西山製作所へのランサムウェア攻撃（社内ネットワーク暗号化、リークサイトに情報公開との報道）
公表日
小径精密鋼管メーカーの西山製作所が、社内ネットワークでランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。(データを暗号化して使えなくするウイルス)の被害を受けたと2026年2月13日に公表しました。報道では、攻撃者のリークサイトで盗まれたと思われる情報が公開されたとされています。
何が起きたのか
2026年1月22日の朝、西山製作所では複数のパソコンからサーバ内のデータが開けなくなりました。サーバのフォルダを調べると、英語で「ネットワークは暗号化した」と書かれた文章が見つかり、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。への感染が分かりました。同社は外部からのアクセスや社内ネットワークを遮断し、警察などの関係機関に報告しました。2月13日に被害を公表し、3月5日には第2報を発表しました。報道によると、攻撃者グループのリークサイトで、盗まれたと思われる情報が公開されました。
なぜ起きたのか・なぜ広がったのか
侵入された経路は、外部の調査会社が調べている段階で、まだ発表されていません。被害が広がった理由も公表されていません。
いまの状況2026-03-13 時点続報待ち
同社は外部調査会社に、侵入経路・被害状況・影響範囲の調査を依頼しており、結果が分かり次第あらためて報告するとしています。情報漏えいの有無は、2月19日時点の報道では確定していませんでした。漏えいが分かった場合は、対象のお客様に速やかに連絡するとしています。公開された情報の中身や件数、事業への影響の詳しい範囲は、まだ発表されていません。
企業として考えたいこと
もし自社のサーバが突然使えなくなり、データも外部に公開されたとき、誰が何分以内にネットワークを遮断し、取引先へどの順番で連絡するかを決めてありますか。
技術的な要約
小径精密鋼管の引抜メーカーである西山製作所は2026年2月13日、社内ネットワークが第三者による不正アクセスを受け、ランサムウェア感染の被害が発生したと公表した。同社は1月22日朝、複数のパソコンでサーバ内データにアクセスできなくなり、フォルダ内に「ネットワークは暗号化した」とする英語のテキストを見つけて感染を認識した。同社は外部からのアクセス遮断や社内ネットワークの遮断、警察・関係機関への報告を行い、外部調査会社にフォレンジック調査を依頼した。3月5日に第2報を発表し、報道によれば攻撃者グループのリークサイトで窃取されたと思われる情報が公開された。漏えいの有無は公表時点で確定しておらず、調査結果は判明次第報告するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は外部調査会社によるフォレンジック調査で究明中であり、facts上は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 複数のパソコンからサーバ内データにアクセスできない状態となった。社内ネットワークを遮断する措置を講じた。事業への具体的な影響範囲・停止日数は記載なし。
- データ
- 調査中上限 —確定 —外部調査会社による調査が継続中で、漏えいの有無は確定していない（2026-02-19時点の報道）。その後、リークサイトで窃取されたと思われる情報が公開されたと報じられた。件数・種別は記載なし。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-01-22
- 2026-01-22
- 2026-01-22不正アクセスを認識し、外部からの社内ネットワークへのアクセスを遮断した。1
- 2026-01-22直ちに警察・関係機関へ報告し、社内ネットワークを遮断する措置を講じた。1
- 2026-02-13
- 2026-02-13外部調査会社に侵入経路・被害状況・影響範囲究明のフォレンジック調査を依頼していると公表された。1
- 2026-02-19報道時点で外部調査会社の調査が継続中で、漏えいの有無は確定していない。結果判明次第あらためて報告するとされた。1
- 2026-03-04ScanNetSecurityが第1報の内容を報じた。2
- 2026-03-05同社が第2報を発表した。3
- 2026-03-13攻撃者グループのリークサイトで窃取されたと思われる情報が公開されたと報じられた。3
技術解説
発生から公表までの経緯(公表・報道ベース) 事実
報道によれば、西山製作所は2026年1月22日朝、複数のパソコンでサーバ内のデータにアクセスできない状態が報告された。サーバ内のフォルダを確認したところ、「ネットワークは暗号化した」とする英語のテキストが見つかり、ランサムウェア感染を認識した。同社は不正アクセスを認識した後、外部からの社内ネットワークへのアクセスを遮断した。感染を認識した後は直ちに警察・関係機関へ報告し、社内ネットワークを遮断する措置も講じた。その後、2026年2月13日に、社内ネットワークが第三者による不正アクセスを受け、ランサムウェア感染の被害が発生したと公表した。
調査の状況と公表内容(公表・報道ベース) 事実
