日本毛織（ニッケ）へのサーバ不正アクセス（社員・グループ会社顧客の個人情報が漏えい、数千件想定）
公表日
日本毛織（ニッケ）のサーバに第三者が不正に入り、社員（退職者などを含む）とグループ会社の顧客の個人情報が漏れました。人数は調査中で、数千件と想定されています。
対象者は？
ニッケの社員（退職者、一部の採用応募者を含む）と、グループ会社の顧客。漏れた情報は、氏名、生年月日、性別、住所、電話番号、メールアドレス、銀行口座情報、人事情報、身分証明書記載情報、要配慮個人情報です。マイナンバーは含まれていません。上記以外のグループ企業が持つ個人情報の漏えいは確認されていません。
法令上の通知対象になる人には、ニッケから順次個別の案内が届く予定です。詳しくは公式のお知らせを確認してください。
いますぐできること
- ニッケの公式のお知らせを読み、該当しそうな場合は同社からの個別の案内を待つ。
- 身に覚えのないメール、電話、郵便に注意し、不審なリンクは開かない。
- 銀行口座やカードの利用明細に不審な動きがないか、確認する。
何が起きたのか
2025年8月6日、ニッケはユーザー管理を行うサーバで、管理者の権限を持つIDによる不審なログインに気づきました。8月7日には社内の複数のサーバで脅迫の文書ファイルが見つかり、外部から侵入されたことが分かりました。同日、悪用されたIDのパスワード変更と無効化を行い、専門企業に調査を依頼しました。8月12日には個人情報保護委員会に速報を出しました。8月21日の夜には、盗まれた個人情報を含む情報がダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上で見られる状態になっていることを確認しました。9月10日に、この件を公表しました。
なぜ起きたのか・なぜ広がったのか
侵入された経路や、管理者権限のIDがどのように使われたのかは、まだ発表されていません。報道では、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。グループのWorld Leaksが攻撃を主張していますが、ニッケの発表では攻撃者の名前は明言されていません。
いまの状況2025-09-10 時点続報待ち
2025年9月10日の公表時点で、件数は調査中で、数千件と想定されています。二次被害は現時点で確認されていません。ニッケは専門企業の協力を得て緊急のセキュリティ対策を行っており、警察への被害届の提出などで対処する考えです。侵入経路や件数の確定値については、まだ発表されていません。
企業として考えたいこと
もし自社の管理者用IDが外部の人に使われたら、いつ、誰が気づき、どのサーバまでの影響を確認できるでしょうか。
技術的な要約
日本毛織（ニッケ）は2025年8月6日、ユーザー管理を行うサーバで管理権限IDによる不審なログインを認識し、8月7日に社内の複数サーバで脅迫文書ファイルを確認して外部からの侵入が判明した。8月21日22:40頃には、窃取された個人情報を含む情報がダークウェブ上で閲覧可能になっていることを確認した。同社は2025年9月10日、社員（退職者・一部の採用応募者を含む）およびグループ会社の顧客の個人情報が漏えいしたと公表し、件数は調査中だが数千件と想定している。漏えい情報には銀行口座情報や要配慮個人情報などが含まれるが、マイナンバーは含まれず、二次被害は現時点で確認されていない。ランサムウェアグループWorld Leaksが8月21日時点で攻撃を主張しているが、ニッケの公表では攻撃者名は明言されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。ニッケは「ユーザー管理を行うサーバにおいて管理権限IDによる不審なログインを認識」と公表している。World Leaksの一部の事案ではSonicWall SMA 100の既知の脆弱性悪用が確認されているとの報道があるが、本件での悪用は示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- World Leaks 被害組織は認めていない2025年8月21日時点でニッケへのサイバー攻撃と不正アクセスを主張（セキュリティ対策Lab報道）。ニッケのリリースでは攻撃者名は明言されていない。
- ATT&CK
影響
- 業務停止
- なし 業務停止については公表されていない。
- データ
