テインへのランサムウェア攻撃（中国子会社工場が1週間停止、株主・社員等7,304名の個人情報漏えいのおそれ）
公表日
自動車部品メーカーのテインがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、中国の子会社の工場が1週間、本社工場が1日、生産を止めました。株主と社員・退職者の個人情報 最大7,304名分が漏えいしたおそれがあります。
対象者は？
テインの株主5,482名（氏名・住所・保有株式数）と、社員・退職者1,822名（氏名・住所・電話番号・メールアドレスなど）の、合わせて最大7,304名です。社員・退職者のうち153名分にはマイナンバー、817名分には基礎年金番号も含まれます。外へ持ち出された痕跡は見つかっておらず、「おそれ」として公表されています。クレジットカード情報は含まれていません。
対象の方には、会社からメールまたは書面で通知が行われています。範囲の詳細は最終報で確認できます。
いますぐできること
- テインを名乗るメール・電話・郵便で、個人情報や支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
- 社員・退職者の方は、マイナンバーや年金番号を聞き出そうとする連絡に注意し、身に覚えのない手続きの通知が届いたら勤務先や年金事務所に確認する
何が起きたのか
2025年10月30日の朝、アメリカの子会社から「社内のサーバーにつながらない」と連絡がありました。本社のIT部門が調べると、サーバーの中のファイルが暗号化され、犯人からのメッセージのファイルが置かれていました。会社はパソコンをネットワークから切り離し、警察に通報しました。本社のサーバーはグループの各社で一緒に使っていたため、中国の子会社の工場が11月3日から1週間、本社工場が1日、生産を止めました。注文を受けるシステムは別のサーバーで動いていたため被害はなく、受注や出荷は少し遅れながらも続けられました。
なぜ起きたのか・なぜ広がったのか
会社の調査では、原因は「システムの一部の弱点（脆弱性）を悪用した第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。」とされています。ただし、どの機器やソフトの弱点だったのか、いつ侵入されたのかは公表されていません。グループ各社が同じサーバーを使っていたため、1か所の被害がグループ全体の業務に広がりました。また、被害を受けた環境では、株主名簿や社員の情報のファイルも見られる状態にあったとされています。犯行グループ「Warlock」が攻撃を主張していますが、会社はこれについて触れていません。
いまの状況2026-04-08 時点
2025年11月21日までにネットワークとサーバーの復旧を終え、業務はおおむね元に戻りました。12月18日に外部の専門機関の調査が終わり、外へ持ち出された痕跡は見つかりませんでしたが、会社は「おそれ」として公表し、対象者への通知を始めています。再発防止として、被害を受けたシステムを廃止し、システムの構成の見直しと監視の強化を進めるとしています。身代金への対応や、被害による損失の額は公表されていません。
企業として考えたいこと
自社では、株主名簿や社員のマイナンバーなどの大切な情報が、みんなで使うサーバーに置かれていないでしょうか。見られる人を必要な人だけに絞れているか確認しましょう。
技術的な要約
自動車用サスペンションメーカーのテイン（東証スタンダード7217）で、2025年10月30日朝、米国子会社から「社内サーバーに接続できない」と連絡があり、本社サーバ内のファイル暗号化と犯行声明文ファイルが確認された。同社は10月31日に第1報を公表し、11月7日の第2報でランサムウェア攻撃と確認、中国子会社工場が11月3日から1週間、本社工場が1日生産停止したと公表した。11月6日にはランサムウェアグループWarlockがリークサイトで犯行を主張したが、サンプルデータの公開は確認されていない。外部専門機関の調査は12月18日に完了し、原因は「システムの一部の脆弱性を悪用した第三者による不正アクセス」とされたが、製品名・侵入経路は非公表。持ち出しを直接示す痕跡はなかったものの、2026年4月8日の最終報で株主5,482名と社員・退職者を合わせた計7,304名（マイナンバー153名分を含む）の個人情報漏えいのおそれを公表し、被害システムの廃止などの再発防止策を示した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明最終報（2026-04-08）の公式表現は『当社システムの一部の脆弱性を悪用した第三者による不正アクセス』。脆弱性が存在した機器・製品（VPN装置、公開サーバ、業務アプリ等）、侵入経路、侵入日時はいずれも非公表のため、カテゴリは『不明』とした。第3報（2025-11-21）時点では『感染経路や他の侵入の有無を調査予定』とされ、強化策としてアクセス制御・多要素認証・バックアップの見直しが挙げられていた（報道による要約）。Warlockは2025年にMicrosoft SharePointの脆弱性（CVE-2025-53770）を初期侵入に使ったことが研究者により報告されているが、本件との関係を示す情報はない。
- 脆弱性
- CVE 非公表公表で確認非公表（当社システムの一部）脆弱性悪用による不正アクセスであることは最終報で公表（確定）。製品名・バージョン・CVE・脆弱性の種類は非公表で、2026-10-10時点でも続報は確認できなかった。
