精電舎電子工業へのランサムウェア攻撃（VPN経由で侵入、サーバーのほとんどが暗号化、AD上データが外部転送）
公表日
精電舎電子工業は2026年4月、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、サーバーのほとんどと複数のパソコンが暗号化された。基幹システムは5月18日に再開した。
対象者は？
同社のActive Directoryサーバー上のデータが外部へ転送されたと同社は判断している。顧客・取引先から受領した情報が社外へ転送された形跡はないとしている。社員の認証情報が取得されたとみられている。転送されたデータの件数や種類は、まだ発表されていません。
同社の公式発表で確認できる。個別の通知の有無や問い合わせ先は、今回の出典には記載されていない。
いますぐできること
- 同社の取引先の方は、同社からの連絡や公式発表を確認する。
- 同社を名乗る不審なメールや連絡があった場合は、すぐに応じず、同社の公表されている窓口で確かめる。
何が起きたのか
攻撃者は4月8日にVPNを通じて社内ネットワークに入り、社員の認証情報を取得したとみられています。4月22日にサーバーのほとんどと複数のパソコンを暗号化しました。同社は同日午前7時50分に異常に気づき、全社ネットワークを遮断しました。5月7日に第1報、7月21日に最終報告が公表され、原因がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃だったと確認されました。
なぜ起きたのか・なぜ広がったのか
攻撃者はVPNから入り込み、社内で認証情報を使って複数のサーバーに移動したと報じられています。VPNからの侵入の具体的な原因は、まだ発表されていません。
いまの状況2026-08-07 時点
2026年7月21日の最終報告の時点で、基幹システムは暫定システムの復旧により5月18日から見積・受発注・生産・出荷を再開しています。感染しなかったパソコンにEDRを導入し、外部企業による24時間監視を始めました。ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。への掲載は確認されておらず、監視を続けています。データの件数などは、まだ発表されていません。
企業として考えたいこと
もし自社のVPNから侵入されて社内の認証の仕組みが乗っ取られたら、何日間、どの業務を代わりの手段で続けられるでしょうか。
技術的な要約
精電舎電子工業は2026年4月22日午前7時50分に異常を検知し、全社ネットワークを遮断した。攻撃者は4月8日にVPN経由で社内ネットワークへ侵入し、Active Directoryサーバーで社員の認証情報を取得したとみられ、4月22日にサーバーのほとんどと複数のパソコンを暗号化した。同社はAD上のデータが外部へ転送されたと判断している一方、顧客・取引先から受領した情報が社外へ転送された形跡はないとしている。第1報は5月7日、最終報告は7月21日に公表され、原因がランサムウェア攻撃であったことが確認された。基幹システムは暫定システムの復旧により5月18日から見積・受発注・生産・出荷を再開している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器報道・研究者攻撃者は2026年4月8日にVPNを経由して社内ネットワークへ侵入した。VPNからの侵入の具体的な原因（機器の脆弱性か、認証情報の漏洩か）は公表されていない。
- 脆弱性
- CVE 非公表不明VPN侵入の具体的な原因（機器の脆弱性か認証情報の漏洩か）は未公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サーバーのほとんどと複数のパソコンが暗号化された。Microsoft365、Kintone、勘定系などのクラウドサービスは被害を受けず、これらで暫定運用した。基幹システムは暫定システムを復旧し、5月18日から見積・受発注・生産・出荷を再開した。期間：2026-04-22から2026-05-18（再開）まで
- データ
- 確定上限 —確定 —従業員情報業務データActive Directoryサーバー上のデータが外部へ転送されたと判断している。その他の機器への行動は暗号化のみで、データが社外へ転送された形跡はない。顧客・取引先から受領した情報が社外へ転送された形跡はなく、ダークウェブへの掲載も確認されていない（監視継続）。件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 同社は自動車・医療・半導体・食品などの大手メーカーに装置を供給する重要サプライヤーだが、取引先への波及は公表されていない。
時系列
- 2026-04-08攻撃者がVPNを経由して社内ネットワークへ侵入した。1
- 2026-04-08攻撃者がActive Directoryサーバーへログインし、社員の認証情報が取得されたとみられる。1
- 2026-04-22攻撃者が複数のサーバー・パソコンにログインして暗号化を実施した。被害はサーバーのほとんどと複数のパソコンに及んだ。1
- 2026-04-22 07:50同社が異常を検知し、マルウェアによる不正アクセスを確認した直後に全社ネットワークを遮断した。1
- 2026-04-22 10:00
- 2026-04-22荒川警察署へ報告した。1
- 2026-04-24個人情報保護委員会へ報告した。1
- 2026-05-07
- 2026-05-18暫定システムを復旧し、見積・受発注・生産・出荷を再開した。1
- 2026-07-21
- 2026-08-07ScanNetSecurityがAD上データの外部転送判断について報じた。3
技術解説
攻撃の流れ（公表されている範囲） 事実
