ジェックスへのランサムウェア攻撃（顧客情報7万7,619件が一時閲覧可能・外部流出は未確認）
公表日
ジェックス株式会社が2026年2月にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、問い合わせをした顧客の個人情報7万7,619件と氏名のみ1,360件が、一時的に侵入者から閲覧可能な状態だったと公表しました。外部への流出や不正利用は確認されていないとしています。
対象者は？
ジェックスに問い合わせをした顧客の個人情報が対象です。氏名・住所・電話番号・メールアドレスなどを含むデータ7万7,619件と、氏名のみのデータ1,360件です（最大で約7万9千件分。外部流出が確認された件数はありません）。商品購入者全員やオンラインショップ利用者全体が対象とは公表されていません。
連絡先が分かる対象者には、順次メールで個別に通知されています。連絡先が分からない対象者には、8月19日の公式発表をもって報告に代えるとされています。心当たりのある方は、ジェックスからのメールや公式発表を確認してください。
いますぐできること
- 不審な電話やメール、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。、心当たりのない代引き郵便物に注意する。
- ジェックスに問い合わせをした覚えがある人は、同社からのメールが届いていないか確認する。
- メールやSMSのリンクは開かず、必要なら公式サイトから確認する。
何が起きたのか
2026年2月4日、ジェックスの一部サーバー内のファイルが暗号化され、調査でランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による被害と分かりました。同社は対象サーバーをネットワークから切り離し、外部の専門機関に調査を依頼しました。2月6日に第一報、2月9〜10日ごろに商品出荷に関する第二報が出ています。2月下旬には商品の出荷停止が報じられ、その後サーバーを順次復旧して出荷を再開したと報じられました。8月19日の調査結果の公表で、問い合わせをした顧客の個人情報が一時的に侵入者から閲覧可能な状態だったと分かりました。
なぜ起きたのか・なぜ広がったのか
侵入経路、悪用された弱点、攻撃グループなどの技術的な詳細は、まだ発表されていません。
いまの状況2026-08-19 時点続報待ち
2026年8月19日、同社は調査結果と再発防止策を公表しました。外部への流出や不正利用は確認されていないとしています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への相談・届出は完了しています。再発防止策として、新しい管理システム・セキュリティシステムの導入や、より安全性の高い管理サーバーへの移行などを挙げています。補償についてはまだ発表されていません。
企業として考えたいこと
もし自社のサーバーが突然使えなくなったら、顧客の問い合わせ情報はどこに保存されていて、外部に持ち出されたかどうかを調べるための記録は残っているでしょうか。
技術的な要約
ジェックス株式会社は2026年2月4日に一部サーバ内のファイルが暗号化され、調査でランサムウェア被害と判明した。2月6日に第一報、2月9日に第二報（商品出荷関連）を公表し、初期には業務面にも影響が生じた。2026年8月19日には外部専門機関の調査結果と再発防止策を公表し、不正アクセスを受けたサーバーに保存されていた問い合わせ顧客の個人情報（氏名・住所・電話番号・メールアドレス等を含む7万7,619件と氏名のみ1,360件）が一時的に侵入者から閲覧可能な状態だったと説明した。外部への流出や不正利用の事実は確認されていないとしている。個人情報保護委員会への報告と警察への相談・届出は完了している。侵入経路や攻撃グループなどの技術的詳細は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路、悪用された脆弱性、認証情報の悪用有無は公表されていない。同社は2026年2月に外部からの不正アクセスを確認したとしている。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 一部サーバ内のファイルが暗号化され、商品出荷が停止した（2026年2月25日掲載の報道）。その後サーバを順次復旧し商品出荷を開始した（2026年2月27日掲載の報道）。期間：出荷停止から再開までの正確な日数は公表情報から確定できない。
