天龍製鋸の米国子会社TENRYU AMERICA, INC.へのランサムウェア攻撃（サーバのファイル暗号化、Akiraが犯行声明）
公表日
天龍製鋸の米国子会社TENRYU AMERICA, INC.が2025年9月21日（現地時間）に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、サーバのファイルが暗号化されるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害を翌22日に確認しました。流出の有無や件数はまだ発表されていません。
対象者は？
公表された情報では、対象となる人の範囲はまだ分かっていません。攻撃者は従業員情報や少量の顧客データなどを持っていると主張していますが、被害組織による確認は報じられていません。
個別の確認方法はまだ発表されていません。天龍製鋸からの案内や、関係先への連絡をお待ちください。
いますぐできること
- 取引先や従業員の方は、天龍製鋸からの正式な案内が出ていないか確認する。
- 心当たりのないメールや電話には、すぐに応じず、送信元を確認する。
- 同じパスワードを複数のサービスで使っている場合は、使い回しをやめて変更する。
何が起きたのか
天龍製鋸株式会社は9月25日、海外子会社のランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。感染を発表しました。現地時間9月21日にTENRYU AMERICA, INC.に外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、サーバに保存している各種ファイルが暗号化される被害を、翌9月22日に確認したとのことです。その後、2025年10月17日にランサムウェアグループAkiraが犯行声明を出したと、研究者のサイトが伝えています。声明では、従業員情報、少量の顧客データ、財務情報、契約書などをアップロードする用意があると主張しています。これは攻撃者側の主張で、被害組織による確認は報じられていません。
なぜ起きたのか・なぜ広がったのか
侵入の経路や原因は、まだ発表されていません。広がりについても、流出の有無や件数は確認できていません。なお、研究者サイトには同じドメインのメールアカウント11件が過去の外部漏えいで見つかったとの記載がありますが、今回の攻撃とのつながりは示されていません。
いまの状況2025-10-20 時点続報待ち
2025-10-20時点で、原因、流出の有無と件数、業務への影響や停止期間、再発防止策は、まだ発表されていません。犯行声明については、研究者サイトがリーク規模を不明としています。続報待ちです。
企業として考えたいこと
もし自社の海外子会社のサーバが突然暗号化されたら、誰がどの順番で本社へ連絡し、確認できたことと確認できていないことを分けて、どこまで説明できますか。
技術的な要約
天龍製鋸株式会社は2025年9月25日、海外子会社TENRYU AMERICA, INC.のランサムウェア感染を発表した。現地時間9月21日に外部から不正アクセスがあり、サーバに保存している各種ファイルが暗号化される被害を翌9月22日に確認したとされる。その後、ランサムウェアグループAkiraが10月17日に犯行声明を出したと研究者サイトが報告しており、従業員情報や契約書などの公開を示唆している。ただしこの主張の内容は攻撃者側のものであり、被害組織による確認は提供された出典からは読み取れない。初期侵入経路、流出の有無と件数、業務停止の期間は、提供された情報では不明である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明提供された出典に初期侵入経路の記載はない。発表は「外部から不正アクセスがあり」とのみ報じられている。Breachsenseはtenryu.comのメールアカウントが外部漏えいから索引化されていると記すが、ランサムウェア攻撃とは必ずしも関連しないと注記している。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品に関する公表は確認できない。
- 攻撃者
- Akira 被害組織の言及なし2025年10月17日、Akiraが犯行声明を出した。従業員情報（生年月日、住所、電話番号など）、少量の顧客データ、財務情報、契約書、NDAなどをアップロードする用意があると主張している。
- ATT&CK
影響
- 業務停止
- なし サーバに保存している各種ファイルが暗号化された。業務への影響範囲・停止の有無は提供された出典に記載がない。
- データ
- おそれ上限 —確定 —従業員情報生年月日住所電話取引先情報業務データ攻撃者の主張として、従業員情報（生年月日、住所、電話番号など）、少量の顧客データ、財務情報、契約書、NDAなどが挙げられている（claimed）。DeXposeは、交渉が始まらなければ流出させると脅していると報告。Breachsenseはリーク規模をUnknownとしている。なおBreachsenseが示すtenryu.comの11アカウント（第三者漏えい由来10、コンボリスト由来5）は本件との関連が不明で、本件の被害件数ではない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 提供された出典にサプライチェーン経由・波及の記載はない。海外子会社が被害を受け、親会社が発表した。
時系列
- 2025-09-21現地時間9月21日、TENRYU AMERICA, INC.に外部から不正アクセスがあった。1
- 2025-09-22サーバに保存している各種ファイルが暗号化されるランサムウェア被害の発生を確認した。1
- 2025-09-25天龍製鋸が海外子会社のランサムウェア感染について発表した。1
- 2025-10-07ScanNetSecurityが天龍製鋸の発表を報じた。1
- 2025-10-17
- 2025-10-17 17:08Ransomware.liveがリークサイトの掲載を発見（推定攻撃日は2025-10-17）。4
- 2025-10-17
- 2025-10-18DeXposeが、交渉が開始されなければ機密の社内文書と従業員情報を流出させるという脅しを報告した。3