- 攻撃者
- Warlock 被害組織の言及なし2025年11月6日、WarlockがリークサイトにTein（tein.co.jp）を掲載し、交渉に応じなければ機密データを公開すると脅迫（DeXpose）。データ量の主張は確認できず、2026年4月時点でもサンプルデータは公開されていないと報じられている（セキュリティ対策Lab）。
- ATT&CK
影響
- 業務停止
- あり 本社サーバをグループ各社が共用していたため、グループ全体の業務に影響。中国子会社工場（天御减振器制造(江苏)有限公司）が11月3日から1週間、本社工場が1日生産を停止（休日稼働で振替、生産への大きな影響はないと説明）。受注システムは別サーバで運用していたため直接の被害はなかったが、社内システム停止により処理に若干の遅れ。資金決済は影響なし。外部とのメールは安全確認済みPCからのみ送受信に制限。期間：2025-10-30の検知から、第3報（2025-11-21）で『概ね通常業務へ復旧』と公表するまで約3週間
- データ
- おそれ上限 7,304確定 —人氏名住所生年月日性別電話メールマイナンバー従業員情報その他（保有株式数、基礎年金番号）最終報の内訳：株主5,482名（氏名・住所・保有株式数）、社員・退職者946名（氏名・生年月日・性別・住所・電話番号・メールアドレス）、同672名（前記＋基礎年金番号）、同145名（前記＋マイナンバー＋基礎年金番号）、同8名（前記＋マイナンバー）、社員・退職者51名（氏名のみ）。合計7,304名（5,482+946+672+145+8+51で一致）。マイナンバーを含むのは153名、基礎年金番号を含むのは817名（いずれも内訳からの計算）。調査では『ファイルの作成・閲覧が可能な状態』だったが外部持ち出しを直接示す痕跡は確認されず、可能性として公表。クレジットカード情報は含まれず、不正利用は確認されていない。
- 波及先
- —
- グループ会社（米国子会社、中国子会社ほか）：本社サーバを共用していたため業務に影響
- 金銭影響
- ランサムウェア被害による損失額・特別損失は公表されていない。2026-03-26の『業績予想の修正に関するお知らせ』は関税対応の生産移管による原価改善と販管費精査を理由に通期予想を上方修正（売上高5,610百万円、営業利益296百万円）しており、ランサムウェアへの言及はない。
- サプライチェーン
- 外部委託先経由の侵害ではない。ただしグループ各社（米国・中国子会社等）が本社サーバを共用していたため、グループ内で被害が横断的に波及した。
時系列
技術解説
攻撃の経過：海外子会社が最初に気づいた暗号化 事実
最終報によれば、異常の第一報は本社ではなく米国子会社からの『社内サーバーに接続できない』という連絡で、本社IT部門が確認したところサーバ内のファイルが暗号化され犯行声明文ファイルが置かれていた。同社は同日中に神奈川県警へ通報し、PCをネットワークから隔離、翌10月31日に第1報を出している。本社サーバはグループ各社が共用しており、中国子会社工場（1週間）と本社工場（1日）の生産停止につながった。一方で受注システムは別サーバで運用されていたため直接の被害を免れ、受注・出荷・納品は遅れを伴いつつ継続できた。原因は『システムの一部の脆弱性を悪用した第三者による不正アクセス』とのみ公表され、製品名・侵入日時・横展開の経路は明らかにされていない。
痕跡なしでも『おそれ』として通知した判断 解釈
12月18日に完了した外部調査は、被害環境でファイルの作成・閲覧が可能な状態だったことを確認した一方、外部への持ち出しを直接示す痕跡は見つけられなかった。テインはそれでも『痕跡がないことは漏えいがなかったことを意味しない』との立場で、株主5,482名と社員・退職者の計7,304名を対象に漏えいのおそれを公表し、個人情報保護委員会へ最終報告（2026-01-05）、本人通知を行った。マイナンバー（153名）を含む点から、個人情報保護法上の報告義務（要配慮・番号法関連や不正目的のおそれ）を保守的に解釈したものと考えられる。他方で、調査完了から公表まで約3か月半を要しており、対象者への通知が遅いとの評価もあり得る。
共用サーバに株主名簿と人事・マイナンバー情報が同居 解釈
漏えいのおそれがある情報が株主名簿（氏名・住所・保有株式数）と人事情報（基礎年金番号・マイナンバーを含む）である点は、暗号化された本社サーバ、あるいはそこから閲覧可能な領域に、総務・人事の機微データがファイルとして置かれていたことを示唆する。グループ各社が共用するファイルサーバ的な環境に、アクセス範囲を絞るべきデータが同居していた可能性がある。中堅製造業ではファイルサーバや基幹サーバが一台に集約されがちで、侵入者がドメイン権限を得ると業務停止と機微データ露出が同時に起きる。最終報の再発防止策が『被害を受けたシステムの廃止』『インフラ構成の最適化』である点も、構成そのものに問題があったとの認識を示していると読める。
Warlockの主張と手口の文脈 解釈
Warlockは2025年夏に登場したグループで、トレンドマイクロは2025年8月、オンプレミスSharePointの脆弱性（CVE-2025-53770、いわゆるToolShell）でWebシェルを設置し、GPOの改変による権限昇格、Mimikatzによる認証情報窃取、SMB管理共有経由の横展開、RDP有効化とNLA無効化、ドライバを悪用したセキュリティ製品の停止を経て暗号化（拡張子 .x2anylock）に至る手口を報告している。テインの公表には侵入口の製品名がなく、本件がSharePoint経由だったかは不明で、Warlockの主張自体もサンプル未公開のため真偽が確認されていない。ただ、『脆弱性悪用』『グループ共用サーバの暗号化』という公表事実は、パッチ未適用の公開系サーバから内部へ横展開する同種の手口と矛盾しない。