- データ
- おそれ上限 78,979確定 —件氏名住所電話メール一時的に侵入者から閲覧可能な状態だったのは、氏名・住所・電話番号・メールアドレス等を含むデータ77,619件と氏名のみのデータ1,360件（合計78,979件は単純合算）。対象は問い合わせを行った顧客の個人情報で、商品購入者全員やオンラインショップ利用者全体とは公表されていない。外部流出・不正利用の事実は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した侵害の公表はない。
時系列
- 2026-02-04
- 2026-02外部からの不正アクセスを確認し、対象サーバーをネットワークから遮断するなどの初動対応を実施。外部の専門機関へ詳細調査を依頼した。2
- 2026-02-06
- 2026-02-09ScanNetSecurityが第二報の発表を報道した。3
- 2026-02-10商品出荷に関する第二報が公表されていた。2
- 2026-02-25ScanNetSecurityが商品の出荷停止を報道した（関連記事として掲載）。4
- 2026-02-27
- 2026-08-19
- 2026-08-19個人情報保護委員会への報告完了、警察署への相談・届出を行ったと公表。連絡先が分かる対象者には順次メールで個別通知を開始。2
技術解説
公表された経緯 事実
ジェックスは2026年2月4日に一部サーバ内のファイルが暗号化され、調査の結果ランサムウェアによる被害と判明したと説明している。2026年2月に外部からの不正アクセスを確認し、対象サーバーをネットワークから遮断するなどの初動対応を行い、外部の専門機関へ詳細調査を依頼した。2月6日に第一報を公表し、この時点で情報流出の有無は調査中だった。2月9日に第二報が発表されたとの報道があり、2月10日に商品出荷に関する第二報が公表されていたとの記述もある。8月19日には外部専門機関の調査結果と再発防止策を公表した。
閲覧可能だった情報の範囲と「流出」の区別 事実
8月19日の公表によると、不正アクセスを受けたサーバーに保存されていた顧客の個人情報が、一時的に侵入者から閲覧可能な状態にあった。対象は氏名・住所・電話番号・メールアドレスなどを含むデータ7万7,619件と、氏名のみのデータ1,360件で、同社に問い合わせをした顧客の個人情報と説明されている。商品購入者全員やオンラインショップ利用者全体が対象とは公表されていない。専門機関の調査では、外部へ流出した事実や不正利用された事実は確認されていないとしている。個人情報保護委員会へは「漏えい等のおそれ」として報告済みで、警察にも相談・届出を行っている。
公表されていない技術情報と業務への影響 事実
侵入経路、悪用された脆弱性、認証情報の悪用の有無、ランサムウェアの種類、攻撃グループ、身代金要求の有無は公表されていないと、8月19日の発表を取り上げた記事は述べている。侵入日を示す記述も、今回の情報の中にはない。業務面では、2月25日に商品の出荷停止が報じられ、その後サーバを順次復旧して商品出荷を開始したとの報道が2月27日に掲載された。ただし、出荷停止から再開までの正確な日数は、これらの記述だけでは確定できない。金銭的な影響額も、今回の情報には含まれていない。
対象者への対応と再発防止策 事実
連絡先メールアドレスを把握している対象者には順次個別にメールで通知しており、連絡先が不明な対象者については8月19日の公式発表をもって報告に代えるとしている。8月19日時点で不正利用は確認されていないが、二次被害防止のため、不審な電話やメール、フィッシング、心当たりのない代引き郵便物などへの注意を呼びかけている。再発防止策としては、新たな管理システム・セキュリティシステムの導入、より高い安全性を備えた管理サーバーへのシステム移管、社内の情報管理体制の見直しと従業員へのセキュリティ教育の再徹底が挙げられている。
件数の読み方と公表の見方 解釈