- 2025-10-20BreachsenseがAkiraによる犯行声明を記載し、発見日を2025年10月20日とした。リーク規模は不明としている。2
技術解説
公表された被害の経過 事実
天龍製鋸株式会社は9月25日、海外子会社のランサムウェア感染について発表した。報じられた内容によると、現地時間9月21日にTENRYU AMERICA,INC.に外部から不正アクセスがあり、サーバに保存している各種ファイルが暗号化されるランサムウェア被害の発生を翌9月22日に確認した。発表は文字のコピーができないPDFファイルで公開されていると報じられている。今回参照できる出典には、初期侵入経路、悪用された脆弱性、業務への影響範囲や停止期間についての記載は見当たらない。経過の確認は報道経由であり、公式発表そのものは参照していない点にも留意が必要である。
攻撃者側の主張と研究者サイトの記載 事実
DeXposeによると、ランサムウェアグループAkiraは2025年10月17日、米国の鋸刃メーカーTenryu America, Inc.への攻撃について犯行声明を出した。声明は、従業員情報（生年月日、住所、電話番号など）、少量の顧客データ、財務情報、契約書、NDAなどのアップロードの用意があると主張している。DeXposeは、交渉が開始されなければ機密の社内文書と従業員情報を流出させると脅していると報告している。Ransomware.liveの発見日時は2025-10-17 17:08 UTCである。Breachsenseも犯行声明の主体をAkiraとし、リーク規模は不明（Unknown）としている。これらは攻撃者側の主張や第三者の記載であり、被害組織による確認は出典から読み取れない。
外部漏えい由来の認証情報に関する記載 事実
Breachsenseは、tenryu.comのメールアドレス11アカウントを外部の漏えいから索引化していると記している。内訳は、第三者の漏えい由来が10アカウント（25件の漏えい、うち10アカウントに平文パスワード、直近は2024年11月13日）、コンボリスト由来が5アカウント（直近は2025年11月25日）とされる。ただしBreachsenseは、これらは必ずしもランサムウェア攻撃とは関連しないと注記している。また、Ransomware.liveの記載では同ドメインのMXレコードがMicrosoft 365のメール保護（outlook.com）を指しており、Microsoft 365の利用が検出されている。これらは本件の被害件数や侵入経路を示すものとして扱える根拠は、出典上は示されていない。
確定情報と主張の区別から見える課題 解釈
本件では、被害組織側の確認事項（不正アクセスと暗号化の確認）と、攻撃者側の主張（盗んだとされるデータの種類）が、別々の出典に分かれて存在している。読み手にとっては、前者は確定した事実、後者は未検証の主張として切り分けることが重要だと考えられる。流出の有無や件数は確定していないため、従業員情報や顧客データの被害を前提に語ることは適切でない。一方で、犯行声明が出ている以上、関係者が情報の取り扱いに注意を払う合理性はある。また、海外子会社の事案を親会社が発表する形では、現地の被害状況と国内への説明の間に情報の粒度差が生じやすいと推測される。続報が出れば、この評価は変わりうる。
対応
- 封じ込め
- —
- 公表の仕方
- 天龍製鋸が2025年9月25日に海外子会社のランサムウェア感染を発表した。発表は文字のコピーができないPDFファイルで公開されていると報じられている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 海外子会社も本社と同水準で、ファイルサーバの暗号化被害を想定した備えが必要になる。 | ファイルサーバのバックアップを本番と分離し、書き換え不能（イミュータブル）または オフライン保管にする。復旧手順を子会社単位で四半期ごとに復元テストし、復旧時間を記録する。 |
| 攻撃者の主張と被害組織の確認事項を区別して情報を管理する必要がある。 | インシデント対応の記録様式に「確認済み／主張／不明」の列を設け、リークサイトやリサーチャーの情報は『主張』として登録する。外部向け説明は確認済みの項目だけを根拠にする。 |
| 初期侵入経路が不明な段階でも、候補となる入口を横断的に点検できる状態にしておくと初動が早まる。 | 外部公開資産（VPN、RDP、メール、Webアプリ）の棚卸し一覧を子会社分も含めて維持し、認証ログを集中管理する。多要素認証の適用状況を一覧で確認できるようにする。 |
| 過去の外部漏えいに含まれる認証情報が再利用されるリスクに備える。 | 自社ドメインのアカウントを漏えい監視サービスで定期的に照合し、該当アカウントはパスワードを強制変更する。パスワードの使い回しを検知する仕組みと多要素認証を併用する。 |
| 親会社と子会社で、事案発生時の連絡・公表の流れを事前に決めておくと説明が一貫する。 | グループ共通のインシデント連絡手順に、検知から親会社への報告期限、公表文の様式、テキストをコピーできる形式（HTMLなど）での掲載を含めて定める。年1回は子会社を含めた机上演習を行う。 |
自組織などでの確認項目
- 自組織の海外拠点や子会社のファイルサーバについて、バックアップが本番環境から分離されており、直近で実際に復元できたことを確認できているか。
- リークサイトやセキュリティ企業のサイトで自社名が挙がった場合、「確認済み」と「主張」を分けて記録し、誰がいつ事実確認するかが決まっているか。
- 自社ドメインのメールアカウントが外部漏えいに含まれていないかを定期的に確認し、該当した場合にパスワード変更と多要素認証の適用まで進める手順があるか。
未解明点
- 初期侵入経路と、悪用された脆弱性や認証情報の有無は公表されていない。
- 流出の有無、対象となった情報の種類と件数は、被害組織から公表されていない。
- Akiraの犯行声明について、被害組織が内容を確認したかどうかは出典から読み取れない。
- 業務への影響範囲、停止の有無、復旧までの期間は、提供された出典に記載がない。
出典
- 1ScanNetSecurity2025-10-07報道本文確認済
- 2Breachsense2025-10-20研究者本文確認済
- 3DeXpose2025-10-18研究者本文確認済
- 4Ransomware.live2025-10-17攻撃者主張本文確認済