REXT Holdings連結子会社D&MへのVPN経由ランサムウェア攻撃（取引先・顧客の個人情報633件が流出の可能性）
公表日
REXT Holdingsの子会社D&Mのサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染し、取引先・顧客の氏名や住所などが最大633件、流出した可能性が高いとされています。
対象者は？
2024年8月1日から2026年6月1日までにD&MにFAXで受注した、取引先・顧客の氏名・住所・電話番号等が対象です。最大633件(流出した可能性が高いとされる件数で、確定件数は示されていません)。クレジットカード情報や銀行口座などの財産的情報は、確認されていません。
対象かどうかの確認は、D&Mセキュリティ事務局への問い合わせが案内されています。
いますぐできること
- D&MとFAXで取引した覚えがある場合は、D&Mセキュリティ事務局に問い合わせる。
- 身に覚えのないメール、電話、郵便物が来ても、記載のリンクや番号には応じず、いったん確認する。
- クレジットカードや口座の明細を、念のため確認する(財産的情報の流出は確認されていません)。
何が起きたのか
2026年6月1日、D&MでFAXデータを保存していたファイル共有サーバーが、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染していることが分かりました。調査で、第三者がVPN機器を通じてサーバーに入り込んだことが判明したとされています。D&Mは同日、安全を確認したうえで通常業務を再開しました。6月12日にREXT HoldingsとD&Mが公表しました。サーバーには約2年分のFAX受注データが保存されており、取引先・顧客の氏名、住所、電話番号などが流出した可能性が高いとされています。
なぜ起きたのか・なぜ広がったのか
報道では、FAX受注データが長期間PDFでファイル共有サーバーに保存されていたことが背景にあるとされています。VPN機器の製品名や、入り込まれた具体的な方法は、まだ発表されていません。
いまの状況2026-09-02 時点続報待ち
サーバーはネットワークから切り離され、VPN機器の対策は完了したと発表されています。個人情報保護委員会等への届出・報告は順次進められています。二次被害は確認されていません。9月にはRansomHouseというグループがREXT Holdingsへの攻撃を主張しましたが、6月のD&M事案との関係は公式には確認されていません。補償や再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社のVPN機器とFAX・受注データの保存場所を、誰が管理していて、どれだけの期間のデータが残っているか、すぐに答えられますか。
技術的な要約
REXT Holdingsの連結子会社である株式会社D&Mで、FAXデータ保存用のファイル共有サーバーがVPN機器経由の第三者による不正アクセスを受け、ランサムウェアに感染した。感染は2026年6月1日に発覚し、同年6月12日に公表された。2024年8月1日から2026年6月1日までのFAX受注データ(PDF)に含まれる取引先・顧客の氏名・住所・電話番号等633件が流出した可能性が高いとされる。クレジットカード情報や銀行口座等の財産的情報は確認されておらず、二次被害も未確認である。D&Mは発覚当日に通常業務を再開し、サーバーを切り離して個人情報保護委員会等へ順次届出・報告を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認公式発表では「第三者がVPN機器を経由してD&Mのサーバーに不正アクセスした」と判明。VPN機器の製品名・脆弱性・認証情報の悪用の有無は facts に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 発覚当日に安全を確認の上で通常業務を再開。日常業務への支障は軽微とされる。期間：発覚当日（2026-06-01）に再開
- データ
- おそれ上限 633確定 —件氏名住所電話取引先情報2024年8月1日から2026年6月1日までの約2年分のFAX受注データ(PDF)に含まれる取引先・顧客の氏名・住所・電話番号等。流出の可能性が高いとされ、確定件数は示されていない。クレジットカード情報・銀行口座等の財産的情報は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- D&MはREXT Holdingsの連結子会社。委託先・取引先経由の侵入ではなく、子会社自身のサーバーが被害を受けた。
時系列
- 2024-08-01
- 2026-06-01
- 2026-06-12
- 2026-06-12
- 2026-06-12該当ファイルサーバーをネットワークから切り離し済み、VPN機器のセキュリティ対策は完了。個人情報保護委員会等への届出・報告を順次実施中と発表。1
- 2026-06-17セキュリティ対策LabがD&M事案を報道。1
- 2026-06-25ScanNetSecurityが、約2年分のFAX受注データが外部流出した可能性があると報道。3
- 2026-08-09
- 2026-08-10
- 2026-09-01セキュリティ対策Labが、RansomHouseがREXT Holdingsをリークサイトに掲載し攻撃を主張していることを確認。6月のD&M事案への関与は公式に確認されていない。2
技術解説
公表された事案の経過 事実
REXT Holdingsは2026年6月12日、連結子会社D&Mのファイル共有サーバーが第三者によるVPN機器経由の不正アクセスを受け、ランサムウェアに感染したと発表した。感染の発覚は6月1日である。不正アクセスを受けたのは、D&MがFAXデータの保存に使っていたファイル共有サーバーで、2024年8月1日から2026年6月1日までに受信したFAX受注データ(PDF)が保存されていた。調査の結果、第三者がVPN機器を経由してサーバーへ不正アクセスしたことが判明したとされる。VPN機器の製品名や脆弱性の有無については、渡された情報に記載がない。
流出の可能性がある情報と業務への影響 事実
