ハンズホールディングスへのランサムウェア攻撃（従業員・退職者・扶養者の人事情報漏えいのおそれ、マイナンバー閲覧のおそれ）
公表日
建設分野の人材事業などを手がけるハンズホールディングスがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、従業員・退職者・その家族（扶養者）の人事情報が漏えいしたおそれがあります。マイナンバーも、見られたおそれがあるとされています。
対象者は？
ハンズホールディングスの従業員・退職者と、その扶養者です。氏名・従業員番号・住所・生年月日・入社年月日・メールアドレス・電話番号などの人事・労務の情報に漏えいのおそれがあり、同じ人たちのマイナンバーは「閲覧のおそれ」があるとされています（マイナンバーの漏えいは確認されていません）。対象の人数は公表されていません。お客様や取引先の情報については触れられていません。生活雑貨店の株式会社ハンズ（旧東急ハンズ）とは別の会社です。
対象の人数や個別の連絡方法は公表されていません。会社はグループ管理統括本部に問い合わせ窓口（電話・メール）を設けています。
いますぐできること
- 会社や役所を名乗ってマイナンバーや口座番号を聞いてくる電話・メールには応じない
- 取引先の方は、ハンズホールディングスの従業員を名乗るメールの添付ファイルや振込先の変更依頼に注意し、電話など別の方法で確かめる
- マイナンバーの不正利用が心配な場合は、住民票のある市区町村に相談する（番号の変更は、不正利用のおそれがあると認められた場合に限られます）
何が起きたのか
2026年6月19日の朝、ハンズホールディングスの社内システムの一部で、ウイルス感染の疑いが見つかりました。会社は感染が疑われるサーバーとパソコンを外部から切り離し、一部のシステムを止めました。6月22日の第一報では「ウイルス感染の疑い」と発表し、取引先に従業員を装ったなりすましメール実在の会社や取引先、知人を名乗って送られる偽のメールです。本物のアカウントが乗っ取られ、そこから送られてくる場合もあり、送信者名だけでは見分けがつきません。への注意を呼びかけました。8月25日の第2報で、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による被害だったことと、人事情報が漏えいしたおそれがあることを公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の種類や、身代金を求められたかどうかも公表されていません。対象に退職者や扶養者が含まれているのは、人事・労務の手続きのためにそうした人の情報も保管されていたためです。
いまの状況2026-08-25 時点続報待ち
8月25日時点で、情報の漏えいや不正利用は確認されていないとしています。会社は外部の専門機関と調査を続け、セキュリティ体制を強化するとしています。対象の人数、侵入の経路、システムの復旧状況は、まだ発表されていません。
企業として考えたいこと
自社では、退職した人や社員の家族のマイナンバーを、どこに、いつまで保管しているでしょうか。それは普段の業務で使うシステムと分けて守られているでしょうか。
技術的な要約
建設分野の人材事業等を手がけるグループ（徳村組、ハンデックス、ハンズキャリア、ハンズグローバル）の持株会社ハンズホールディングス（東京都千代田区）で、2026年6月19日8時50分ごろ社内システムの一部にウイルス感染の疑いが検知された。同社は感染が疑われるサーバーとユーザーPCを外部から遮断して一部システムを停止し、6月22日に『不正アクセス（ウイルス感染）の疑い』として第一報を出した。8月25日の第2報で、外部からの不正アクセスおよびランサムウェアによる侵害だったと明らかにし、従業員・退職者・扶養者の氏名、従業員番号、住所、生年月日、入社年月日、メールアドレス、電話番号等の人事・労務情報に漏えいのおそれ、同じ対象者のマイナンバーに閲覧のおそれがあると公表した。対象人数、侵入経路、攻撃者は非公表で、8月25日時点で漏えいの事実や不正利用は確認されていないとしている。なお、生活雑貨店の株式会社ハンズ（旧東急ハンズ）とは別法人である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第一報は『外部からの不正アクセス（ウイルス感染）の疑い』、第2報は『外部から当社社内システムへの不正アクセスおよびランサムウェアによる侵害』と表現するのみで、侵入経路（VPN等の境界機器、リモートアクセス、認証情報の流用、メール添付等）は公表されていない。第一報で取引先に『当社従業員を装ったなりすましメール』への注意を呼びかけているが、これがメール経由の侵入を意味するのか、侵害後に連絡先が悪用されるおそれを想定したものかは説明されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品の有無を含め非公表。2026-10-10時点で報道・研究者による言及も確認できなかった。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 感染が疑われるサーバーとユーザーPCを外部から遮断した結果、一部システムが停止（第一報）。停止したシステムの名称、派遣・施工業務や取引先対応への影響は記載なし。期間：2026-06-22時点で一部停止中。復旧完了の時期は2026-10-10時点で非公表
