ホソカワミクロンへのクラウドストレージ不正ログオンとEverestによる恐喝・データ公開（個人情報1,728件、マイナンバー1件を含む）
公表日
粉体機器メーカーのホソカワミクロンが使っていたクラウドストレージに不正ログインがあり、顧客・取引先の担当者や従業員など1,728件の個人情報が漏えいしました。盗まれたとみられるファイルはインターネット上に公開されました。
対象者は？
粉体装置事業の顧客・取引先の担当者 257件（氏名・性別・住所・メールアドレス・電話番号の全部または一部）、従業員（退職者を含む）1,470件（氏名・生年月日・性別・住所・電話番号・メールアドレスなどの全部または一部）、従業員の家族 1件（マイナンバーを含む）です。
対象の方には会社から順に個別に連絡するとされ、個別に連絡できない場合は公表をもって通知に代えるとしています。最終報で内容を確認できます。
いますぐできること
- ホソカワミクロンや取引先を名乗るメールで、見積書や請求書などの添付ファイルが届いたら、開く前に送り主に別の方法で確認する
- 仕事用のメールアドレスや電話番号に、不審な連絡が増えていないか気をつける
何が起きたのか
2026年2月2日の朝、ホソカワミクロンはサイバー攻撃を受けた可能性のある事象を確認し、外部からのアクセスを制限しました。実はその数時間前に、犯行グループ「Everest」が自分たちのサイトに同社の名前を載せ、30GBのデータを盗んだと主張していました。2月15日、会社は流出した疑いのあるファイルがインターネット上で公開されていることを確認しました。3月27日の最終報で、原因と漏えいした件数が公表されました。
なぜ起きたのか・なぜ広がったのか
原因は、補助的に使っていたクラウドストレージの1つのアカウントへの不正ログインでした。どこかで漏れたか、推測されたIDとパスワードが使われたとみられています。クラウドサービスの名前や、そのIDとパスワードがどう知られたかは公表されていません。攻撃されたのは社内のネットワーク全体ではなく、このクラウド上のアカウントでした。
いまの状況2026-03-27 時点
事業が止まることはなく、業績への影響は軽微とされています。個人情報が悪用された被害は、最終報の時点で報告されていません。会社はセキュリティと監視の体制を強化するとしていますが、具体的な内容は公表されていません。犯行グループの主張する30GBと、公表された件数との関係は分かっていません。
企業として考えたいこと
部署ごとに使い始めたクラウドストレージやファイル共有サービスを、会社として把握しているでしょうか。それぞれのアカウントに、パスワード以外の確認（多要素認証）が設定されているか確かめてみましょう。
技術的な要約
粉体機器メーカーのホソカワミクロン（東証プライム）は、2026年2月2日10時頃にサイバー攻撃を受けた可能性のある事象を確認し、外部からのアクセスを制限して翌2月3日に第1報を公表した。ランサムウェアグループEverestは日本時間2月2日朝（ransomware.live記録で2/1 22:21 UTC）の時点でリークサイトに『Hosokawa Micron Group』を掲載して30GBの窃取を主張しており、同社は2月15日に流出の疑いのあるファイルがインターネット上で公開されたことを確認した（2/16第2報）。3月27日の最終報で、原因は補助的に利用していたクラウドストレージサービスの1アカウントへの不正ログオンで、漏えい・推測されたID・パスワードが使われたとみられると説明した。漏えいした個人情報は顧客・取引先関係者257件、従業員（退職者含む）1,470件、従業員家族1件（マイナンバーを含む）の計1,728件。事業の中断はなく業績への影響は軽微とされ、ランサムウェアによる暗号化は公式には報告されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式（最終報・英語版）：『unauthorized access to one account on a cloud storage service that we used on a supplementary basis』。攻撃者は漏えいした、または推測したID・パスワードを用いて当該サービスの1アカウントに不正にアクセスしたと考えられる、としている。クラウドサービス名、当該アカウントの多要素認証の有無、ID・パスワードの入手経路（インフォスティーラー、使い回し、総当たり等）は非公表。報道（セキュリティ対策Lab）は、基幹システムや社内ネットワーク全体へのランサムウェア感染ではないと整理している。
- 脆弱性
- CVE 非公表公表で確認非公表のクラウドストレージサービス（補助的利用）ソフトウェア脆弱性の悪用ではなく、1アカウントのID・パスワードによる不正ログオンと公表。認証設定（MFA、条件付きアクセス、IP制限）の有無は非公表。
- 攻撃者
