報が一部外部へ漏えいした可能性があることが判明。5
- 2025-09-25
- 2025-09-25被害の全容と原因の把握には時間を要する見込みと公表。OEG社およびその子会社を除き、グループ会社への影響は確認されていないとした。5
- 2025-10-06ScanNetSecurityが第1報の内容を報道。1
- 2025-11-06オークマが第2報を公表。感染したシステムは復旧し、再発防止策を実施していると発表。4
- 2025-11-06調査の結果、オークマおよびグループ会社が管理する従業員等の個人情報・機密情報の漏えいは確認されず、取引先・顧客への影響も確認されていないと公表。2025年度業績への影響は軽微と判断。4
- 2025-11-28
技術解説
攻撃の構造と確認された被害 事実
2025年9月20日（土）、オークマの連結子会社であるドイツのOkuma Europe GmbH（OEG社）のサーバーに対する不正アクセスが発生し、サーバーに保存されている各種ファイルが暗号化されていることが確認された。オークマはこれをランサムウェア感染被害として公表している。発覚後ただちに現地の警察等関係機関へ相談し、外部専門家の支援を受けてインシデント対応チームを立ち上げ、感染被害の範囲や原因の調査と早期復旧への対応が進められた。第1報の時点で、OEG社が管理する従業員等の個人情報および機密情報が一部外部へ漏洩した可能性があることも、9月20日に判明したとされている。
第1報から第2報までの公表内容の変化 事実
オークマは2025年9月25日に第1報を公表し、被害の発生と情報漏えいの可能性を示した。あわせて、被害の全容と原因の把握には今しばらく時間を要する見込みであること、OEG社およびその子会社を除き、オークマとグループ会社への影響は確認されていないことを述べた。11月6日の第2報では、感染したシステムは復旧し再発防止策を行っていること、調査の結果、オークマおよびグループ会社が管理する従業員等の個人情報・機密情報の漏えいは確認されていないこと、お取引先様やお客様への影響は確認されていないことが示された。2025年度の業績への影響は軽微と判断されている。
公表の評価：段階的な情報提供 解釈
本件では、発覚から5日後の第1報で漏えいの可能性という「おそれ」の段階を示し、約6週間後の第2報で調査結果として「確認されていない」と更新している。おそれと確認済みを区別して段階的に伝える形は、読み手が状況の変化を追いやすいと考えられる。一方で、第2報の「確認されていない」は、漏えいがなかったと断定する表現ではない。また、第1報の「OEG社が管理する情報」と、第2報の「オークマおよびグループ会社が管理する情報」は、文言上の対象範囲が完全には一致しているように読めない。この点は、公表文だけでは範囲の違いまで判断できない。
公表されていない点と読み取りの限界 解釈
公表の範囲では、侵入経路、悪用された脆弱性、攻撃者の名称や主張、業務停止の有無と期間、暗号化の規模、個人情報の件数や種類の内訳は示されていない。第1報では原因の把握に時間を要するとされ、取得できた第2報の範囲でも侵入経路は示されていない。そのため、本件の技術的な原因や被害拡大の要因を、公開情報から評価することはできない。業績への影響が軽微とされていることは、少なくとも連結ベースでの影響が限定的と受け止められていることを示すが、現地での業務への影響の程度までは読み取れない。今後の追加公表の有無も、確認が必要である。
対応
- 封じ込め
- 発覚後ただちに現地の警察等関係機関へ相談し、外部専門家の支援を受けてインシデント対応チームを立ち上げ、被害範囲・原因の調査と早期復旧を進めた。感染したシステムは復旧し、再発防止策を実施している。
- 公表の仕方
- 2025年9月25日に第1報（被害の発生と情報漏えいの可能性）、2025年11月6日に第2報（漏えいは確認されず、システム復旧、業績影響は軽微）を公表。
- 当局対応
- 現地の警察等関係機関に相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 海外子会社も本社と同じ基準で監視・対応できる体制が要る | 海外拠点のサーバー・EDRのアラートを本社SOCまたはMDRに集約し、拠点ごとのインシデント連絡先と本社へのエスカレーション基準（例：暗号化検知から1時間以内に報告）を文書化して年1回訓練する。 |
| 休日にも検知・初動できる体制が重要 | 土日・祝日の当番表と外部専門家（DFIR）の緊急連絡契約を整備し、EDRの隔離操作を当番者が即時に実行できる権限と手順（ネットワーク隔離Runbook）を用意する。 |
| 復旧の鍵はバックアップの分離と復元手順の検証 | バックアップをイミュータブル（書き換え不可）または論理的に分離した保管先に置き、四半期ごとに主要サーバーの復元テストを実施して復旧時間（RTO）を実測する。 |
| 情報漏えいの「おそれ」と「確認」を分けて調査・公表する | 初動の手順に、ファイルサーバー・プロキシ・FWのログ保全と外部送信の有無の調査を入れ、ログ保管期間を事前に確認しておく。公表文のひな形も「おそれ」と「確認」を別欄で書ける形にしておく。 |
| グループ内での影響範囲を早期に切り分ける | 拠点間のネットワークと認証基盤（AD等）を分離するか接続を最小限に絞り、インシデント時に拠点単位で遮断できるよう、遮断手順と判断者をあらかじめ決めておく。 |
自組織などでの確認項目
- 自組織の海外子会社・関連会社のサーバーの検知アラートは、本社のSOCや担当者に届くようになっていますか。
- 土日や祝日の夜間に暗号化の兆候を検知した場合、誰がどの権限で端末やサーバーをネットワークから隔離できるか、手順書で確認できますか。
- 主要サーバーのバックアップは本番環境から分離されていますか。直近1年以内に復元テストを行い、復旧にかかる時間を測っていますか。
- 情報漏えいの可能性が出た場合に、外部への通信の有無を調べるためのログが、必要な期間だけ保管されていますか。
未解明点
- 侵入経路や原因は何か（第1報では把握に時間を要するとされ、取得できた第2報の範囲でも示されていない）
- 暗号化の規模や、業務停止の有無・期間はどうだったか
- 第1報で示された漏えいの可能性が、第2報で「確認されていない」となった調査上の根拠は何か。OEG社が管理する情報とグループ会社が管理する情報の対象範囲は同じか
- 攻撃者の名称や主張、身代金要求の有無
- 今後、調査結果や再発防止策の詳細を追加で公表する予定があるか
出典
- 1ScanNetSecurity2025-10-06報道本文確認済
- 2ScanNetSecurity2025-11-28報道本文確認済
- 3エキサイトニュース（ScanNetSecurity提供）2025-11-28報道本文確認済
- 4オークマ株式会社2025-11-06公式本文確認済
- 5オークマ株式会社2025-09-25公式本文確認済