新報国マテリアルへのランサムウェア攻撃（サーバーファイル暗号化・バックアップ一部削除、生産は継続）
公表日
製造会社の新報国マテリアルで、社内サーバーのファイルの一部が暗号化され、バックアップの一部が削除されるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害がありました。生産は止まらず、情報の流出は確認されていません。
何が起きたのか
2025年5月21日、同社は業務サーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づき、サーバー内のファイルが暗号化されていることを確認しました。すぐにネットワークを遮断し、翌日には安全を確認した仮の環境で社内システムを再開しました。生産は止まらず続いたとされています。調査では、外部の攻撃者が同社のネットワーク機器に侵入し、社内サーバーにログインしてランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。を動かしたことが確認されました。ファイルの一部の暗号化とバックアップの一部の削除が確認されています。同社は警察に届け出て、外部の専門会社の支援を受けながら調査と復旧を進め、2025年11月7日に公表しました。
なぜ起きたのか・なぜ広がったのか
侵入の入口は、ネットワーク機器とされています。機器の種類や侵入の手口の詳しい内容は、まだ発表されていません。公表までに約6か月かかった理由について、同社は、不完全な情報で関係者を混乱させないよう、被害の正確な把握と詳しい調査を優先したためと説明しています。また、このランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。は外部と通信する機能を持たず、同社の外部への攻撃の広がりは起きていないとされています。
いまの状況2025-12-02 時点続報待ち
詳しい調査の時点で、取引先の機密情報や従業員の個人情報が流出した事実は確認されていません。通期の連結業績への影響は軽微と判断されています。再発防止策の詳しい内容や、攻撃者の特定については、まだ発表されていません。
企業として考えたいこと
もし自社の外部公開ネットワーク機器が侵入され、サーバーのファイルとバックアップの一部が使えなくなったら、ネットワークの遮断から仮環境での業務再開まで、誰がどの順で進めるか決まっているでしょうか。
技術的な要約
新報国マテリアル株式会社（東証スタンダード:5542）は2025年11月7日、社内の一部サーバーが外部攻撃者による不正アクセスを受け、ランサムウェアに感染したと発表した。被害は2025年5月21日に発生し、業務サーバーの不正アクセスを検知、サーバー内ファイルの暗号化を確認した。検知後は直ちにネットワークを遮断し、翌日には安全性を確認した仮環境で社内システムを再開、生産は止まらなかった。ファイルの一部暗号化とバックアップデータの一部削除が確認されたが、取引先の機密情報や従業員の個人情報の流出は認められていない。通期の連結業績への影響は軽微と判断されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器報道・研究者報道によれば「外部の攻撃者が同社ネットワーク機器に侵入し、社内サーバーにログインした後、ランサムウェアを配布して起動させたことが確認」されている。ネットワーク機器の具体的な製品や侵入経路の詳細は記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ネットワークを遮断し、翌日に安全性を確認した仮環境で社内システムを再開。以降の生産は止まることなく継続された。期間：社内システムは翌日（2025-05-22）に仮環境で再開
- データ
- なし上限 —確定 —社内サーバーのファイルの一部が暗号化され、バックアップデータの一部が削除された。一部業務端末でログイン設定の書き換えが見つかったが実害は未確認。詳細調査の時点で取引先の機密情報や従業員の個人情報の流出は認められていない。
- 波及先
- —
- 金銭影響
- 通期の連結業績に与える影響は軽微と判断されている。
- サプライチェーン
- 当該ランサムウェアは外部との通信機能を持たない実行ファイルで、同社外部への二次的な攻撃拡散は発生していないとされる。
時系列
- 2025-05-21
- 2025-05-21
- 2025-05-22安全性を確認した仮環境で社内システムを再開。以降も生産は継続された。1
- 2025-05警察へ届出を行い、外部フォレンジック企業の支援で影響範囲・原因の特定、復旧、再発防止に取り組んだ（時期は公表上明記なし）。1
- 2025-05調査により、攻撃者がネットワーク機器に侵入し社内サーバーにログイン後、ランサムウェアを配布・起動したことが確認された（確認時期は明記なし）。1
- 2025-05当該ランサムウェアは外部通信機能を持たない実行ファイルと判明し、外部への二次的な攻撃拡散はなかったとされた（判明時期は明記なし）。1
- 2025-11-07
- 2025-11-10セキュリティ対策Labが同社の発表を報道。1
- 2025-12-02ScanNetSecurityが、ファイルの一部暗号化とバックアップデータ等の一部削除の確認を報道。2
技術解説
発生から公表までの経過 事実