本件の件数は「閲覧可能だった範囲」であり、外部流出が確認された件数ではない。7万7,619件と1,360件を単純に足すと7万8,979件になるが、両者の重複や人数との対応は示されておらず、個人の人数とは読めない点に注意したい。暗号化の確認から顧客情報の閲覧可能性の判明まで約半年かかった形で、外部専門機関の調査を待って範囲を確定させたとも読める。一方、第一報の「調査中」から結果公表までの間に中間報告があったかは、今回の情報では分からない。また、手元の出典は報道が中心で、技術面の評価には限りがある。
対応
- 封じ込め
- 対象サーバーをネットワークから遮断するなどの初動対応を行い、外部の専門機関へ詳細調査を依頼した。サーバを順次復旧して商品出荷を再開した。再発防止策として、新たな管理システム・セキュリティシステムの導入、より高い安全性を備えた管理サーバーへのシステム移管、社内の情報管理体制の見直しと従業員へのセキュリティ教育の再徹底を挙げている。
- 公表の仕方
- 2026年2月6日に第一報、2月9〜10日頃に第二報（商品出荷関連）、8月19日に調査結果と再発防止策を公表。連絡先が分かる対象者にはメールで個別通知し、連絡先不明の対象者には8月19日の公式発表をもって報告に代えるとしている。二次被害防止のため不審な電話・メール・フィッシング、心当たりのない代引き郵便物への注意を呼びかけている。
- 当局対応
- 個人情報保護委員会（「個人情報の漏えい等のおそれ」として報告完了）
- 管轄の警察署（相談・届出）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 問い合わせ対応で集めた顧客情報が、基幹サーバーと近い範囲に置かれていると、ランサムウェア被害時に閲覧可能な状態に含まれうる。 | 問い合わせ管理データを業務サーバー群から分離して専用セグメントに置く。アクセス元をFW・ACLで必要最小限に絞り、サービスアカウントの権限も棚卸しして最小化する。 |
| 「閲覧可能だった」と「外部流出が確認された」は別の状態であり、後者を判断できるかはログの有無に左右される。 | ファイルサーバー・DB・プロキシ・FWの通信ログを十分な期間（例：1年）保管し、外向き通信量の異常検知を設定する。インシデント時にデータ持ち出しの有無を判定できる体制を整える。 |
| 出荷など中核業務を支えるサーバーが暗号化されると、業務の停止につながる。 | オフラインまたは不変（イミュータブル）設定のバックアップを取得し、復旧手順を実機で定期的に演習する。復旧優先度を業務システム別に決め、RTOを文書化しておく。 |
| 調査結果の公表までに時間がかかる場合、対象者に最終的な影響範囲が伝わるのが遅れうる。 | 第一報で調査中の項目と次回報告の目安を示す運用にする。個人情報の連絡先リストを平時から整備し、個別通知を迅速に行える仕組みを用意する。 |
| 侵入経路などの技術的詳細が公表されない場合、同業他社は自社の点検に活かしにくい。 | 公表の可否にかかわらず、自社の外部公開資産（VPN・リモート接続・管理画面）を一覧化し、パッチ適用状況とMFA有効化を定期点検する。 |
自組織などでの確認項目
- 自社の問い合わせ対応で集めた顧客情報は、どのサーバーに保存されていますか。そのサーバーは基幹業務サーバーと同じネットワーク範囲にありますか。
- ランサムウェア被害を受けた場合、データが外部に持ち出されたかどうかを判断できるだけのログを、自社は保管していますか。保管期間はどれだけですか。
- 出荷や受注など中核業務のシステムが止まった場合、何日で復旧できますか。その手順を最近、実機で試しましたか。
- 個人情報の対象者に連絡できる連絡先は、どの程度そろっていますか。連絡先が不明な人にはどう知らせる計画ですか。
未解明点
- 侵入経路、悪用された脆弱性、認証情報の悪用の有無、侵入日はいつか。
- ランサムウェアの種類、攻撃グループ、身代金要求の有無はどうだったか。
- 7万7,619件と1,360件の重複の有無と、対象となった個人の人数はどれだけか。
- 商品出荷が止まっていた正確な期間と、金銭的な影響額はどれだけか。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-09-08報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-24報道本文確認済
- 3ScanNetSecurity2026-02-27報道本文確認済
- 4ScanNetSecurity2026-09-09報道本文確認済