同社は侵入経路、被害状況、影響範囲の究明を目的として、外部調査会社に社内ネットワークのフォレンジック調査を依頼した。2026年2月19日時点の報道では、調査は継続中で、情報漏えいの有無は確定していないとされた。漏えいの事実が判明した場合は対象顧客へ速やかに連絡し、調査結果が判明次第あらためて報告するとしている。3月5日には第2報を発表した。また、ScanNetSecurityの記事見出しは、攻撃者グループのリークサイトで窃取されたと思われる情報が公開されたと伝えている。侵入経路や漏えいの範囲、情報の種類は、今回参照できた情報には記載がない。
暗号化と情報公開が重なる構造(解釈) 解釈
今回の事案は、社内サーバのデータが使えなくなる被害に加え、リークサイトで窃取されたと思われる情報が公開されたと報じられた点が特徴といえる。これは、データの暗号化に加えて情報の持ち出しも行われたことを示唆する可能性がある。ただし、公開された情報の中身や、同社がそれを窃取された情報と認めたかどうかは、参照できた情報では確認できない。バックアップから復旧できたとしても、持ち出された情報の公開という別の影響が残りうる点は、一般論として重要である。確定的な評価は、同社の調査結果の公表を待つ必要がある。
公表の時間差と情報の少なさ(解釈) 解釈
同社は1月22日に感染を認識し、直ちにネットワークの遮断と警察などへの報告を行った。一方、公表は2月13日で、認識から約3週間後である。この間は調査や復旧に充てられた可能性があるが、理由は参照できた情報に書かれていない。また、侵入経路や事業への影響の程度、停止期間は示されておらず、取引先や読者が自社への影響を判断しにくい面がある。製造業では取引先との連携が多いため、調査の途中でも分かっている範囲を段階的に伝える運用が、利害関係者の不安を和らげる一助になりうる。
対応
- 封じ込め
- 外部からの社内ネットワークへのアクセス遮断、社内ネットワークの遮断、警察・関係機関への報告と連携、外部調査会社へのフォレンジック調査依頼を実施した。
- 公表の仕方
- 2026年2月13日に第1報、3月5日に第2報を公表。調査結果が判明次第あらためて報告し、漏えいが判明した場合は対象顧客へ速やかに連絡するとしている。
- 当局対応
- 警察・関係機関へ報告・連携（具体的な機関名は記載なし）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 複数のパソコンから同時にサーバのデータへアクセスできなくなる事態は、ランサムウェアの兆候になりうる。早い切り分けが被害拡大の抑止に直結する。 | ファイルサーバでの大量のファイル名変更・拡張子変更や、身代金要求文書(ランサムノート)の作成を検知するルールをEDR/SIEMに設定し、検知時にネットワークセグメントを自動隔離する手順を用意する。 |
| 同社は感染認識後に外部アクセスの遮断、社内ネットワークの遮断、警察への報告を行った。初動の遮断と連絡の流れを事前に決めておく価値は大きい。 | インシデント対応手順書に、遮断の判断者、遮断対象(VPN・拠点間回線・クラウド連携)、警察・外部調査会社への連絡先を明記し、年1回は机上演習で実際に遮断操作まで確認する。 |
| リークサイトで窃取されたと思われる情報が公開されたと報じられており、暗号化だけでなく情報の持ち出しも想定した備えが要る。 | ファイルサーバ上の機密データを分類して保管場所を限定し、大量の外向き通信やクラウドストレージへのアップロードをプロキシ/FWのログで監視、閾値超過時にアラートを出す。 |
| 侵入経路が調査中の段階では、同種の経路が残っていないか自組織でも点検しておく必要がある。 | VPN装置・リモート接続・公開サーバの棚卸しと、パッチ適用状況・多要素認証の有無の確認を定期的に行い、使われていない外部公開口と管理者アカウントを停止する。 |
| 漏えいの有無が確定しない期間が長いと、取引先や顧客が自衛の判断をしにくい。 | フォレンジック調査の進行中でも更新する公表の頻度と内容(確認済み事項/調査中事項)をあらかじめ定め、取引先向けの問い合わせ窓口とひな形を準備しておく。 |
自組織などでの確認項目
- 自組織のファイルサーバで、短時間に大量のファイルが書き換えられた場合に検知・通知される仕組みはあるか。通知は誰が受け取り、何分以内に隔離するか。
- 社内ネットワークを遮断する判断を誰ができ、遮断時にも業務を継続する代替手段(連絡手段、受発注の手順)は用意されているか。
- バックアップは本番環境から切り離して保管されているか。また、データが外部に公開された場合に、取引先へ何を・いつ連絡するかを決めてあるか。
未解明点
- 侵入経路(VPN/境界機器、認証情報の流用など)は何だったのか。
- リークサイトで公開された情報の内容・件数は何で、同社の保有情報と一致するのか。顧客や取引先の情報は含まれるのか。
- 事業(製造・出荷など)への具体的な影響範囲と、システムの復旧時期はどうなっているのか。
- 攻撃者グループはどこか。同社はそれを認めているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-19報道本文確認済
- 2ScanNetSecurity2026-03-04報道本文確認済
- 3ScanNetSecurity2026-03-13報道本文確認済