カンバス「マイページ」サーバーへのランサムウェア攻撃（設定・バックアップファイルが暗号化、約8日で復旧）
公表日
株式会社カンバスの「マイページ」を運用するサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、2026年1月6日から14日ごろまで約8日間、サイトにアクセスできなくなりました。
対象者は？
攻撃を受けたサーバーに登録している全ユーザーが、パスワード再設定の案内の対象です。個人情報が外部に送られた可能性は極めて低いと同社は説明していますが、完全には否定できないとしています。対象の件数や情報の種類はまだ発表されていません。クレジットカード情報は同社側で保管していないため、漏えいの恐れはないとのことです。
2026年1月16日に同社から送られたパスワード再設定の案内を確認してください。
いますぐできること
- 同社から届いたパスワード再設定の案内を確認し、まだ手続きをしていなければ設定し直す。
- 同じパスワードを他のサービスでも使っている場合は、そちらも変更する。
- 同社に関する最新のお知らせを、同社の公式発表で確認する。
何が起きたのか
2026年1月6日の未明、カンバスの「マイページ」を動かすサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。という攻撃を受け、サイトに入れなくなりました。暗号化されたのは一部の設定ファイルとデータベースのバックアップファイルで、システム本体への影響はなかったと同社は確認しています。同社は身代金を払わず、別の場所に保存していた直前のバックアップから新しい環境を作り直しました。サイトに入れない間は、臨時のチケットを手動で販売しました。1月14日16時ごろに復旧し、1月16日には全ユーザーにパスワード再設定を案内しました。
なぜ起きたのか・なぜ広がったのか
同社は、暗号化されたデータの状況から、サーバーのシステムで使っているフレームワーク(ソフトの土台となる部品)の弱点を使って侵入された可能性が高いと見ています。ほかの侵入経路はログで調べましたが、形跡は見つからなかったそうです。フレームワークの名前は発表されていません。
いまの状況2026-01-29 時点
2026年1月29日時点で、同社は調査結果を公表しています。サーバーは復旧し、通常の体制に戻っています。外部へのデータ送信の可能性は極めて低いとしつつ、念のため個人情報保護委員会へ届け出ました。流出した個人情報の件数や種類、補償については、まだ発表されていません。
企業として考えたいこと
自社のウェブサービスが使っているフレームワークの弱点が見つかったとき、どこで使っているかをすぐ調べて直せますか。また、攻撃を受けても消されない場所にバックアップはありますか。
技術的な要約
株式会社カンバスは、2026年1月6日未明に「マイページ」を運用するサーバー（報道では認証サーバ）がランサムウェア攻撃を受け、サイトにアクセスできない状態になったと公表した。暗号化されたのは一部の設定ファイルとデータベースのバックアップファイルで、システム本体への影響はなかったとしている。同社は身代金を支払わず、別場所に保存していた直前のバックアップから再構築し、1月14日16時ごろに復旧した。1月9日に中間報告、1月29日に調査結果を公表し、侵入はフレームワークの脆弱性を利用された可能性が高いとの見解を示した。外部へのデータ送信の可能性は極めて低いとしつつ、完全には否定できないとして、個人情報保護委員会へ念のため届け出た。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認暗号化されたデータの状況から、当該サーバーのシステムで使用しているフレームワークの脆弱性を利用して侵入された可能性が高いと同社は見解を示している。その他に想定し得る侵入経路は関連ログを確認したが、侵入の形跡は見当たらなかった。対象のフレームワーク名は公表されていない。
- 脆弱性
- CVE 非公表公表で確認サーバーのシステムで使用しているフレームワークの脆弱性の可能性が高いとされるが、フレームワーク名・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり マイページへのアクセスが不能となった。アクセス不能期間中は臨時のチケットを手動販売する対応を対象ユーザーへ通知した。期間：2026-01-06から2026-01-14（1月14日16時ごろ復旧）
- データ
- おそれ上限 —確定 —外部へのファイル送信の可能性は極めて低いが、一部データのみをピンポイントで送信された可能性を完全には否定できず100％断定はできないとしている。仮に全件漏えいしていた場合は報告義務が生じ得る1,000件以上に該当するため、念のため個人情報保護委員会へ届け出た。件数・情報種別は公表されていない。クレジットカード情報は同社側で保管しておらず漏えいの恐れはないとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-01-06
- 2026-01-06同日早朝の確認で、暗号化は一部の設定ファイルやバックアップファイルに及ぶ一方、システム本体への影響はないことを確認した。1
- 2026-01-06 11:00現状を保全したうえで新環境を用意し、別場所に保存していた直前のバックアップからの再構築を開始した。1
- 2026-01-06アクセス不能期間中は臨時のチケットを手動販売する対応を対象ユーザーへ通知した。1
- 2026-01-06カンバスがランサムウェア攻撃について発表した（第1報）。4
- 2026-01-09
- 2026-01-14 16:00
- 2026-01-16攻撃を受けたサーバーに登録している全ユーザーへ、念のためパスワード再設定の案内を送付した。1
- 2026-01-29
- 2026-01-29念のため個人情報保護委員会へ届け出を行った（届出日は公表されていない。調査結果の公表時点で届出済み）。1
技術解説
攻撃の経過と暗号化の範囲 事実