- 確定上限 —確定 —件氏名生年月日性別住所電話メール口座従業員情報本人確認書類健康情報件数は調査中で、社員等およびお客さまに関する人数は数千件と想定（公表）。確定件数・上限は未公表のため null。内容は氏名、生年月日、性別、住所、電話番号、メールアドレス、銀行口座情報、人事情報、身分証明書記載情報、要配慮個人情報。マイナンバーは含まれず、上記以外のグループ企業保有の個人情報の漏えいは確認されていない。二次被害は現時点で確認されていない。ダークウェブには合計2.3TB分がアップロードされていたとの報道があり、価格改定表、発注・依頼書のテンプレート、HPのコンテンツ、月別予算マスタ、セキュリティツールのログデータなどが確認されている。data_typesの「要配慮個人情報」は語彙上近い「健康情報」で代用したが、内訳は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- グループ会社の顧客の個人情報も漏えい対象に含まれるが、委託先経由などの公表はない。
時系列
- 2025-08-06
- 2025-08-07
- 2025-08-07不正利用された管理権限IDのパスワード変更・無効化を実施し、セキュリティ専門企業に調査・対策を依頼。各組織およびグループ会社への調査を指示。4
- 2025-08-12個人情報保護委員会に速報を提出。4
- 2025-08-21ランサムウェアグループWorld Leaksがニッケへのサイバー攻撃と不正アクセスを主張（同日時点）。2
- 2025-08-21 22:40
- 2025-09-10
- 2025-09-11セキュリティ対策Labが、World Leaksによる主張と2.3TB分の情報アップロードを報道。2
- 2025-09-22ScanNetSecurityが、管理権限IDによる不審なログインから漏えい確認までの経緯を報道。3
技術解説
公表されている経緯 事実
ニッケの公表によると、2025年8月6日にユーザー管理を行うサーバで管理権限IDによる不審なログインを認識した。8月7日には社内の複数サーバに脅迫文書ファイルが保存されていることが確認され、外部からの侵入が明らかになった。同日、不正に利用された管理権限IDのパスワード変更と無効化を実施し、セキュリティ専門企業に調査・対策を依頼した。あわせて、サーバを利用する各組織とグループ会社への調査を指示した。8月12日には個人情報保護委員会に速報を提出した。8月21日22:40頃には、窃取された個人情報を含む情報がダークウェブ上で閲覧可能な状態になっていることを確認した。そして9月10日に個人情報漏えいを公表した。
漏えいした情報と規模 事実
公表では、漏えいしたのは社員（退職者や一部の採用応募者を含む）とグループ会社の顧客に関する個人情報である。内容は氏名、生年月日、性別、住所、電話番号、メールアドレス、銀行口座情報、人事情報、身分証明書記載情報、要配慮個人情報で、マイナンバー情報は含まれていない。件数は調査中で、社員等およびお客さまの人数は数千件と想定されている。確定件数や上限値は公表されていない。二次被害は現時点で確認されていないとされる。報道（セキュリティ対策Lab）によれば、ダークウェブには合計2.3TB分の情報がアップロードされており、価格改定表、発注・依頼書のテンプレート、HPのコンテンツ、月別予算マスタ、セキュリティツールのログデータなどが確認されたという。
攻撃者の主張と公表の関係 事実
報道によると、ランサムウェアグループWorld Leaksが2025年8月21日時点でニッケへのサイバー攻撃と不正アクセスを主張している。一方、ニッケのリリースでは具体的なランサムウェアグループの名称は明言されておらず、ダークウェブへ窃取データが掲載された旨が公表されている。同じ報道は、World Leaksが2025年1月にHunters Internationalから改名し、データ窃取と脅迫に特化した攻撃を行っていると説明している。これまでに49の組織からデータを公開し、その一部はSonicWall社製の旧型VPN機器「SMA 100」の既知の脆弱性を悪用して侵入したことが確認されているとも報じられている。ただし、本件の侵入経路は今回の資料では示されていない。
管理権限IDの扱いから見える論点 解釈
