コタ株式会社へのランサムウェア攻撃（個人情報等が延べ109,147件閲覧された可能性・決算短信の開示遅延）
公表日
美容室向けヘアケア製品のコタ株式会社が2026年3月にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害を受け、従業員・株主・取引先などの情報が延べ最大109,147件閲覧された可能性があると発表しました（漏えいや不正利用は確認されていません）。
対象者は？
従業員（退職者を含む）、採用応募者、直送サービス（コタストアを除く）のお客様、お取引先関係者、株主、IRイベント応募者、スタイリストアワード関係者、製品モニターの情報が対象です。氏名・住所・電話番号・メールアドレスなどが含まれますが、クレジットカード情報は含まれません。1件ごとにすべての項目が含まれるわけではありません。件数は8区分の単純合計で、重複の有無は分かっていません。
同社は法令に従い、対象者へ通知等を実施するとしています。詳しくは公式のお知らせをご覧ください。
いますぐできること
- 心当たりのない電話、メール、SMS、郵送物が届いたら、内容に注意し、慌てて対応しないでください。
- 2026年3月27日〜4月19日にメールで同社へ問い合わせた方は、お問い合わせフォームから内容を再送信してください。
- 対象の可能性がある方は、同社からの通知や公式のお知らせを確認してください。
何が起きたのか
2026年3月27日、コタの社内PC端末の一部で動作不良が見つかり、調査で第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が分かりました。同社はすべてのサーバーと社内PC端末をネットワークから切り離し、外部の専門家と調査と復旧を始め、3月30日に最初のお知らせを出しました。4月15日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。への感染が明らかになり、6月5日には一部のサーバーと社内PC端末のデータが暗号化されていたと説明しました。決算作業と監査が遅れ、2026年3月期の決算短信の開示は期末後50日を超える見込みとなりました。8月20日には、個人情報が閲覧された可能性を否定できないとして、8区分で延べ109,147件を公表しました。
なぜ起きたのか・なぜ広がったのか
侵入経路や悪用された弱点、攻撃者は、まだ発表されていません。決算が遅れたのは、システム障害の影響で決算数値の確定と会計監査人の監査に時間がかかったためと説明されています。
いまの状況2026-08-20 時点続報待ち
2026年8月20日時点で、個人情報の漏えいや不正利用などの被害、二次被害は確認されていないとされています。生産・受注・出荷業務は続けられています。同社は外部専門家と協力し、ネットワークとサーバー環境の再構築と強化を進めています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への通報・相談は行われています。侵入経路などの詳細は、まだ発表されていません。
企業として考えたいこと
もし御社の社内システムが一斉に使えなくなったとき、生産や出荷だけでなく、決算・監査や問い合わせ対応、株主・取引先の情報管理を、どこまで続けられるでしょうか。
技術的な要約
コタ株式会社（東証プライム）は2026年3月27日に社内PC端末の動作不良を確認し、調査で第三者による不正アクセスが判明したため、すべてのサーバーと社内PC端末をネットワークから遮断し、3月30日に第1報を公表した。4月15日の第3報でランサムウェア感染が明らかになり、6月5日の第4報ではフォレンジック調査により一部のサーバーと社内PC端末が感染しデータが暗号化されていたと説明した。決算確定作業と監査が遅れ、2026年3月期決算短信の開示は期末後50日を超える見込みとなった。8月20日には、個人情報の漏えいや不正利用は確認されていないものの、閲覧された可能性を否定できないとして、従業員情報、株主情報、取引先関係者情報など8区分で延べ109,147件を公表した（区分間の重複は不明で、クレジットカード情報は含まれない）。生産・受注・出荷業務は継続できており、侵入経路や攻撃者は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明外部からの不正アクセスにより一部サーバーおよび社内PC端末がランサムウェアに感染したと公表されているが、侵入経路・手法は公表されていない。悪用された脆弱性、認証情報窃取の有無、多要素認証の利用状況も明らかにされていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 生産・受注・出荷業務は発覚後も継続できているとされる。一方、システム障害の影響で3月27日〜4月19日にメールで受けた問い合わせが確認できておらず、お問い合わせフォームからの再送を案内した。また決算数値の確定と会計監査人の監査に時間を要し、2026年3月期決算短信の開示が期末後50日を超える見込みとなった。期間：メール問い合わせが未確認だった期間は2026-03-27〜2026-04-19。決算短信は5月8日予定分が期末後50日超に遅延見込み。
