AGS株式会社の再委託先（YCC情報システム）へのランサムウェア攻撃（受託業務の情報漏えいのおそれ）
公表日
AGS株式会社が受託している一部業務の再委託先、山形市のYCC情報システムがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、情報が外部に漏れたおそれがあると2026年4月17日に公表された。AGS分の件数は発表されておらず、5月25日の第2報では、外部に送信された明確な痕跡は確認されていないとされた。
対象者は？
AGSが受託している一部業務に関する情報が対象となるおそれがある。具体的な範囲や件数、情報の種類は、まだ発表されていない。AGSは、影響を受ける可能性がある顧客に個別に連絡している。
AGSから個別に連絡が届いているかを確認する。AGSの公式お知らせ（第2報など）も参照できる。
いますぐできること
- AGSの公式お知らせを確認し、続報が出ていないか見る。
- AGSから個別の連絡が届いた場合は、その案内に従う。
- 身に覚えのない連絡があった場合は、すぐに応じず、公式の窓口で確認する。
何が起きたのか
2026年4月2日の早朝、山形市のYCC情報システムで、ファイルサーバーのファイルが暗号化され、攻撃者による脅迫文が確認されました。YCC情報は4月3日に第一報を出し、4月6日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃であったと公表しました。4月14日には、取引先から受託・管理していた情報の一部について、漏えいのおそれが否定できないと発表しました。4月17日、AGSは、受託している一部業務の再委託先がランサムウェア攻撃を受け、情報が外部に漏れたおそれがあると公表しました。AGS自身が直接攻撃を受けたのではなく、再委託先への攻撃が始まりでした。5月25日の第2報で、AGSは再委託先がYCC情報であることを明らかにしました。
なぜ起きたのか・なぜ広がったのか
YCC情報のファイルサーバーへの侵入経路や、悪用された弱点は、まだ発表されていません。AGSの業務が、再委託先を通じた複数段階の委託の中にあったため、再委託先への攻撃がAGSの受託業務の情報にも関わる形になりました。
いまの状況2026-05-25 時点続報待ち
2026年5月25日時点で、AGSは第2報を公表しています。YCC情報の調査では、情報が外部に送信された明確な痕跡や、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上で漏えいを裏付ける痕跡は確認されていません。ただし、漏えいの可能性は完全には否定できないため、YCC情報は監視と調査を続けています。AGSはYCC情報に再発防止策の徹底を求め、再委託の管理体制を見直して強化するとしています。AGS分の件数や情報の種類は、まだ発表されていません。なお、YCC情報全体では、山形県の約2万6800件や山形市の約50万件などについて、漏えいのおそれがあると報じられています。これらは「おそれ」の段階の数字で、AGS分との関係は示されていません。
企業として考えたいこと
自社が預かっているお客様の情報は、委託先や再委託先のどこで扱われていて、そこで事故が起きたとき、自社はどれだけ早く影響範囲を把握して連絡できるでしょうか。
技術的な要約
AGS株式会社（東証スタンダード：3648）は2026年4月17日、同社が受託している一部業務の再委託先がランサムウェア攻撃を受け、情報が外部に漏洩したおそれがあると公表した。再委託先は山形市の株式会社YCC情報システムで、同社は4月2日早朝にファイルサーバーへの不正アクセスを確認し、4月6日にランサムウェア攻撃であったと公表していた。AGS自身が直接攻撃を受けたのではなく、再委託先への攻撃が起点である。5月25日の第2報でAGSは、YCC情報の調査で情報が外部に送信された明確な痕跡やダークウェブ上の漏えいの痕跡は確認されていないが、漏えいの可能性は完全には否定できないと報告した。