シード・プランニングへのランサムウェア攻撃（東京都・川崎市の委託業務に波及、東京都水道局分は最大約13万件に漏えいのおそれ）
公表日
東京都や川崎市の調査業務を受託していたシード・プランニングがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。被害を受け、東京都水道局分で最大約13万件の個人情報が漏れた可能性があると報じられました（流出が確認された件数は示されていません）。
対象者は？
東京都水道局の水使用実態調査（スマートメータ設置の利用者対象のアンケート）に関わる情報（使用水量、お客さま番号、住所、使用者名など。最大約13万件）、東京都の他の委託業務の関係者（担当者、有識者、都内住民18,000件など）、川崎市の事業に参加した企業・福祉事業所等の担当者（約2,000件）が対象に含まれます。いずれも発表時点では流出は確認されていません。
東京都教育委員会と川崎市の発表で、委託業務ごとの内容を確認できます。東京都水道局分の公式資料と、個別の連絡の方法は、参照した資料では確認できません。
いますぐできること
- 上のリンクで、自分が関わった調査や事業が対象に含まれていないか確認する。
- 心当たりがある場合は、身に覚えのないメールや電話、住所宛ての連絡に注意する。
何が起きたのか
2026年3月2日の早朝、シード・プランニングの端末の一部で、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。によってファイルが暗号化されているのが見つかりました。同社はすぐに全ネットワークを止め、外部の専門家と調査を始めました。3月6日に同社が公表し、川崎市と東京都水道局（関係する会社を通じて）に報告しました。3月9日には東京都が、26日には川崎市が、それぞれ発表しました。6月24日に同社は調査結果を発表し、顧客から預かった個人情報は流出していないと判断したと報じられました。
なぜ起きたのか・なぜ広がったのか
侵入された経路や原因は、まだ発表されていません。広がった理由としては、同社が東京都の複数の局や川崎市の業務を受託しており、それぞれの業務で預かった情報が対象に含まれていたことが挙げられます。東京都水道局のシステム自体が攻撃されたわけではないと報じられています。
いまの状況2026-07-10 時点続報待ち
2026年7月10日時点の報道では、同社は6月24日の調査結果で、顧客から預かった個人情報は流出していないと判断したとされています。判断の根拠、侵入経路、再発防止策の詳細はまだ発表されていません。東京都は受託者に再発防止を、川崎市は原因究明を指示しています。
企業として考えたいこと
自社が業務を委託している先や、自社が受託している案件で、どんな個人情報がどこに保管されているかを、すぐに説明できますか。
技術的な要約
2026年3月2日早朝、シード・プランニングの端末の一部でランサムウェアによるファイル暗号化被害が確認され、同社は直ちに全ネットワークを遮断して外部専門家を交えた調査を開始した。同社は3月6日に不正アクセスとランサムウェア感染によるシステム障害を発表した。同社が協力会社を務めた東京都水道局の調査研究委託では、使用水量・お客さま番号・住所・使用者名などを含む約13万件に漏えいの可能性があると報じられた。東京都教育委員会は3月9日、東京都の複数の委託業務（口座番号を含む情報を保有するものを含む）に関する情報を公表し、川崎市は3月26日、約2,000件の利用者情報等に漏えいの可能性があると発表した。いずれも発表時点では情報の流出は確認されていなかった。同社は6月24日の調査結果で、顧客から預かった個人情報は流出していないと判断したと報じられた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表資料では「第三者による不正アクセス」とのみ記載され、侵入経路は示されていない。外部専門家を交えて調査・原因究明中とされた。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や製品名は、参照した出典では公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり ランサムウェア感染によりサーバ・PC・端末の一部が暗号化されシステム障害が発生。同社は全ネットワークを遮断し、3月6日まで感染経路の遮断・封じ込めを優先した。
- データ
- おそれ上限 130,000確定 —件その他会員ID住所氏名メール電話口座取引先情報約13万件は東京都水道局の委託分（報道ベース）で、使用水量、お客さま番号、住所、使用者名などを含む。他の委託分の内訳：東京都デジタルサービス局関連で担当者204名の氏名・電話・メール、都市整備局関連で有識者2名の氏名（うち1名は住所・電話・口座番号）、保健医療局関連で都内住民の住所・氏名・年齢・性別18,000件（アンケート回答6,244件は個人情報を含まない）、産業労働局関連で参加企業156件、教育庁関連で有識者会議出席者8件・都道府県担当者メール47件、川崎市関連で約2,000件（企業名・担当者氏名・住所・電話・メール等）。これらは合算していない。東京都（3月9日）・川崎市（3月26日）の発表時点では流出は未確認で、6月24日の調査結果では顧客から預かった個人情報は流出していないと同社が判断したと報じられた。
- 波及先
- —
- 東京都水道局（受託者クロス・マーケティング経由の協力会社）
- 東京都（デジタルサービス局、都市整備局、保健医療局、産業労働局、教育庁の各委託）
- 川崎市経済労働局
- 金銭影響
- —
- サプライチェーン
- 東京都水道局のシステム自体が攻撃を受けたわけではなく、委託スキーム上の協力会社であるシード・プランニングが侵害された。同社は東京都の複数局および川崎市の委託先でもあり、各自治体の委託業務で保有していた情報が影響対象となった。
時系列
技術解説
発覚から公表までの経過 事実