- Everest 被害組織の言及なしEverestがダークウェブのリークサイトに『Hosokawa Micron Group』（hosokawamicron.co.jp）を掲載（ransomware.live の発見時刻 2026-02-01 22:21 UTC）。30GBのデータ窃取を主張し、『企業担当者が連絡しなければ完全版を近く公開する』と脅迫。報道によればサンプルにはネットワーク設計書、見積書、契約書、製品情報が含まれ、サンプル上は個人・顧客情報は確認されなかった。同社は2/15にファイルの公開を確認したが、公式発表でEverestの名前には言及していない。
- ATT&CK
影響
- 業務停止
- なし 2/2に外部からのアクセスを制限。第2報（2/16）で『その他の影響は確認されておらず、事業は通常どおり継続』、最終報（3/27）で事業の中断はなく業績への影響は軽微と公表。基幹システムの停止・暗号化は公式に報告されていない。
- データ
- 確定上限 1,728確定 1,728件氏名性別住所メール電話生年月日マイナンバー従業員情報取引先情報業務データ最終報の3区分を合算（257＋1,470＋1＝1,728件。合計は本台帳での計算で、公式は区分別件数のみ記載）。(1) 粉体装置事業に関する顧客・取引先関係者257件：氏名・性別・住所・メールアドレス・電話番号の全部または一部。(2) 従業員（退職者を含む）1,470件：氏名・生年月日・性別・住所・電話番号・メールアドレス等の全部または一部。(3) 従業員の家族1件：氏名・性別・住所・電話番号・マイナンバー。個人データの不正利用等の二次被害は最終報時点で未報告。業務データ（ネットワーク設計書・見積書・契約書・製品情報）は攻撃者サンプルとして報道されたもので、公式の漏えい項目には記載がない。Everestの主張する30GBと公式件数の対応関係は不明。
- 波及先
- —
- 粉体装置事業の顧客・取引先関係者257件の個人情報が漏えい（取引先企業の担当者へ波及）
- 金銭影響
- 最終報（2026-03-27）で業績への影響は軽微と公表。特別損失等の金額開示は確認できなかった。
- サプライチェーン
- 侵害されたのは同社が補助的に契約・利用していたクラウドストレージ上の自社アカウントで、クラウド事業者側の侵害ではない。顧客・取引先関係者の個人情報が含まれたが、他組織のシステムへの波及は公表されていない。
時系列
- 2026-02-01
- 2026-02-02 07:21ransomware.liveがEverestの掲載を記録（2026-02-01 22:21 UTC）。同社の事象確認より約2時間40分早い4
- 2026-02-02 10:00
- 2026-02-03第1報（英語版『Notice Regarding Potential Cyber Security Incident』）を公表（原因・影響範囲は調査中）1
- 2026-02-05報道がEverestの犯行声明と30GB主張、サンプル（ネットワーク設計書・見積書・契約書・製品情報）を報じる。同じEverestが信和（東証スタンダード）への攻撃も主張7
- 2026-02-15
- 2026-02-16
- 2026-03-27
- 2026-04-09報道がマイナンバーを含む個人情報の漏えいとして最終報を報じる10
技術解説
攻撃の構造：『ランサムウェアグループ』だが暗号化のない恐喝 事実
最終報が示す原因は、補助的に利用していたクラウドストレージの1アカウントへの、漏えいまたは推測されたID・パスワードによる不正ログオンである。基幹システムの停止や暗号化は公式に報告されておらず、事業中断もない。攻撃者のEverestはランサムウェアグループとして知られるが、本件はクラウド上のファイルを窃取し、リークサイト掲載と公開で圧力をかけるデータ窃取型の恐喝（暗号化を伴わない“二重恐喝”の後半だけ）として現れた。脆弱性悪用ではなく、正規のクラウドアカウントを使ったアクセスであるため、EDRや境界防御では検知しにくい類型である。
検知の順序：攻撃者の掲載が先、企業の確認が後 事実
ransomware.liveはEverestによる掲載を2026-02-01 22:21 UTC（日本時間2/2 7:21）に記録しており、同社が事象を確認した2/2 10:00頃より約2時間40分早い。研究者サイトのDeXposeも2/1付で報告している。公式発表は検知のきっかけを明示していないが、侵入やデータ窃取の時点では検知できず、リーク掲載とほぼ同時かその後に事態を把握したことになる。2/15のファイル公開までに約2週間あり、身代金交渉の有無は公表されていない。
なぜ1アカウントで1,728件とマイナンバーが漏れたのか（推測） 解釈
公表から読み取れるのは、補助的な（全社標準ではない）クラウドストレージに、粉体装置事業の顧客・取引先情報と従業員1,470名分の人事系データ、さらに従業員家族のマイナンバーを含むファイルが置かれていたことである。従業員の生年月日や家族のマイナンバーは年末調整・社会保険手続きなどの労務データとみられ、事業部の取引データと同じストレージにアクセス可能だった可能性がある。また『補助的に利用』という表現からは、情報システム部門の統制（SSO・MFA・条件付きアクセス・監査ログ）の外にあったシャドーITに近い位置付けがうかがえる。いずれも公式説明はなく推測である。
公表の評価 解釈