報道によれば、新報国マテリアル株式会社（東証スタンダード:5542）は2025年5月21日に業務サーバーへの不正アクセスを検知し、サーバー内のファイルが暗号化されていることを確認した。同社は検知後、直ちにネットワークを遮断して被害の拡大を防ぎ、システムの保護とデータ保全に移行した。翌日には安全性を確認した仮環境で社内システムを再開し、以降の生産は止まることなく継続された。警察への届出と並行して外部フォレンジック企業の支援を受け、影響範囲と原因の特定、復旧と再発防止に取り組んできたという。公表は2025年11月7日である。
攻撃の流れと確認された被害 事実
確認されている流れは、外部の攻撃者が同社ネットワーク機器に侵入し、社内サーバーにログインした後、ランサムウェアを配布して起動させたというものである。ネットワーク機器の製品名や侵入方法の詳細は、今回の出典には書かれていない。被害は、社内サーバー機器に保存されていたファイルの一部の暗号化と、バックアップデータの一部の削除である。一部の業務端末ではログイン設定の書き換えが見つかったが、暗号化などの実害は確認されていない。当該ランサムウェアは外部との通信機能を持たない実行ファイルで、同社外部への二次的な攻撃拡散は発生していない。
情報流出・業績への影響と公表時期の説明 事実
詳細調査の時点で、取引先の機密情報や従業員の個人情報の流出の事実は認められていない。件数など数値は出典に示されておらず、流出の上限も確定件数も分からない。通期の連結業績に与える影響は軽微と判断されている。発生から公表まで約6か月を要した点について、同社は、不完全な情報を出すことで関係者に混乱を招かないよう、被害状況の正確な把握と詳細調査を優先したためと説明している。なお、流出が認められていないとの記載は、あくまで詳細調査の時点のものである。
生産継続につながった要素の見方 解釈
公表内容からは、検知当日のネットワーク遮断と、翌日の仮環境での社内システム再開が、生産を止めずに済んだことに寄与した可能性がある。暗号化が社内サーバーのファイルに及んだ一方で、外部通信機能を持たない実行ファイルだったことが、同社外部への拡散が起きなかった一因とも読める。ただし、仮環境の構成やバックアップの残存範囲は示されていないため、どの対策がどれだけ効いたかは断定できない。また、ネットワーク機器経由の侵入とされる点は、境界機器の管理が重要であることを示す一例として参照できる。以上は公表情報に基づく解釈であり、同社の対応を評価するものではない。
対応
- 封じ込め
- 検知後、直ちにネットワークを遮断して被害拡大を防ぎ、システムの保護とデータ保全に移行。翌日に安全性を確認した仮環境で社内システムを再開した。警察へ届け出るとともに外部フォレンジック企業の支援を受け、影響範囲と原因の特定、復旧と再発防止に取り組んだ。
- 公表の仕方
- 2025年11月7日に公表。発生から公表まで期間を要した理由として、不完全な情報で関係者に混乱を招かないよう、被害状況の正確な把握と詳細調査を優先したことを挙げている。
- 当局対応
- 警察（被害届・届出）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ネットワーク機器が侵入の入口になり得る。公開されている機器の管理を棚卸しする必要がある。 | 外部から到達できる機器を資産台帳に登録し、ファームウェアを定期的に更新する。管理画面は接続元IPで制限し、管理者アカウントには多要素認証を適用する。 |
| 侵入後に社内サーバーへログインされると、暗号化の実行まで進む。内部での横展開を抑える設計が要る。 | ネットワークをセグメント分割し、管理系サーバーへのログインは踏み台経由に限定する。サーバーへの管理者ログインを一元的に記録し、通常と異なる時間帯や接続元で警報を出す。 |
| バックアップの一部が削除されても復旧できるよう、バックアップを本番と分けて保持する。 | 世代管理したバックアップのうち1系統を、書き換え・削除できないオフライン保管またはイミュータブル設定で保持する。復旧手順を定期的に演習し、復旧時間を測定する。 |
| 検知直後の遮断と、安全確認済みの代替環境による早期再開は、事業継続に役立つ。 | ネットワーク遮断の判断基準と実施者を手順書に定める。クリーンな仮環境へ切り替える手順を事前に用意し、年1回以上訓練する。 |
| ログイン設定の書き換えなど、暗号化以外の痕跡も調査範囲に含める必要がある。 | 端末とサーバーのログイン設定やアカウント変更を構成管理ツールで監視する。インシデント時にはフォレンジック用にログと端末イメージを保全する。 |
自組織などでの確認項目
- 自社の外部公開ネットワーク機器の一覧と、各機器のファームウェア更新状況を、いま説明できるか。
- バックアップの一部が削除されても、削除されない系統から復旧できる構成になっているか。最後に復旧テストをしたのはいつか。
- ネットワークを遮断すると決める人と条件が決まっており、遮断後に業務を続ける代替手段（仮環境など）は用意されているか。
未解明点
- 侵入されたネットワーク機器の種類や製品名、侵入の手口（脆弱性の有無や認証情報の利用など）は公表されていない。
- 攻撃者が最初に侵入した日と、ランサムウェアを起動するまでの滞在期間は公表されていない。
- 攻撃グループの名称や身代金要求の有無は公表されていない。
- 再発防止策の具体的な内容は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-10報道本文確認済
- 2ScanNetSecurity2025-12-02報道本文確認済