2026年3月2日早朝、シード・プランニングの端末の一部でランサムウェアによるファイル暗号化被害が確認された。同社は直ちに全ネットワークを遮断して緊急措置を講じ、外部専門家を交えた調査を開始した。3月6日までは感染経路の遮断、封じ込め、被害拡大防止を優先して対応したとされる。同日、同社は第三者による不正アクセスとランサムウェア感染によるシステム障害を発表し、川崎市と、クロス・マーケティング経由で東京都水道局へ報告した。東京都には3月6日と9日に受託者から報告があった。侵入経路、悪用された脆弱性、攻撃者の名称は、参照した出典では示されていない。
委託先ごとに示された情報の範囲 事実
東京都水道局の水使用実態調査研究委託では、受託者がクロス・マーケティング、協力会社がシード・プランニングで、漏えいの可能性がある情報は約13万件（使用水量、お客さま番号、住所、使用者名など）と報じられた。東京都の公表では、デジタルサービス局の担当者204名の連絡先、都市整備局の有識者2名の氏名（うち1名は住所・電話番号・口座番号）、保健医療局の都内住民18,000件、産業労働局の参加企業156件、教育庁の8件と47件が挙げられた。川崎市は約2,000件の利用者情報等に漏洩の可能性があるとした。3月9日と26日の発表時点では、いずれも流出は確認されていなかった。
一社の侵害が複数の発注元に及んだ構造 解釈
東京都水道局のシステム自体が攻撃を受けたわけではなく、委託スキームの中の協力会社が侵害されたと報じられている。そのうえで同社は東京都の複数の局と川崎市の業務も受託していた。ここから、一つの事業者の環境に複数の発注元の業務データが置かれていたため、一度の被害が複数の自治体の公表につながったと読める。発注元ごとに公表日や内訳の細かさが異なり、全体像は各発表を突き合わせないと把握しにくい。これは受託側と発注側の双方に関わる論点であり、特定の組織の対応を評価するものではない。
数字の読み方と現時点で言えること 解釈
約13万件は水道局委託分についての「漏えいの可能性」の上限的な数字で、報道ベースである。流出が確認された件数はいずれの出典にも示されていない。各委託の件数は性質が異なるため、合算すると実態を誤って伝えるおそれがあり、本事案では合算していない。6月24日の調査結果については、顧客から預かった個人情報は流出していないと同社が判断したと、報道の見出しで示されている。この判断の根拠や調査範囲は参照した出典では確認できず、各発注元による最終的な評価も、別途の公表を待つ必要がある。
対応
- 封じ込め
- 同社は3月2日に直ちに全ネットワークを遮断して被害拡大防止の緊急措置を講じ、外部専門家を交えた調査を開始。3月6日まで感染経路の遮断・封じ込め・被害拡大防止を優先した。
- 公表の仕方
- 3月6日にシード・プランニング、東京都水道局が公表。3月9日に東京都教育委員会（東京都の委託分）、3月26日に川崎市が発表。同社は6月24日に調査結果を発表した。東京都は受託者に随時報告・原因究明・技術的対策を含む情報セキュリティ対策の強化と再発防止を指示し、川崎市は被害拡大防止と原因究明を指示した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先のネットワーク全体が止まっても、発注元が即座に影響範囲を把握できる必要がある。 | 委託先ごとに保有データの種類・件数・保管場所を台帳化し、契約時に事案発生時の報告項目（件数の上限と確定、対象データ種別）を定める。 |
| 一社に複数発注元のデータが集まると、被害が複数の組織に同時に波及する。 | 案件単位でネットワークセグメントとアクセス権を分け、ファイルサーバや共有ストレージを発注元ごとに分離する。 |
| 早期の全ネットワーク遮断は被害拡大の防止に有効な一方、その後の影響範囲の特定が難しくなる。 | 遮断前後に取得できるEDR・VPN・認証ログを外部保管し、保持期間を90日以上にする。調査用のフォレンジック手順を事前に決めておく。 |
| 報告が段階的に行われると、発注元ごとに公表の時期や粒度がずれやすい。 | 受託者から全発注元へ同一内容を同時に報告する連絡手順を作り、公表文のひな型に件数の「最大」と「確定」の欄を設ける。 |
| 口座番号などの機微な情報が、小規模な案件の受託者側に残っていることがある。 | 業務終了後の削除期限を契約に明記し、暗号化保管と定期的な棚卸しを実施する。支払情報は受託者のファイルサーバに置かない運用にする。 |
自組織などでの確認項目
- 自組織が委託先に渡しているデータの種類・件数・保管場所を、委託先ごとに一覧で説明できますか。
- 委託先で事案が起きたとき、何時間以内に、誰が誰へ、どの項目（件数の上限と確定を含む）を報告するか、契約や手順書に書かれていますか。
- 自組織が受託者の立場なら、案件ごとにネットワークやアクセス権が分離され、一つの案件の端末が侵害されても他案件のデータに届かない設計になっていますか。
- 全ネットワークを遮断した後も、侵入経路や持ち出しの有無を調べられるログが、遮断の影響を受けない場所に保存されていますか。
未解明点
- 侵入経路や悪用された脆弱性、攻撃グループの有無は、参照した出典では公表されていない。
- 水道局委託分の約13万件について、最終的に流出がなかったのか、その判断の根拠は何かが公式資料で確認できていない。
- 東京都水道局の公表資料そのものは参照した出典に含まれず、約13万件は報道に基づく。個別の対象者への通知の有無や方法も示されていない。
- 業務停止の期間や金銭的影響、再発防止策の内容は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-11報道本文確認済
- 2ScanNetSecurity2026-03-19報道本文確認済
- 3ScanNetSecurity2026-03-19報道本文確認済
- 4ScanNetSecurity2026-04-13報道本文確認済
- 5ScanNetSecurity2026-07-10報道本文確認済
- 6川崎市2026-03-26公式本文確認済
- 7川崎市（経済労働局）2026-03-26公式本文確認済
- 8東京都教育委員会2026-03-09公式本文確認済