関西総合システムへのランサムウェア攻撃（VPN機器経由の不正アクセス痕跡・被害規模は未公表）
公表日
関西総合システム株式会社が、2025年12月26日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。（データを使えなくして金銭を要求するウイルス）への感染を確認したと公表した。被害の規模は、これまでのところ発表されていない。
何が起きたのか
2025年12月26日、同社の一部のサーバーや端末でシステム障害が起き、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。への感染が分かりました。同社は対策本部をつくり、ネットワークを切り離して、外部の専門機関と調べと復旧を進めました。12月29日に第一報、2026年1月23日に第二報が出されました。第二報では、VPN機器の記録から、2025年11月14日から12月26日にかけて不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の跡があったことが示されました。2026年2月ごろには、Brain Cipherというグループが、リークサイト（盗んだとするデータを公開する場）に同社のドメインを載せました。これは攻撃者側の主張で、同社が情報の漏えいを確認したとは発表されていません。
なぜ起きたのか・なぜ広がったのか
侵入の原因は、IDとパスワードを使った不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性が高いという見解が示されています。ただし断定はされていません。被害がどこまで広がったかについては、まだ発表されていません。クラウドサービスは社内ネットワークと分離されており、利用に支障はないと説明されています。
いまの状況2026-03-18 時点続報待ち
2026年3月18日時点で、被害の全体像、復旧の状況、情報が漏えいしたかどうかは、まだ発表されていません。同社は、新たに分かったことを状況が整理され次第あらためて公表するとしています。報道機関が真偽の発表予定を尋ねましたが、3月18日時点で返答はないと伝えられています。
企業として考えたいこと
自社のVPNなど外部から入れる入口に、ID・パスワードだけで入れるアカウントが残っていないでしょうか。また、不審なログインがあったとき、何日以内に気づける仕組みがあるでしょうか。
技術的な要約
関西総合システム株式会社は、2025年12月26日に社内の一部サーバー・端末でシステム障害が発生しランサムウェア感染が判明したとして、2025年12月29日に第一報を公表した。同社は緊急対策本部を設置し、対象ネットワークを遮断して外部専門機関と調査・復旧を進めた。2026年1月23日の第二報では、VPN機器ログの精査により2025年11月14日から12月26日にかけて不正アクセスの痕跡があったとされ、侵入原因はID・パスワードを用いた不正アクセスの可能性が高いとの見解が示された。2026年2月頃にはBrain Cipherがリークサイトに同社ドメインを掲載したが、これは攻撃者側の主張であり、同社が漏えいを確認したとは公表されていない。クラウドサービスは社内ネットワークと分離されており、利用に支障はないと説明されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者第二報でVPN機器ログの精査により不正アクセス痕跡が確認され、侵入原因はアカウント情報（ID、パスワード）を用いた不正アクセスの可能性が高いとの見解が示された（報道による）。断定はされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- Brain Cipher 被害組織は認めていない2026年2月頃、ダークウェブ上のリークサイトでkisnet.co.jpを被害企業として掲載し、公開済みの表示とダウンロード先（.onion）を記載した。
- ATT&CK
影響
- 業務停止
- あり 2025年12月26日に一部サーバー・端末でシステム障害が発生。対象ネットワークを遮断。クラウドサービスは分離環境で運用され、利用に支障はないと説明されている。被害の全体像は第一報時点で把握できていない。
- データ
- 調査中上限 —確定 —同社は漏えいを確認したとは公表していない。Brain Cipherの主張する窃取データ（KISNET.zip）にはORACLEディレクトリ配下の業務システム名を想起させるフォルダ群、SQLsフォルダ、拡張子dmpのファイルが見られるとされるが、攻撃者側の主張でありテストデータやテスト端末の可能性もある。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 取引先への波及は公表されていない。同社は取引先や関係者に謝罪のコメントを出している。
時系列
技術解説
公表されている経緯と初動 事実
報道によれば、関西総合システム株式会社は2025年12月26日に社内の一部サーバー・端末でシステム障害が発生し、ランサムウェア感染が判明した。同社は緊急対策本部を設置し、被害拡大防止のため感染が確認されたサーバーを含む関連ネットワークを遮断して、外部専門機関と連携した調査・復旧を進めた。第一報は12月29日で、外部からの不正アクセスとランサムウェア感染が報告された。第一報の時点では被害の全体像は把握できておらず、調査には一定の時間を要する見込みとされた。第二報は2026年1月23日に発表された。
第二報で示された侵入経路と期間 事実
