三晃空調へのランサムウェア攻撃（複数サーバ・PCが暗号化、情報漏えいの証跡は確認されず）
公表日
建設設備会社の三晃空調で、複数のサーバとパソコンがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染し、暗号化されました。情報漏えいを示す証跡は、現時点で確認されていないと報じられています。
何が起きたのか
2025年11月21日に、三晃空調の社内システムで障害が起きました。調べたところ、複数のサーバとパソコンがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染していました。感染した機器は見つかってすぐにネットワークから切り離されました。同社は12月11日付でこのことを公表しました。2026年3月31日の第二報では、攻撃者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で複数の機器が暗号化されたことが確認されたと報じられました。
なぜ起きたのか・なぜ広がったのか
侵入に使われた経路などの原因は、確認できた範囲ではまだ発表されていません。被害がどこまで広がったかについても、詳しい情報は示されていません。
いまの状況2026-04-06 時点続報待ち
2026年4月6日付の報道では、現時点で外部への情報漏えいを示す証跡は確認されていないとされています。同社は専門機関と協力して、原因の特定、被害範囲の確認、システムの復旧作業を行っていました。業務への影響の期間、復旧の完了時期、再発防止策はまだ発表されていません。
企業として考えたいこと
もし御社のサーバやパソコンが突然使えなくなったとき、感染した機器をすぐネットワークから切り離す人と手順は決まっていますか。
技術的な要約
株式会社三晃空調は2025年12月11日付で、同社システムが外部からの不正アクセスを受け、複数のサーバおよびPC端末がランサムウェアに感染したと公表した。2025年11月21日に社内システムで障害が発生し、調査の結果、感染と複数機器の暗号化が判明した。感染機器は発覚直後に外部ネットワークから遮断し、被害拡大防止の緊急対策を実施したとしている。2026年3月31日の第二報では、専門機関と協力して原因特定・被害範囲の確認・復旧作業を行っており、現時点で外部への情報漏えいを示す証跡は確認されていないと報じられた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明外部からの不正アクセスを受けたとされるが、侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025年11月21日に社内システムで障害が発生し、複数機器が暗号化された。専門機関と協力してシステムの復旧作業を行っていた。業務停止の範囲・期間は公表内容から読み取れない。
- データ
- 調査中上限 —確定 —第一報では流出の可能性がある情報の種類・件数・範囲は未確定。第二報（2026-03-31）に関する報道では、現時点で外部への情報漏えいを示す証跡は確認されていないとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-11-21
- 2025-11-21感染が確認された機器を発覚直後に外部ネットワークから遮断し、被害拡大防止の緊急対策を実施した。1
- 2025-12-11
- 2025-12-11原因究明と被害範囲の特定を進めているとし、関係者に謝罪した。1
- 2025-12-17セキュリティ対策Labが、複数サーバとPCの感染と調査継続中の旨を報じた。1
- 2025-12-25 08:10ScanNetSecurityが「三晃空調にランサムウェア攻撃」として報じた。3
- 2026-03-31同社が第二報を発表。攻撃者による不正アクセスでランサムウェアが実行され複数機器が暗号化されたことを確認、専門機関と原因特定・被害範囲確認・復旧作業を実施。2
- 2026-04-06ScanNetSecurityが、現時点で外部への情報漏えいを示す証跡は確認されていないと報じた。2
技術解説
公表された経過の整理 事実
三晃空調は2025年12月11日付で、同社システムが外部からの不正アクセスを受け、複数のサーバおよびPC端末がランサムウェアに感染していたことを公表した。発端は2025年11月21日（金）に社内システムで障害が発生したことで、その調査で感染が判明した。感染が確認された機器は発覚直後に外部ネットワークから遮断し、被害拡大防止の緊急対策を実施したとしている。2026年3月31日の第二報では、攻撃者による不正アクセスでランサムウェアが実行され、複数機器が暗号化されたことを確認したと報じられた。同社は専門機関と協力し、原因の特定、被害範囲の確認、システムの復旧作業を行っていた。