公表された最初の兆候が管理権限IDによる不審なログインであった点は、特権IDの管理や監視が防御の焦点になりうることを示唆する。管理権限IDはユーザー管理サーバだけでなく、社内の複数サーバへの展開や情報の持ち出しにも影響しうる権限であり、その利用状況の可視化が初動の質を左右すると考えられる。ただし、このIDがどのように使われるに至ったか、つまり認証情報の入手経路や、侵入が8月6日より前に始まっていたかは公表されていない。World Leaksの手口に関する報道も、本件への適用が示されているわけではない。したがって、原因を特定の脆弱性や管理不備に結びつけることはできず、現時点では判断を保留すべきである。なお、数千件という想定は調査中の数値であり、今後変わる可能性がある。
対応
- 封じ込め
- 不正利用された管理権限IDのパスワード変更および無効化を実施し、セキュリティ専門企業に調査・対策を依頼。サーバを利用する各組織およびグループ会社への調査を指示した。セキュリティ専門企業の協力のもと緊急のセキュリティ対策を実施中。
- 公表の仕方
- 2025年9月10日に「当社システムへの不正アクセスによる個人情報漏えいについてのお詫びとお知らせ」を公表。件数は調査中で数千件と想定。法令上の通知対象者には順次個別に案内する。警察への被害届の提出等で厳正に対処する考え。
- 当局対応
- 個人情報保護委員会：2025年8月12日に速報を提出。法令に基づく報告を実施。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理権限IDの不審なログインが最初の兆候だった。特権IDの利用は通常の利用と分けて監視する必要がある。 | 特権IDのログイン成功・失敗を中央のログ基盤に集約し、通常と異なる時間帯・接続元・端末からの利用を検知してアラートを出す。特権IDは個人に紐づけ、共有IDを廃止する。 |
| 侵入判明後、管理権限IDの無効化と専門企業への依頼が同日に行われた。初動の手順をあらかじめ決めておくと対応が速くなる。 | 特権IDの即時無効化・パスワード再発行・セッション切断の手順をランブックにし、年1回以上の演習で実行時間を測る。外部調査会社との契約や連絡窓口を事前に整備する。 |
| 脅迫文書ファイルが複数サーバで見つかっており、侵害が1台に留まらない前提での調査が必要になる。 | ユーザー管理サーバなど中枢サーバから他サーバへの管理者アクセス経路を最小化し、ネットワークを分割する。EDRを全サーバに導入し、横展開の挙動を検知できるようにする。 |
| 漏えい対象が社員だけでなく、グループ会社の顧客にも及んだ。グループ内で個人情報を共有・保管する場所の把握が重要である。 | グループ会社を含む個人情報の保管場所と共有サーバを台帳化し、アクセス権を定期的に棚卸す。不要な情報は保持期間を決めて削除し、機微情報（口座・人事情報など）は暗号化や分離保管にする。 |
| 窃取データがダークウェブ上で公開されるまでの時間が短く、公開の確認と通知を並行して進める体制が必要になる。 | ダークウェブ監視やリークサイトの確認を外部サービスで継続し、公開を確認した場合の個人情報保護委員会への報告、本人通知、問い合わせ窓口の立ち上げ手順を事前に用意する。 |
自組織などでの確認項目
- 自組織の特権ID（管理者アカウント）は何件あり、誰が使っているか。利用ログは取得され、不審な利用を検知できるか。
- 自組織のサーバに、退職者や採用応募者の情報、口座情報、人事情報が保管されている場所はどこか。アクセスできる人と保管期間は適切か。
- グループ会社と共有しているサーバや管理基盤はあるか。1社で侵害が起きたとき、他社の情報にどこまで影響しうるか。
- 侵入を確認した当日に、特権IDの無効化と外部専門家への連絡を実行できる手順と連絡先は整っているか。
未解明点
- 侵入経路と、不正に利用された管理権限IDの入手方法は公表されていない。
- 侵入が始まった日と、不審なログインを認識した8月6日より前に侵害があったかどうかは公表されていない。
- 漏えい件数の確定値と内訳（社員等とグループ会社顧客それぞれの人数）、要配慮個人情報の具体的な内容は公表されていない。
- World Leaksの主張が本件の攻撃者と一致するかについて、ニッケは明言していない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-30報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-11報道本文確認済
- 3ScanNetSecurity2025-09-22報道本文確認済
- 4ニッケ（日本毛織株式会社）2025-09-10公式本文確認済