第二報（2026年1月23日）では、VPN機器ログの精査により、2025年11月14日から12月26日にかけて不正アクセス痕跡があったことが示された。侵入原因はアカウント情報（ID、パスワード）を用いた不正アクセスの可能性が高いとの見解が示されたが、断定ではない。これらはセキュリティ対策Labの記事に基づく記述で、公式発表の原文は今回の出典に含まれない。ScanNetSecurityの記事は見出しでVPN機器のログから痕跡が見つかったと伝えているが、本文には詳細の記載がない。
クラウドサービスの説明とリークサイト掲載 事実
同社は、クラウドサービスは社内ネットワークとは完全に分離された環境で運用されており、現時点でサービス利用に支障は出ていないと説明している。ただし万一に備え、クラウドサービス環境も調査対象とし、安全性の確認を進めている。2026年2月頃、Brain Cipherがダークウェブ上のリークサイトでkisnet.co.jpを被害企業として掲載し、公開済みの表示とダウンロード先が記載された。これは攻撃者側の主張であり、テストデータやテスト端末の可能性もある。同社が漏えいを確認したとは公表していない。
入口と検知の観点から見た読み取り 解釈
侵入原因がVPN経由のID・パスワード利用である可能性が高いという見解を前提にすると、境界機器のアカウント管理、多要素認証の有無、ログ監視が入口対策と早期検知の要になると考えられる。11月14日から12月26日までは約6週間（42日）あり、これは痕跡が確認された期間であって、同一の主体が継続して活動していたかは公表されていない。また、クラウドが分離されているとの説明は、影響を社内ネットワークに留める設計が働いた可能性を示唆するが、調査中であり断定はできない。
対応
- 封じ込め
- 緊急対策本部の設置、感染が確認されたサーバーを含む関連ネットワークの遮断、外部専門機関と連携した調査・復旧対応。クラウドサービス環境も万一に備え調査対象とし安全性を確認している。
- 公表の仕方
- 2025年12月29日に第一報、2026年1月23日に第二報を公表。業務への影響や新たに判明した事実は、状況が整理され次第あらためて公表するとしている。リークサイト掲載について同社が真偽を発表したとは確認されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| VPN機器は外部から直接到達でき、ID・パスワードだけの認証では流用に弱い。 | VPNに多要素認証（証明書またはTOTP/FIDO2）を必須化する。退職者・未使用アカウントを四半期ごとに棚卸しして無効化し、漏えい済みパスワードの照合（Have I Been Pwned等のAPI）をパスワード変更時に組み込む。 |
| 不正アクセス痕跡が約6週間にわたり残っていた。ログの収集と照合が検知の鍵になる。 | VPN認証ログをSIEMへ集約し、深夜・海外IP・同一アカウントの複数拠点同時ログインを検知ルール化する。ログ保存期間は最低12か月とし、改ざん防止のため別環境へ転送する。 |
| クラウドが社内ネットワークと分離されていたことが、影響範囲の説明に役立っている。 | 本番クラウドと社内ADの管理系を分離し、相互の信頼関係と共有認証情報を作らない。バックアップはオフラインまたはイミュータブル設定にし、四半期ごとに復元テストを行う。 |
| リークサイト掲載の真偽と漏えい有無を、利用者が確認しにくい状況が続いている。 | 自社ドメインをリークサイト監視サービスで継続監視し、掲載時の確認手順と公表判断者を事前に決めておく。調査状況を定期的に更新する公表テンプレートを用意する。 |
| 攻撃者の主張データにDBダンプ（dmp）やSQLフォルダが含まれるとされ、検証用データの扱いが論点になりうる。 | 本番データを検証・テスト環境へ持ち出さない運用とし、やむを得ない場合はマスキングする。DBダンプの保管場所と持ち出し経路をデータ分類台帳で管理し、DLPで検知する。 |
自組織などでの確認項目
- 自組織のVPN機器に多要素認証は適用されているか。例外として、IDとパスワードだけで接続できるアカウントは残っていないか。
- VPN機器の認証ログは、どこに何か月保存されているか。不審なログインを検知して担当者に通知する仕組みはあるか。
- 本番サービス（クラウド等）と社内ネットワークの間で、認証情報や管理権限が共有されていないか。ランサムウェア感染時に切り離す手順は決まっているか。
- 自組織のドメインがリークサイトに掲載された場合、誰が真偽を確認し、どの時点で何を公表するか決まっているか。
未解明点
- 暗号化・影響を受けたサーバー・端末の範囲と、業務への影響期間、復旧の時期はどうなっているか。
- 個人情報や取引先情報を含む情報の漏えいが実際にあったか。あった場合の件数と種類はどうか。
- 侵入原因は、ID・パスワードの不正利用と確定したのか。そのアカウント情報がどこから得られたのか。
- Brain Cipherの掲載内容は同社のデータか。テストデータや検証端末のものか。
- 第一報・第二報の公式発表の原文と、その後の続報はあるか（今回の出典は報道のみ）。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-05報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-06報道本文確認済
- 3ScanNetSecurity2026-01-21報道本文確認済
- 4ScanNetSecurity2026-02-12報道本文確認済