確認の翌日に第1報、ファイル公開の翌日に第2報、約2か月で最終報と、テンポは速く、原因（1アカウントへの不正ログオン）と区分別の件数・項目まで開示した点は評価できる。一方、クラウドサービス名、MFAの有無、認証情報の入手経路、窃取された業務データの範囲、Everestの関与と身代金要求の有無には触れていない。特にEverestが主張する30GB・業務文書のサンプルと、公式に開示された個人情報1,728件との関係が説明されておらず、取引先が自社の機密情報（設計・見積・契約）の漏えいを判断する材料が不足している。
対応
- 封じ込め
- 2/2に外部からのアクセスを制限し、外部専門機関の協力で原因と被害範囲を調査。不正ログオンされたクラウドストレージアカウントへの対処の具体的内容は非公表。外部専門家の助言と調査結果を踏まえ、システムのセキュリティ体制と監視体制を強化するとしている（具体策は非公表）。従前から情報セキュリティ規程を設け対策ソフトを導入していたと説明。
- 公表の仕方
- 2/3第1報（事象確認のみ）、2/16第2報（ファイル公開の確認）、3/27最終報（原因・漏えい区分と件数・マイナンバー1件）。対象者へ順次個別通知し、個別連絡できない場合は公表をもって通知に代える。Everest・クラウドサービス名は公式に言及なし。
- 当局対応
- 警察へ報告
- 個人情報保護委員会ほか関係機関へ報告（最終報）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 補助的に使っていたクラウドストレージの1アカウントがID・パスワードだけで突破された | 全社のSaaS／クラウドストレージをCASB・SSOログ・経費精算データから棚卸しし、業務利用するものは IdP（Entra ID/Okta等）のSSO配下に統合してフィッシング耐性MFA（FIDO2/パスキー）を必須化。SSO非対応のサービスは利用禁止か、ローカルアカウントにMFAと強制PW変更を適用 |
| 漏えい・推測された認証情報が使われた（入手経路は不明） | Have I Been Pwned等の侵害データやインフォスティーラーログの監視サービスで自社ドメインの認証情報流出を検知し、該当アカウントを即時リセット。共有アカウント・部署アカウントを廃止し個人IDに置き換える |
| 攻撃者のリーク掲載より後に事象を把握した | クラウドストレージの監査ログ（ログイン元IP/国・ASN、新規デバイス、大量ダウンロード・同期、APIトークン発行）をSIEMに集約し、通常と異なる地域からのログインや短時間の大量ダウンロードでアラート。リークサイト監視（ransomware.live等）を自社名・ドメインで設定 |
| マイナンバーや従業員の生年月日など人事・労務データが事業部のデータと同じストレージから漏れた | マイナンバー等の特定個人情報は専用システムまたはアクセス権を限定した保管領域に隔離し、汎用クラウドストレージへの保存をDLPルールでブロック（12桁番号パターン＋キーワード検出）。退職者データは保持期限で自動削除 |
自組織などでの確認項目
- あなたの会社で、情報システム部門が把握していない『補助的に』使われているクラウドストレージやSaaSはいくつあるか。それらにSSOとMFAは効いているか。
- 共有アカウントや部署アカウントでクラウドにログインしている運用は残っていないか。そのパスワードが漏れた場合、どのログで、何時間以内に気づけるか。
- 攻撃者がリークサイトに自社名を掲載したとき、社内の誰がどの経路でそれを知り、何時間で調査を始める体制になっているか。
- マイナンバーや人事データが、業務ファイルと同じ共有フォルダやクラウドストレージに紛れ込んでいないか、どうやって確かめるか。
未解明点
- 不正ログオンされたクラウドストレージサービスの名称、アカウントのMFA設定、ID・パスワードの入手経路
- 不正ログオンの開始日時と、データ窃取からリーク掲載までの期間
- Everestからの身代金要求の有無と同社の対応
- Everestが主張する30GBの内訳と、報道されたネットワーク設計書・見積書・契約書等の業務データの漏えい範囲（取引先の機密情報を含むか）
- 同時期にEverestが主張した信和（3447）の事案との関連（同一手口か）
- 具体的な再発防止策（MFA導入、SaaS統制等）の内容
出典
- 1ホソカワミクロン2026-02-03公式本文確認済
- 2ホソカワミクロン2026-02-16公式本文確認済
- 3ホソカワミクロン2026-03-27公式本文確認済
- 4ransomware.live2026-02-01研究者本文確認済
- 5Breachsense2026-02-02研究者本文確認済
- 6DeXpose2026-02-01研究者本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-02-05報道本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-03-29報道本文確認済
- 9ScanNetSecurity2026-03-05報道本文確認済
- 10ScanNetSecurity2026-04-09報道本文確認済