対応
- 封じ込め
- 10/30の確認直後にPCをネットワークから隔離し神奈川県警へ通報、10/31に対策本部を設置して外部専門機関と調査・復旧。メールは安全確認済みPCからのみに制限。11/21までにネットワーク・サーバの復旧と安全確認を完了。再発防止策として被害システムの廃止、インフラ構成の最適化と監視体制の強化、セキュリティ体制の継続強化を表明（第3報時点ではアクセス制御・多要素認証・バックアップ見直しにも言及と報道）。
- 公表の仕方
- 10/31第1報（障害発生）、11/7第2報（ランサムウェア確定、工場停止・業務影響を具体的に開示）、11/21第3報（概ね復旧）、2026-04-08最終報（原因・漏えいのおそれ7,304名の内訳・再発防止策）。侵入口の製品名・侵入日時・攻撃者名は公表せず、Warlockの主張にも言及していない。第1〜3報は2026-10-10時点で公式サイトの一覧から外れている。
- 当局対応
- 神奈川県警：2025-10-30に通報、以後捜査に協力
- 個人情報保護委員会：2026-01-05に最終報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| グループ各社が単一の本社サーバを共用し、1台の暗号化が海外工場の生産停止まで波及した | 拠点・会社ごとにADドメインまたはOU/権限境界とネットワークセグメントを分け、生産系（MES・工場端末）と本社業務系の間はファイアウォールで必要ポートのみ許可。共用サーバの停止時に工場が手順書と現地データで最低限稼働できるBCPを用意する |
| 受注システムを別サーバにしていたことで売上直結業務が守られた | 業務継続に必須のシステム（受注・出荷・決済）を特定し、認証基盤・管理者アカウント・バックアップを他システムと分離した独立構成にする。復旧優先順位表を事前に作成する |
| 株主名簿やマイナンバーを含む人事情報が、侵入者から閲覧可能な共用環境にあった | マイナンバー・人事・株主情報は専用のアクセス制御付きストアに隔離し、ファイルサーバ上の機微ファイルをDLPやスキャナで棚卸し。保存時暗号化と閲覧ログの保全（最低1年）を行い、閲覧・持ち出しの有無を事後に判定できるようにする |
| 侵入に使われた脆弱性の所在が公表されず、外部公開資産の管理状況が不明 | 外部公開資産（VPN、SharePoint/Exchange、RDP、Webサーバ）をASMツールで定期棚卸しし、KEV掲載の脆弱性は72時間以内にパッチまたは遮断する運用SLAを設定する |
| 持ち出し痕跡の有無を判断する材料が乏しく、『おそれ』で公表せざるを得なかった | 境界FW・プロキシの通信ログとEDRテレメトリを外部（SIEM/クラウドストレージ）に90日以上保全し、大容量アップロード（rclone、MEGA等）の検知ルールを設ける |
自組織などでの確認項目
- あなたの会社で、海外子会社や工場が本社のサーバ・ADに依存している業務は何か。本社サーバが1週間止まったとき、どの拠点が何日で生産・出荷を止めることになるか。
- テインの受注システムのように『これだけは止めない』システムを、認証基盤やバックアップまで含めて独立させているか。現状どこまで共有しているか。
- 外部調査で持ち出しの痕跡が見つからなかった場合、あなたなら漏えいの『おそれ』として本人通知するか。その判断に必要なログを今保持しているか。
- 株主名簿・マイナンバー・人事データは、社内のどのサーバに、誰がアクセスできる状態で置かれているか。
未解明点
- 悪用された脆弱性の製品名・CVE・機器種別（VPN、SharePoint等の公開サーバか否か）と侵入日時
- Warlockが実際の攻撃者か（被害組織は攻撃者名に言及せず、リークサイトでのデータ公開も確認されていない）
- 身代金要求への対応方針と、復旧がバックアップからか再構築か
- ランサムウェア被害に伴う復旧費用・逸失利益などの財務影響額
- 第1報〜第3報が公式サイトの一覧から外れた経緯と、各報の原文
出典
- 1株式会社テイン2025-11-07公式本文確認済
- 2株式会社テイン2026-04-08公式本文確認済
- 3株式会社テイン2026-03-26公式本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2025-11-04報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2025-11-10報道本文確認済
- 6セキュリティ対策Lab（Rocket Boys）2025-11-25報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-04-09報道本文確認済
- 8ScanNetSecurity2025-11-17報道本文確認済
- 9ScanNetSecurity2025-12-02報道本文確認済
- 10ScanNetSecurity2026-04-13報道本文確認済
- 11DeXpose2025-11-06研究者本文確認済
- 12Trend Micro2025-08-20研究者本文確認済