YCC情報は監視体制と調査を継続しており、AGSは再発防止策の徹底を求めるとともに再委託の管理体制を見直し・強化するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認AGS自身が直接攻撃を受けたのではなく、受託業務の再委託先であるYCC情報システムがランサムウェア攻撃を受けたことが起点。YCC情報のファイルサーバーへの侵入経路は、参照した出典に記載がない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品は参照した出典では公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし YCC情報のファイルサーバーでファイルが暗号化された。AGSの業務停止については出典に記載がない。
- データ
- おそれ上限 —確定 —AGSの受託業務に関する漏えいのおそれのある件数・情報種別は、参照した出典では公表されていない。第2報では、情報が外部に送信された明確な痕跡やダークウェブ調査での漏えいの痕跡は確認されていないが、可能性は完全には否定できないとされる。参考：YCC情報全体では、山形県の発表で約2万6800件、山形市の健康情報システムの情報約50万件などが漏えいのおそれとされるが、AGS分との関係は出典に記載がない。
- 波及先
- —
- AGS（YCC情報から見た委託元）
- 山形県（約2万6800件の個人情報が漏えいのおそれ）
- 山形市（健康情報システムの情報約50万件などが漏えいのおそれ）
- 金銭影響
- —
- サプライチェーン
- AGSが受託する一部業務の再委託先であるYCC情報システムへの攻撃が起点となり、委託元であるAGSの情報漏えいリスクが生じた。委託・再委託という多層構造のサプライチェーン全体の管理課題を示す事例と報じられている。
時系列
技術解説
再委託先YCC情報システムで確認された攻撃の経過 事実
YCC情報システムは2026年4月2日早朝、同社のファイルサーバーへの不正アクセスを確認した。5月20日の第五報によると、同日午前7時50分頃にファイルが暗号化され、攻撃者による脅迫文の存在も確認されていた。同社は4月3日に第一報を発表し、4月6日にランサムウェア攻撃であった旨を公表した。4月7日には感染したランサムウェアの種類を特定している。4月14日の第四報では、取引先から受託・管理していた情報の一部について、漏えいのおそれが否定できない状況であることが判明したと発表した。侵入経路や悪用された脆弱性は、参照した出典に記載がない。
AGSの第1報・第2報で公表された内容 事実
AGS株式会社は2026年4月17日、同社が受託している一部業務の再委託先がランサムウェア攻撃を受け、情報が外部に漏洩したおそれがあると公表した。報道によると、AGS自身が直接攻撃を受けたのではなく、再委託先への攻撃が起点である。5月25日の第2報で、再委託先が山形市の株式会社YCC情報システムであることを明らかにし、同社の調査結果の報告を受けたとした。調査では、情報が外部に送信された明確な痕跡はなく、ダークウェブ調査でも実質的な漏えいを裏付ける痕跡は確認されていない。ただし、漏えいの可能性は完全には否定できないとして、YCC情報は監視体制と調査を継続する。
YCC情報システム全体で報じられた漏えいのおそれの規模 事実
YCC情報システムは、自治体向けの高額医療費管理システムや、医療機関向けの電子カルテ・医療会計システムなどを提供している。報道によると、山形県の発表では、県職員や看護師など医療関係者など合計約2万6800件の個人情報が漏えいしたおそれがある。山形市では、市の健康情報システムの情報約50万件などが漏えいしたおそれがあるとされる。いずれも「おそれ」であり、流出が確認された件数ではない。県内の複数の自治体や企業で、関連する情報の発表と注意喚起が行われている。これらの数字とAGS分との関係は、参照した出典に記載がない。
多層の委託構造が可視化した管理上の論点 解釈
AGSの事例は、委託元・受託者・再委託先と続く構造のなかで、末端の事業者への攻撃が上流の組織の情報漏えいリスクにつながりうることを示している。AGSは再委託に関する管理体制の見直しと強化を表明しており、報道もこの点に注目している。ここからは、再委託先のセキュリティ水準の把握や、事故時の通知経路、影響範囲の特定手順が、平時の管理課題になると読み取れる。一方、AGS分の件数や情報種別、再委託先の侵入経路が未公表のため、個別の管理上の不備の有無は判断できない。以上は公表内容に基づく筆者の解釈である。