報道によれば、攻撃者は2026年4月8日にVPNを経由して社内ネットワークへ侵入した。その後Active Directoryサーバーへログインし、その際に社員の認証情報が取得されたものとみられている。認証情報を得た攻撃者は社内ネットワークをスキャンし、複数のサーバーへ次々とログインした。4月22日には複数のサーバーとパソコンにログインして暗号化を実施し、被害はサーバーのほとんどと複数のパソコンに及んだ。侵入から暗号化までは約2週間あった。VPNからの侵入の具体的な原因（機器の脆弱性か認証情報の漏洩か）は公表されていない。
対応と公表の経過 事実
同社は4月22日午前7時50分に異常を検知し、マルウェアによる不正アクセスを確認した直後に全社ネットワークを遮断した。午前10時には緊急対策本部を設置し、外部セキュリティ専門企業と連携して原因究明と封じ込めを始めた。関係当局への報告は、4月22日に荒川警察署、4月24日に個人情報保護委員会へ行われた。第1報は5月7日に「サイバー攻撃の可能性があるシステム障害」として公表され、検知から約15日が経過していた。同社はこの間、正確な事実関係の確認と安全なシステム復旧を優先したと説明している。7月21日には外部専門機関の調査完了を受けて最終報告を公表し、原因がランサムウェア攻撃であったことを確認した。
影響範囲とデータの扱い 事実
Microsoft365、Kintone、勘定系などのクラウドサービスは被害を受けず、メールも外部のメールサービスを利用していたため無事だったと報じられている。これらで暫定運用し、基幹システムは暫定システムを復旧して5月18日から見積・受発注・生産・出荷を再開した。データについては、同社はActive Directoryサーバー上のデータが外部へ転送されたと判断している。一方、その他の機器への攻撃者の行動は暗号化のみで、社外へ転送された形跡はないとしている。顧客・取引先から受領した情報が社外へ転送された形跡はなく、ダークウェブへの掲載も確認されていないが、監視は継続されている。流出した件数や情報の種類は公表されていない。
被害が広がった要因についての考察 解釈
公表情報から言えるのは、侵入から暗号化まで約2週間の時間があり、その間に認証情報の取得と社内の探索が進んだという点である。ADは認証の中核であるため、ここで認証情報が得られると多数のサーバーへ横展開しやすくなる構造だったと考えられる。一方で、クラウドサービスや外部メールが被害を受けず暫定運用に使えたことは、復旧までの業務継続に寄与したとみられる。事後にEDRと24時間監視（SOC）を導入した点は、侵入後の検知を重視する方向の対策と読める。ただしVPN侵入の原因や検知できなかった経緯は未公表であり、これらは公表された事実からの推測にとどまる。
対応
- 封じ込め
- 異常検知（4月22日午前7時50分）の直後に全社ネットワークを遮断し、午前10時に緊急対策本部を設置、外部セキュリティ専門企業と連携して原因究明・封じ込めを開始した。感染が確認されなかったPCへEDRを導入し、外部専門企業による24時間監視（SOC）を開始した。マルウェア検知時に当該PCを隔離しネットワークを即時遮断する仕組みも導入した。
- 公表の仕方
- 2026年5月7日に「サイバー攻撃の可能性があるシステム障害」として第1報を公表し、7月21日に最終報告を公表した。第1報までに約15日を要した理由は「正確な事実関係の確認と安全なシステム復旧を優先」したためと説明している。
- 当局対応
- 荒川警察署（2026-04-22報告）
- 個人情報保護委員会（2026-04-24報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| VPN経由の侵入が約2週間気づかれないまま暗号化に至った | VPNの認証ログを監視し、通常と異なる接続元・時間帯のログインを検知するルールをSIEMに実装する。VPNには多要素認証を必須とし、機器のファームウェアを定期的に更新する。 |
| Active Directoryサーバーで認証情報が取得され、横展開の足がかりとなったとみられる | 特権アカウントの管理層を分離し、ドメイン管理者の利用端末を限定する。ADサーバーへのログオンと資格情報ダンプの兆候（LSASSアクセス等）をEDRで検知する。 |
| 侵入後のスキャンと複数サーバーへのログインが暗号化まで続いた | サーバー間のSMB・RDP通信をセグメント分離とホストFWで制限する。内部スキャンや短時間の多数ホストへのログインを検知する。 |
| クラウドサービスや外部メールが被害を受けず、暫定運用に使えた | 基幹システムが停止した場合の代替手段を平時から定め、暫定運用の手順と復旧優先順位を訓練する。バックアップはネットワークから分離して保管し、復元テストを行う。 |
| 検知から第1報まで約15日を要した | 事実確認中でも第1報で出せる項目（発生日時、遮断済みであること、調査中であること）を事前に定めた公表テンプレートを用意し、公表判断の期限を決めておく。 |
自組織などでの確認項目
- 自組織のVPNは多要素認証を必須としているか。接続ログを誰がいつ確認しているか。
- ADの管理者アカウントでのログオンや認証情報の窃取の兆候を、自組織は検知できるか。
- 基幹システムが全面停止した場合、クラウドなど代替手段で何日間どの業務を続けられるか。
- サイバー攻撃の疑いがあるとき、事実確認が終わる前に第1報を出す基準を決めているか。
未解明点
- VPNからの侵入の具体的な原因（機器の脆弱性か認証情報の漏洩か）は何だったのか。
- 外部へ転送されたActive Directoryサーバー上のデータの件数と内容はどの範囲か。
- 攻撃者の名称や、ランサムウェアの種類は何か。
- 侵入（4月8日）から暗号化（4月22日）までの間、なぜ検知されなかったのか。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-22報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-11報道本文確認済
- 3ScanNetSecurity2026-08-07報道本文確認済