- データ
- おそれ上限 —確定 —氏名住所生年月日メール電話従業員情報マイナンバーその他第2報（8/25）による。対象は従業員・退職者・扶養者。『漏洩のおそれ』：氏名、従業員番号、住所、生年月日、入社年月日、メールアドレス、電話番号、その他人事・労務管理に関する情報。『閲覧のおそれ』：同対象者のマイナンバー。マイナンバーは『漏洩の事実は確認されておりません』と明記し、漏えいのおそれとは書き分けている。対象人数・件数は非公表。第一報（6/22）時点では個人情報・機密情報の外部流出は確認されていないとしていた。顧客・取引先情報への言及はない。8/25時点で不正利用・二次被害は確認されていない。data_typesの『その他』は従業員番号・入社年月日・扶養者情報。
- 波及先
- —
- 取引先に対し、従業員を装ったなりすましメールへの注意を喚起（第一報）
- 金銭影響
- —
- サプライチェーン
- 委託先経由・ソフトウェアサプライチェーン経由であるとの公表はない。グループ持株会社のシステムが侵害されたとみられ、グループ各社（徳村組、ハンデックス等）の従業員情報が含まれるかは明記されていない。
時系列
- 2026-06-19 08:50
- 2026-06-22第一報『当社システムへの不正アクセス（ウイルス感染）の疑いに関するお知らせ』を公表。感染が疑われるサーバー・ユーザーPCを外部から遮断し一部システム停止、外部専門機関と調査開始、個人情報・機密情報の流出は現時点で未確認、取引先になりすましメールへの注意喚起1
- 2026-08-25第2報を公表。外部からの不正アクセスおよびランサムウェアによる侵害と明示。従業員・退職者・扶養者の人事・労務情報に漏えいのおそれ、マイナンバーに閲覧のおそれ。漏えいの事実・不正利用は未確認。市区町村でのマイナンバー変更手続きを案内2
- 2026-08-28
- 2026-10-10
技術解説
公表の変遷：『ウイルス感染の疑い』から『ランサムウェア』へ 事実
6月19日8時50分ごろの検知から3日後の6月22日に第一報が出たが、表現は『不正アクセス（ウイルス感染）の疑い』にとどまり、ランサムウェアの語はなかった。約9週間後の8月25日の第2報で初めて『不正アクセスおよびランサムウェアによる侵害』と明示し、同時に人事・労務情報の漏えいのおそれを公表した。第2報には第一報へのリンクや、ランサムウェアと判明した日付の記載はない。対象人数、侵入経路、暗号化の範囲、復旧状況、個人情報保護委員会への報告状況も記載されていない。第一報の時点で取引先になりすましメールへの注意を呼びかけている点は、早い段階でメール環境や連絡先情報への影響を想定していたことを示す。
マイナンバーの『閲覧のおそれ』と『漏洩のおそれ』の書き分け 事実
第2報は、氏名・住所等の人事情報については『漏洩のおそれ』、マイナンバーについては『閲覧のおそれ』と表現を分け、マイナンバーについては『漏洩の事実は確認されておりません』と明記している。対象は従業員・退職者に加えて扶養者を含む。扶養者のマイナンバーは年末調整・社会保険手続きのために事業者が保持するもので、扶養者本人は同社との直接の関係を持たない。同社は不安がある場合に住民票のある市区町村で番号変更手続きができると案内しているが、番号変更は漏えいにより不正利用のおそれがあると認められる場合に限られる点も記されている。
『閲覧のおそれ』が示すもの（解釈） 解釈
ランサムウェア事案で『閲覧』と『漏洩』を分けるのは、攻撃者がマイナンバーを保管するサーバー・ファイルにアクセス可能な状態にあったことは否定できないが、外部への持ち出しを示すログ（転送量、圧縮・アップロードの痕跡）は見つかっていない、という調査状況を反映していると読める。逆に言えば、アクセスログや通信ログが不十分で『閲覧されていない』ことを証明できなかった可能性もある。個人情報保護法のガイドラインでは第三者の閲覧も漏えいになりうるため、表現の違いは利用者のリスク判断には大きく影響しない。マイナンバーが一般の人事情報と同じ侵害範囲に入ったこと自体が、特定個人情報の取扱区域・アクセス制御の分離が十分でなかったことを示唆する。
人材派遣グループという業態のリスク（解釈） 解釈