流出した可能性が高いとされるのは、約2年分のFAX受注データ(PDF)に含まれる取引先・顧客の氏名、住所、電話番号等で、対象件数は633件と説明されている。これは「可能性が高い」とされる件数であり、流出が確定した件数は示されていない。クレジットカード情報や銀行口座等の財産的情報は現時点では確認されておらず、二次被害も未確認である。ただし、なりすましメール・不審な電話・郵便物等が発生する可能性があるとされる。D&Mは発覚当日の6月1日に安全を確認したうえで通常業務を再開し、日常業務への支障は軽微とされる。
封じ込め・届出と別事案の位置づけ 事実
対応として、該当ファイルサーバーはネットワークから切り離し済みで、VPN機器のセキュリティ対策は完了しているとされる。個人情報保護委員会等への届出・報告は順次実施中で、監視体制の強化と再発防止の徹底が表明されている。問い合わせ先はD&Mセキュリティ事務局である。なお、8月9日にはREXT株式会社でも別のランサムウェア被害が確認され、WonderGOOなどで休業やサービス制限が発生した。6月のD&M事案と8月の攻撃が、同一の攻撃者や侵入経路によるものかは確認されていない。
データの長期保存という構造(解釈) 解釈
報道では、FAX受注データが長期間PDF形式でファイル共有サーバーに保存されていたことが被害の背景にあるとされる。ここからは解釈である。受注業務の控えとして古いデータが残り続けると、侵入された場合の対象期間が約2年分に及び、個人情報の件数も積み上がる。一方、発覚当日に通常業務を再開できたことは、このサーバーが中核業務と比較的切り離されていた可能性を示唆する。ただし、ネットワーク構成は渡された情報で確認できず、推測にとどまる。公表文が画像ファイルで出されている点は、検索や引用のしやすさの面で、情報の伝わり方に影響しうる。
RansomHouseの主張の扱い(解釈) 解釈
2026年9月1日、セキュリティ対策Labは、RansomHouseがREXT Holdingsをリークサイトに掲載し攻撃を主張していることを独自に確認した。ただし、6月のD&M事案への関与を示す公式情報はなく、8月の事案との関連も未確認である。ここからは解釈である。攻撃者の主張は、被害組織の公表と異なる範囲や時期を指す場合があるため、現時点でD&M事案の攻撃者や件数の根拠にはできない。主張の対象が持株会社名で掲載されていることも、どの子会社・どの事案を指すのかを切り分けにくくしている。今後の公式続報での整理が待たれる。
対応
- 封じ込め
- 該当ファイルサーバーをネットワークから切り離し、VPN機器のセキュリティ対策を完了。発覚当日に安全を確認の上で通常業務を再開した。監視体制の強化と再発防止の徹底を表明している。
- 公表の仕方
- 2026年6月12日に発覚（6月1日）の約11日後に公表。問い合わせ先は株式会社D&M セキュリティ事務局。発表は画像ファイルで公開されている。
- 当局対応
- 個人情報保護委員会（届出・報告を順次実施中）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| VPN機器は外部から到達できる入口であり、侵入経路として狙われる。製品・バージョン・認証方式を常に把握しておく必要がある。 | VPN機器の資産台帳(製品名・ファームウェア版数・公開状況)を作り、ベンダーの脆弱性情報を購読する。パッチ適用の期限を定め、多要素認証と接続元IP制限を有効にし、VPNの認証ログを集中監視に送る。 |
| 業務で受け取ったFAXデータが、長期間ファイルサーバーに残っていた。保存期間が長いほど、流出の対象は広がる。 | FAX受信データの保持期間を業務上必要な期間に定め、期限を過ぎたPDFは自動削除またはアーカイブ(暗号化・アクセス制限付き)に移す。ファイルサーバー上の個人情報を含むフォルダを定期的に棚卸しする。 |
| 業務用サーバーが侵害されても、他システムへ広がらないようにしておくと、被害を小さくできる。 | VPN接続後に到達できるセグメントを最小限に絞り、FAX・ファイル共有用サーバーを専用セグメントに分ける。サーバー間のSMBなどの通信はFWで制限し、管理者権限の資格情報は共用しない。 |
| グループ内の子会社で別々にランサムウェア被害が起きうる。グループ全体で共通の対策が必要になる。 | 子会社を含む全拠点のVPN機器と外部公開資産を一元的に棚卸しし、共通の最低基準(多要素認証、パッチ期限、ログ保管)を設ける。1社の侵害時に他社へ展開できるよう、IOCの共有手順とグループ内の連絡経路を決めておく。 |
| ランサムウェアの復旧と調査のため、バックアップとログが使える状態であることが重要になる。 | ファイルサーバーのバックアップをオフライン、または書き込み不可(イミュータブル)の媒体に取り、復旧手順を定期的に試験する。VPNとサーバーのログを、侵害されにくい別の場所に90日以上保存する。 |
自組織などでの確認項目
- 自組織のVPN機器は、製品名・バージョン・公開範囲を一覧にできていますか。最新の脆弱性情報を誰が確認していますか。
- FAXや受注票など、個人情報を含む業務データの保存期間は決まっていますか。期限を過ぎたデータは実際に削除されていますか。
- VPNで接続した利用者が、ファイルサーバー以外のどのシステムまで到達できるか、確認したことがありますか。
- グループ会社や子会社で、1社が侵害された場合に、他社へ連絡・遮断する手順は決まっていますか。
未解明点
- VPN機器の製品名と、悪用された脆弱性または認証情報の有無は公表されていない。
- 流出が確定した件数と、実際に外部へ持ち出されたデータの範囲は示されていない。
- 侵入日と、発覚(6月1日)までの滞在期間は公表されていない。
- 6月のD&M事案、8月のREXT株式会社の事案、RansomHouseの主張の関係は公式に確認されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-17報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-02報道本文確認済
- 3ScanNetSecurity2026-06-25報道本文確認済
- 4ScanNetSecurity2026-08-18報道本文確認済