- データ
- おそれ上限 109,147確定 —件氏名住所電話メール性別生年月日従業員情報取引先情報その他漏えい・不正利用は確認されておらず、第三者に閲覧された可能性を否定できない件数。内訳：従業員情報（退職者含む）591件（氏名、住所、電話番号、メールアドレス、社員番号）、採用応募者情報684件、直送サービス（コタストアを除く）顧客情報35,274件、お取引先関係者情報16,133件、株主情報55,408件（株主番号、所有株式数を含む）、IRイベント応募者情報661件、スタイリストアワード関係者情報124件、製品モニター情報272件。109,147件は8区分の単純合計で、区分間の重複は不明のためユニーク人数ではない。クレジットカード情報は含まれず、1件ごとに全項目が含まれるわけではない。
- 波及先
- —
- 金銭影響
- 2026年3月期の業績予想（売上高9,668百万円、前期比+3.1%）に修正はなく、対応費用の計上はあるが業績への影響は限定的との見通し（6月5日第4報）。
- サプライチェーン
- 委託先や取引先経由の侵入、他組織への波及は公表されていない。
時系列
技術解説
攻撃の発覚から原因判明までの経過 事実
2026年3月27日に一部の社内PC端末で動作不良が確認され、直ちに行われた社内調査で第三者による不正アクセスが判明した。コタ株式会社は被害を最小限にとどめるため、すべてのサーバーおよび社内PC端末等をネットワークから遮断し、外部専門家と連携して調査と復旧を始めた。3月30日の第1報でサイバー攻撃の影響によるシステム障害を公表し、4月2日に第2報、4月15日の第3報でシステム障害の原因がランサムウェア感染だったと明らかにした。6月5日の第4報では、フォレンジック調査により、外部からの不正アクセスで一部のサーバーと社内PC端末等が感染し、データ等が暗号化されていたと説明した。
業務・決算・問い合わせ対応への影響 事実
同社は、事案発覚後も製品の生産・受注・出荷業務は継続できているとしており、第2報では2026年3月期末の出荷業務も支障なく完了したと説明した。一方、システム障害の影響で3月27日〜4月19日にメールで受けた問い合わせは確認できておらず、お問い合わせフォームからの再送を案内した。また4月23日には、5月8日に予定していた2026年3月期決算短信の開示が期末後50日を超える見込みと公表した。理由は、決算数値の確定と会計監査人の監査手続きに時間を要しているためとされる。6月5日の第4報では、業績予想（売上高9,668百万円、前期比+3.1%）に修正はなく、対応費用の計上はあるが業績への影響は限定的との見通しが示された。
閲覧された可能性のある情報（8月20日公表） 事実
8月20日の公表で、同社は、現時点で個人情報の漏えいや不正利用等の被害は確認されていないが、第三者に閲覧された可能性を完全に否定することは困難だとした。対象は8区分で、従業員情報（退職者を含む）591件、採用応募者情報684件、直送サービス（コタストアを除く）のお客様情報35,274件、お取引先関係者情報16,133件、株主情報55,408件、IRイベント応募者情報661件、スタイリストアワード関係者情報124件、製品モニター情報272件である。単純合計は延べ109,147件だが、区分間の重複の有無は明らかにされておらず、ユニークな人数や漏えい件数としては扱えない。クレジットカード情報は含まれず、1件ごとに全項目が含まれるわけでもない。
公表の段階的な広がりをどう読むか 解釈
公表内容は、障害の発生（3月30日）、原因がランサムウェアであること（4月15日）、暗号化の範囲（6月5日）、閲覧された可能性のある個人情報の件数（8月20日）の順に具体化している。6月5日時点では「漏えいは未確認」とされていたが、8月には外部専門家の調査結果を踏まえて閲覧の可能性が示されており、調査の進み方に応じて段階的に開示されたものと読める。ただし、閲覧の可能性を判断した根拠や、暗号化されたデータと閲覧可能性との関係は公表されていないため、確定的な評価はできない。今後の続報で補われる部分が大きい事案である。
上場企業における決算開示への波及 解釈