同グループは公式ニュースによれば施工管理技士の資格取得支援や外国人材の採用支援（ハンズグローバル）などの人材事業を手がけており、一般に人材事業は在籍者・退職者の入れ替わりが多い業態である。人事・労務データは退職後も法定保存期間や扶養・社会保険の手続きのために長期保持されやすく、侵害時の対象者が現役従業員数を大きく上回る。また派遣先企業や現場との連絡にメールを多用する業態では、従業員を装ったなりすましメールが取引先に届くと請求書詐欺やマルウェア拡散の踏み台になりやすく、第一報の注意喚起はこのリスクへの対処と読める。対象人数を公表していないため、被害規模は外部から判断できない。
対応
- 封じ込め
- 6/19の検知後、感染が疑われるサーバー・ユーザーPCを外部から遮断し被害拡大防止の応急措置（一部システム停止）。外部のセキュリティ専門機関と連携して原因特定・安全な復旧を進め、第2報でセキュリティ体制の強化を表明（MFA・EDR等の具体策は記載なし）。
- 公表の仕方
- 6/22第一報（ウイルス感染の疑い、流出未確認、なりすましメール注意喚起）、8/25第2報（ランサムウェアと明示、人事・労務情報の漏えいのおそれ、マイナンバー閲覧のおそれ、件数非公表）。いずれも公式サイトのお知らせ。専用窓口はグループ管理統括本部（電話・メール）。
- 当局対応
- 個人情報保護委員会への報告有無は公表されていない
- 警察への届出有無は公表されていない
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| マイナンバーが一般の人事情報と同じ侵害範囲に入った | マイナンバーは人事DB本体から分離し、専用の保管領域（別DB・別ストレージ、トークン化）に置いて、参照は給与・社会保険担当の特定アカウントからのみ許可。全参照をアクセスログに残し、一括エクスポートを禁止またはアラート化する |
| 『閲覧されていない』ことを示せず、『閲覧のおそれ』という表現になった | ファイルサーバーと人事DBでオブジェクト単位の読み取り監査ログ（Windowsのファイル監査4663、DBの監査ログ）を有効化し、SIEMやログ保管基盤に90日以上保持。外向き通信の転送量をプロキシ/ファイアウォールで記録し、事後に持ち出しの有無を判定できるようにする |
| 退職者・扶養者まで含む長期保持データが侵害対象になった | 人事・労務データの保存期間を書類ごとに定め（法定保存期間を超えたものは削除）、退職者データは本番システムから切り離した低アクセスのアーカイブに移す。マイナンバーは不要になった時点で速やかに廃棄する運用を年次で監査する |
| 侵害直後から従業員を装ったなりすましメールのリスクがあった | 自社ドメインにSPF・DKIM・DMARC（p=reject）を設定し、取引先へは『振込先変更や添付ファイルの依頼は電話等の別経路で確認する』ルールを平時から周知。侵害時は取引先への注意喚起文を即日出せるようテンプレート化する |
| 第2報でも件数・侵入経路・再発防止策の具体性が乏しい | 続報のテンプレートに『対象人数（区分別）／侵入経路と封じた対策／実施した技術的対策（MFA、EDR、パスワードリセット等）／当局報告の有無』を必須欄として設け、未確定なら『調査中』と書く |
自組織などでの確認項目
- あなたの会社では、従業員と扶養者のマイナンバーがどのシステムのどこに保存され、誰がアクセスできるか即答できるか。ファイルサーバー上のExcelやPDFに残っていないか。
- ランサムウェア侵害後、『データは閲覧されたが持ち出されていない』と言い切るために、どのログが何日分必要か。今のログ保持で判定できるか。
- 退職者や扶養者のデータは何年分保持しているか。それは法定の保存期間を根拠にしているか、単に消していないだけか。
- 第一報で『ウイルス感染の疑い』と書くか『ランサムウェア』と書くかで、従業員・取引先の受け止めや行動はどう変わるか。
未解明点
- 対象人数（従業員・退職者・扶養者の区分別）とグループ各社の従業員を含むか
- 侵入経路と、ランサムウェアと判明した日付・判明の根拠
- 暗号化されたシステムの範囲、業務への影響と復旧完了時期
- 個人情報保護委員会への報告（特定個人情報の漏えい等報告を含む）と警察への届出の有無
- 攻撃グループ・ランサムウェアの種類、身代金要求の有無
- なりすましメールが実際に取引先へ送信されたかどうか
出典
- 1ハンズホールディングス2026-06-22公式本文確認済
- 2ハンズホールディングス2026-08-25公式本文確認済
- 3ScanNetSecurity2026-08-28報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-08-28報道本文確認済
- 5ransomware.live研究者本文確認済
- 6ハンズホールディングス公式本文確認済
- 7ハンズホールディングス公式本文確認済