対応
- 封じ込め
- YCC情報は外部の専門機関と連携して調査を実施し、原因の究明と漏えいのおそれがある情報の特定、影響範囲の調査を継続している。YCC情報は監視体制と調査を継続する。AGSは再委託先と連携して影響範囲の特定を進め、影響を受ける可能性がある顧客へ個別に連絡している。
- 公表の仕方
- AGSは2026年4月17日に第1報、5月25日に第2報を公表した。第2報で再委託先がYCC情報であることを明らかにし、YCC情報の調査結果（外部送信の明確な痕跡なし、ダークウェブ調査でも漏えいを裏付ける痕跡なし、ただし可能性は完全には否定できない）を報告した。AGSはYCC情報に再発防止策の徹底を求め、再委託に関する管理体制の見直し・強化に取り組むとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先で事故が起きたとき、委託元が自社分の影響範囲を早く把握できる状態が必要になる。 | 再委託先ごとに、預けているデータ種別・件数・保管場所を一覧化した台帳を作る。契約に、事故時の通知期限と、委託元別のデータ特定を求める条項を入れる。 |
| 委託・再委託の多層構造では、末端の事業者の対策状況が上流から見えにくい。 | 再委託を許可制にし、再委託先の名称・所在地・取扱データを事前に報告させる。年1回、ランサムウェア対策（バックアップ分離、EDR、特権管理）の自己点検票を回収する。 |
| ファイルサーバーに受託データが集約されていると、暗号化や持ち出しの影響が一度に広がる。 | 委託元ごとにファイルサーバーのアクセス権を分離し、不要な古いデータを削除する。保管データを暗号化し、外向き通信量とファイルアクセスログを監視する。 |
| 外部送信の痕跡が無いと確認できても、漏えいの可能性を完全に否定できない場合がある。 | ファイルサーバーとファイアウォール、プロキシのログを十分な期間保管する。ログが欠けていても調査できるよう、ダークウェブ監視を含む事後監視の手順を事前に決めておく。 |
| 公表を段階的に更新する場合、第1報と続報の間で、何が確定し何が調査中かを読み手が区別できる必要がある。 | 公表テンプレートに「確認済み」「調査中」「未確認」の欄を設け、件数は上限と確定を分けて記載する。続報の予定時期も併記する。 |
自組織などでの確認項目
- 自組織が業務を委託している先と、その先の再委託先を、すべて把握できていますか。再委託先が事故を起こした場合に、自組織のデータがどこにあるか即答できますか。
- 委託先でランサムウェア被害が起きたとの連絡を受けたとき、自組織は何時間以内に影響を受ける顧客を特定し、連絡できますか。手順は文書化されていますか。
- 受託・預かりデータを保管するファイルサーバーのアクセス権は、委託元ごとに分かれていますか。バックアップは、本番環境が暗号化されても残る場所にありますか。
未解明点
- AGSの受託業務に関して、漏えいのおそれがある情報の件数と情報種別（個人情報かどうかを含む）はどうなっているのか。
- YCC情報システムのファイルサーバーへの侵入経路と、悪用された脆弱性や製品は何か。
- ランサムウェアの種類や攻撃者名、脅迫文の内容は公表されるのか。
- AGSが表明した再委託の管理体制の見直しと強化は、具体的にどのような内容か。
出典
- 1INTERNET Watch2026-04-20報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-08報道本文確認済
- 3ScanNetSecurity2026-04-21報道本文確認済
- 4ScanNetSecurity2026-04-23報道本文確認済
- 5ScanNetSecurity2026-05-08報道本文確認済
- 6ScanNetSecurity2026-05-26報道本文確認済
- 7ＡＧＳ株式会社2026-10-02公式本文確認済
- 8AGS株式会社2026-05-25公式本文確認済