本件の特徴は、生産・受注・出荷が継続できた一方で、決算の確定作業と会計監査人の監査に時間を要し、決算短信の開示が予定より遅れる見込みになった点にある。報道でも、財務報告という上場企業の根幹業務に影響が及んだ事例として位置づけられている。現場の事業が続いていても、会計・監査に関わるシステムやデータの復旧が遅れれば、投資家向けの開示に影響が出うることを示す例と考えられる。なお、実際の開示日や遅延の詳細な原因は、与えられた資料からは確認できない。株主情報が対象に含まれた点も、上場企業が管理する情報の範囲の広さを示している。
対応
- 封じ込め
- すべてのサーバーおよび社内PC端末等をネットワークから遮断し、外部専門家と連携して調査・解析と復旧を進めた。感染の疑いがある社内システムの切り離しとネットワーク遮断は完了している。再発防止として、外部専門家と連携しネットワークやサーバー環境の再構築と強化、セキュリティ体制の強化を進めている。
- 公表の仕方
- 2026年3月30日に第1報、4月2日に第2報、4月15日に第3報、6月5日に第4報、8月20日に個人情報に関するお知らせを公表。8月20日時点で二次被害は確認されておらず、不審な連絡（電話、メール、SMS、郵送物等）への注意を呼びかけ、法令の定めに従い対象者へ通知等を実施するとしている。今後お知らせすべき事項が明らかになり次第、速やかに開示するとしている。
- 当局対応
- 個人情報保護委員会への報告
- 警察当局への通報・相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 全面遮断の判断と、事業系の継続を両立させる設計が被害の広がりを抑えうる。 | 生産・受注・出荷系と情報系（社内PC・ファイルサーバー等）のネットワークをVLANやFWで分離し、緊急時に切り離す単位と手順をランブック化して、年1回以上の机上・実機演習を行う。 |
| 株主・取引先・応募者・イベント参加者など、保有する個人情報の種類が多岐にわたり、把握に時間を要しうる。 | 個人情報・機微情報のデータ資産台帳を作成し、保管場所と保存期間を管理する。不要になった応募者・イベント関連データは期限を決めて削除し、ファイルサーバーのアクセスログを一元保管する。 |
| 決算確定と監査の遅れは、システム障害が財務報告に及ぶ形で表れうる。 | 会計・財務システムとそのバックアップをオフラインまたは分離環境に保持し、復旧優先順位を事前に定める。バックアップからの復元訓練を行い、会計監査人への連絡・データ提供手順もBCPに含める。 |
| メール基盤の障害で一定期間の問い合わせが確認できなくなり、再送を案内する事態になった。 | 問い合わせ受付を社内メールだけに依存させず、フォームのSaaS化や自動応答、代替窓口への切替手順を整備する。障害時の周知文面も事前に用意する。 |
| 閲覧の可能性の判断は、調査に使えるログの有無に左右される。 | サーバー・端末・認証・ネットワーク機器のログを、本番環境と分離した場所に一定期間保管する。EDRやファイル持ち出し検知の記録も保全し、ランサムウェアによる暗号化の影響を受けない設計にする。 |
自組織などでの確認項目
- 自組織の社内PC・サーバーを一斉にネットワークから遮断する手順は文書化されており、誰の判断で、何分以内に実行できるか。
- 自組織が保有する株主・取引先・応募者・イベント参加者などの個人情報の保管場所と件数を、すぐに一覧で示せるか。
- メールやWebサーバーが数週間使えなくなった場合、問い合わせの受付と決算・監査に必要なデータの利用をどの手段で続けるか。
- インシデント調査で必要となるログは、攻撃者や暗号化の影響を受けない場所に、どのくらいの期間保管されているか。
未解明点
- 侵入経路、悪用された脆弱性、認証情報窃取の有無、多要素認証の利用状況は公表されておらず、不明である。
- 最初の侵入日、ランサムウェアの名称、攻撃者、身代金要求の有無は公表されていない。
- 8区分の件数に重複があるかどうか、実際の対象者数（ユニーク人数）は明らかにされていない。
- 「閲覧された可能性」を否定できないと判断した具体的な根拠や、暗号化されたデータの範囲との関係は公表されていない。
- 2026年3月期決算短信の実際の開示日と、遅延の最終的な影響は、今回の資料では確認できない。
出典
- 1コタ株式会社2026-08-20公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-08報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-08報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-24報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-21報道本文確認済
- 6ScanNetSecurity2026-05-12報道本文確認済
- 7コタ株式会社公式本文確認済
- 8フィーチャ株式会社2026-05-13公式本文確認済