情報漏えいに関する公表内容 事実
第一報の時点では、どのような情報がどの程度の件数・範囲で外部に流出した可能性があるのかは、まだ確定していないとされた。同社は外部の専門機関と連携し、漏えいの可能性がある情報の種類や件数など被害範囲の詳細調査を継続中と説明していた。2026年3月31日の第二報に関するScanNetSecurityの記事は、見出しで、現時点で外部への情報漏えいを示す証跡は確認されていないと伝えている。流出の件数や情報の種類は、確認できた範囲では示されていない。また、同社は関係者に多大なご迷惑とご心配をおかけしているとして謝罪している。
「証跡なし」という表現の読み方 解釈
第二報の「外部への情報漏えいを示す証跡は確認されていない」という表現は、調査時点で漏えいを裏付ける痕跡が見つかっていないという意味に読める。これは漏えいが無かったと断定する表現とは異なる可能性がある。ログの保存範囲や暗号化の影響で、確認できる範囲が限られることもあるためだ。ただし、公開された範囲には調査の根拠や範囲は含まれておらず、実際にどの程度確認できているかは判断できない。そのため、この表現は「現時点の調査結果」として受け止め、今後の続報で変わりうるものとして扱うのが妥当と考えられる。
公表内容から見える情報の空白 解釈
今回の公開情報では、侵入経路、攻撃者や犯行声明の有無、暗号化された機器の台数、業務への影響範囲と期間、復旧の完了時期が示されていない。ここでの根拠は報道3件で、公式発表の原文は確認できていないため、これらが未公表なのか、報道で省略されただけなのかは区別できない。第一報で調査中としていた事項に、第二報でどこまで答えたかも限定的にしか分からない。そのため、教訓は一般的な対策の確認にとどめ、本件の原因を推測して当てはめることは避けるべきだと考えられる。
対応
- 封じ込め
- 感染が確認された機器を発覚直後に外部ネットワークから遮断し、被害拡大防止のための緊急対策を実施。外部の専門機関と連携して原因特定、被害範囲確認、システム復旧作業を行った。
- 公表の仕方
- 2025年12月11日付で第一報を公表し、2026年3月31日に第二報を発表した。第二報時点で外部への情報漏えいを示す証跡は確認されていないとされる。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務システムの障害が、ランサムウェア感染の最初の兆候になりうる | 障害対応の手順に「原因がマルウェアの可能性」を判断する分岐を設ける。ファイルの拡張子変更、ランサムノート、EDRの検知、認証ログの異常を最初に確認し、該当すれば感染端末のネットワーク隔離を決めるまでの時間を訓練で計測する。 |
| 感染機器を速やかに遮断できる体制が、被害拡大の防止につながる | EDRのリモート隔離機能やスイッチのポート遮断、VLAN切り替えを、夜間・休日でも実行できる担当者と権限を決めて整備する。サーバとPCのネットワークを分け、横展開の経路を最小限にする。 |
| 漏えいの有無を後から確認するには、ログが残っている必要がある | ファイアウォール、プロキシ、DNS、認証基盤、EDRのログを、改ざんされない別の場所へ転送し、少なくとも半年から1年保管する。外部への大量通信を検知するルールも用意しておく。 |
| 復旧を進めるには、攻撃の影響を受けないバックアップが必要になる | バックアップはオフラインまたはイミュータブル設定の保管先に置き、本番環境と別の認証情報で管理する。復元手順と所要時間を定期的に試験し、暗号化された機器の優先度順に復旧計画を書き出しておく。 |
| 調査中は経過を継続して伝えることが、関係者の判断材料になる | インシデント対応計画に、第一報、続報、調査完了報告の時期と内容、確認できた事実と未確認の事項の書き分けのルールを入れる。広報、法務、情報システム部門の担当を決めておく。 |
自組織などでの確認項目
- 自社でサーバやPCに障害が起きたとき、ランサムウェアの可能性を最初に判断するのは誰で、どの情報を見ますか。
- 感染が疑われる機器を、夜間・休日でもネットワークから切り離せる人と手段が決まっていますか。
- 自社のログは、侵入や情報の持ち出しの有無を後から調べられる期間と範囲で保管されていますか。
未解明点
- 攻撃者はどの経路で侵入したのか。
- 暗号化された機器の台数と、業務への影響の範囲・期間はどの程度か。
- 第二報の「証跡は確認されていない」は、どの範囲のログや機器を調べた結果なのか。
- システムの復旧は完了したのか、再発防止策は何か。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-17報道本文確認済
- 2ScanNetSecurity2026-04-06報道本文確認済
- 3ScanNetSecurity2025-12-25報道本文確認済