カンバスの公表によると、2026年1月6日未明に「マイページ」を運用するサーバーが攻撃を受け、サイトにアクセスできない状態になった(報道の一部は認証サーバへの攻撃と表現している)。同日早朝の確認では、暗号化は一部の設定ファイルやデータベースのバックアップファイルに及んだ一方、システム本体への影響はなかったという。同社は身代金を支払わず、警察庁の通報窓口へ届け出済みとしている。現状を保全したうえで新しい環境を用意し、別の場所に保存していた直前のバックアップから、1月6日11時ごろに再構築を始めた。アクセス不能の間は臨時のチケットを手動で販売する対応を対象ユーザーへ通知し、1月14日16時ごろにサーバーが復旧して通常体制に戻った。
侵入経路の見解と流出可能性の調査 事実
同社は、暗号化されたデータの状況から、サーバーのシステムで使われているフレームワークの脆弱性を利用して侵入された可能性が高いとの見解を示した。他の侵入経路も関連ログで確認したが、侵入の形跡は見当たらなかったという。データセンターのネットワーク・トラフィックでは、被害時刻から対応時刻までの間も、潜伏を考慮した直前1週間も、大量のトラフィックは確認されなかった。このシステムは毎日午前9時にサーバーを再構築しており、長期間の潜伏の可能性も低いとしている。外部へのファイル送信の可能性は極めて低いが、一部データだけを送られた可能性は完全には否定できないという。全件漏えいなら1,000件以上に当たり得るため、念のため個人情報保護委員会へ届け出た。クレジットカード情報は保管していない。1月16日には全ユーザーへパスワード再設定を案内した。
復旧が約8日で済んだ構造の読み取り 解釈
以下は公表内容からの解釈であり、同社が述べた内容ではない。暗号化の対象が設定ファイルとバックアップにとどまり、システム本体に及ばなかったことに加え、別の場所に直前のバックアップがあったことが、新環境での再構築を可能にしたと考えられる。毎日の再構築という運用も、被害範囲の見極めや潜伏の評価に役立った可能性がある。一方、復旧までに約8日かかり、その間は手動のチケット販売で業務をつないだ。流出の評価は、通信量の確認とログに基づく間接的な根拠が中心で、「完全には否定できない」との表現が残る。こうした不確実さを正直に示しつつ、規制当局へ念のため届け出た点は、判断の過程が見える対応と評価できる。ただし、フレームワーク名や件数が示されていないため、同種の環境を持つ組織が自らの影響を判断する材料は限られる。
対応
- 封じ込め
- 現状を保全したうえで新たな環境を用意し、別場所に保存していた直前のバックアップから再構築した。身代金は支払っていない。データセンターのネットワーク・トラフィックを確認し、被害時刻から対応時刻までの間および直前1週間に大量トラフィックの発生はなかった。本システムは毎日午前9時にサーバー再構築を行っており、長期間の潜伏の可能性は低いとしている。全ユーザーへパスワード再設定を案内した。
- 公表の仕方
- 2026-01-06に第1報、2026-01-09に中間報告、2026-01-29に調査結果と今後の対応を公表した。
- 当局対応
- 警察庁（通報窓口へ届け出済み）
- 個人情報保護委員会（念のため届け出）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| バックアップが暗号化の対象になり得るため、別の場所に保管した世代が復旧の支えになった。 | 本番とは別アカウント・別ネットワークにバックアップを置き、オブジェクトロックなどの書き込み不可設定を有効にする。復旧手順を定期的に演習し、再構築までの所要時間を計測する。 |
| 侵入はフレームワークの脆弱性が原因の可能性が高いとされた。使用部品を把握していないと、影響判断と修正が遅れる。 | SBOMやSCAツールで、フレームワークとライブラリの名称・版を継続的に棚卸しする。脆弱性情報を自動で突き合わせ、公開サーバ用の修正適用期限を定める。 |
| 流出の有無は、ネットワーク・トラフィックの履歴を使って間接的に評価された。記録がなければ根拠を示せない。 | 外向き通信のフローログとプロキシログを一定期間以上保管する。平常時の通信量の基準値を持ち、大量送信を検知するアラートを設定する。 |
| サイトが止まっても、臨時の手動販売で業務を続ける対応が取られた。 | システム停止時の代替手順(手作業での受付・販売など)を文書化し、利用者への通知文面と連絡経路をあらかじめ用意しておく。 |
| 流出が否定しきれない場合に備え、全ユーザーへパスワード再設定を案内し、規制当局へ念のため届け出ている。 | 全ユーザーへ一斉にパスワード再設定を求める機能と案内メールの雛形を用意する。漏えい報告の要否を判断する基準(件数、情報種別)を事前に整理しておく。 |
自組織などでの確認項目
- 自組織の公開サーバで使っているフレームワークとその版を、今すぐ一覧にできますか。脆弱性の公表から修正適用までの目標期間は決まっていますか。
- バックアップは、本番環境が侵害されても暗号化・削除されない場所と権限で保管されていますか。最後に復元を試したのはいつですか。
- 外部への大量通信があったかどうかを、何日分さかのぼって確認できますか。その記録は本番サーバの管理者権限から消せない場所にありますか。
- 主要サービスが約1週間止まった場合に、業務を続けるための手動手順と顧客への連絡手段は用意されていますか。
未解明点
- 侵入に使われたとされるフレームワークの名称、版、脆弱性の識別番号(CVE)は公表されていますか。渡された資料には書かれていない。
- 「マイページ」の登録ユーザーの件数や、保管していた情報の種類は公表されていません。全件が対象となった場合の影響範囲が分からない。
- 攻撃者(グループ名)や犯行声明の有無は、渡された資料からは分からない。
- 侵入の日時と、個人情報保護委員会への届け出日は公表されていない。
- 同社の公式発表の原文は、今回渡された出典に含まれていない。公表内容はすべて報道を通じたものである。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-03報道本文確認済
- 2ScanNetSecurity2026-01-28報道本文確認済
- 3ScanNetSecurity2026-02-17報道本文確認済
- 4ScanNetSecurity2026-01-30報道本文確認済