ウチヤマホールディングスへのランサムウェア攻撃（従業員情報の一部流出の可能性）
公表日
ウチヤマホールディングスがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を公表しました。一部の従業員情報が外部に流出した可能性があり、件数は公表されていません。
対象者は？
社内ネットワークに保存されていた一部の従業員情報が、外部に流出した可能性があるとされています。対象の人数は公表されていません。顧客情報と取引先情報の外部流出は、現時点で確認されていないとしています。
対象となる方には、同社が個別に連絡を進めています。
いますぐできること
- 同社の従業員の方は、会社からの個別連絡の内容を確認してください。
- 同社の名前を使った不審な連絡が来たときは、すぐに応じず、会社の公式な窓口に確認してください。
何が起きたのか
2026年3月7日の午前、ウチヤマホールディングスは社内のIT環境に異常があることに気づきました。感染の疑いがあるサーバーやパソコンをネットワークから切り離し、外部の専門会社と調査を進めました。3月9日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。を伴う事案として公表しました。3月23日の第2報では、個人情報や取引先情報の流出は確認されていないとしていました。4月20日の第3報で、社内ネットワークに保存されていた一部の従業員情報が外部に流出した可能性があると発表しました。
なぜ起きたのか・なぜ広がったのか
原因はまだ発表されていません。第1報の暫定調査では、権限のない第三者が同社ネットワークの一部に不正にアクセスした可能性が示されました。侵入の方法は公表されていません。
いまの状況2026-04-20 時点続報待ち
2026年4月20日時点で、同社は不正な侵入者を排除したと確認したとしています。全端末へのセキュリティ対策ソフトの導入、ネットワーク全体の清掃、監視体制の強化も終えたとしています。社内ネットワークと関連システムは正常に動いているとのことです。介護事業所、カラオケ店舗、居酒屋店舗などのサービスは、外部サーバーを使っているため続いていたと説明しています。流出の可能性がある情報の件数や業績への影響は、まだ発表されていません。
企業として考えたいこと
もし自社の社内ネットワークが止まったら、従業員情報はどこに保存されていて、事業の中でどの部分が動き続けられるでしょうか。
技術的な要約
ウチヤマホールディングスは2026年3月7日午前に社内IT環境の異常を検知し、3月9日にランサムウェアを伴うサイバーセキュリティインシデントを公表した。感染の疑いがあるサーバーとエンドポイントをネットワークから切り離し、外部専門機関と連携して調査・封じ込め・復旧を進めた。3月23日の第2報時点では個人情報や取引先情報の外部流出は確認されていなかった。4月20日の第3報では、社内ネットワークに保存されていた一部の従業員情報が外部流出した可能性があるとして対象者へ個別連絡を進めている。顧客情報と取引先情報の外部流出は確認されておらず、不正な侵入者は排除され、社内ネットワークと関連システムは正常稼働しているとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明暫定調査では、権限のない第三者が同社ネットワークの一部へ不正アクセスした可能性が示唆されている。侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 社内IT環境にシステム障害が発生した。介護事業所、カラオケ店舗、居酒屋店舗などのサービス提供に必要なシステムは外部サーバーを利用しているため、各事業所のサービスオペレーションは継続していると同社は説明している。4月20日時点で社内ネットワークと関連システムは正常に稼働している。
- データ
- おそれ上限 —確定 —従業員情報社内ネットワークに保存されていた一部の従業員情報が外部流出した可能性があり、対象者へ個別連絡を進めている。件数は公表されていない。顧客情報と取引先情報の外部流出は現時点で確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-03-07
- 2026-03-07ランサムウェア感染の疑いがあるサーバーとエンドポイントをネットワークから切り離し、ネットワークドライブも遮断した。3
- 2026-03-09ランサムウェアを伴うサイバーセキュリティインシデントが発生したと第1報を公表した。2
- 2026-03-09暫定調査で、権限のない第三者がネットワークの一部へ不正アクセスした可能性が示唆された。顧客・従業員情報への影響範囲は未確定で、業績への影響は精査中とされた。2
- 2026-03-11第1報についての報道記事が掲載された。2
- 2026-03-23第2報を公表した。3
- 2026-03-25第2報の時点で、詳細なログ解析、異常の監視、原因と障害対象範囲の詳細調査を続けているとされた。個人情報や取引先情報の外部流出は確認されていないと報じられた。3
- 2026-03-25介護事業所、カラオケ店舗、居酒屋店舗などのサービスオペレーションは外部サーバー利用のため継続していると報じられた。3
- 2026-04-20第3報を公表した。一部の従業員情報が外部流出した可能性があり、対象者へ個別連絡を進めているとした。1
- 2026-04-20不正な侵入者の排除、全端末へのセキュリティソリューション導入、ネットワーク全体のクリーンアップ、監視体制強化の完了を公表した。社内ネットワークと関連システムは正常に稼働しているとした。1
技術解説
公表された経過と初動 事実
ウチヤマホールディングスは2026年3月7日土曜日の午前に社内IT環境の異常を検知し、直後に危機管理体制を立ち上げて、影響を受けたシステムの隔離と外部専門機関との連携を開始した。ランサムウェア感染の疑いがあるサーバーとエンドポイントをネットワークから切り離し、ネットワークドライブも遮断した。3月9日に第1報、3月23日に第2報、4月20日に第3報を公表している。第1報の暫定調査では、権限のない第三者が同社ネットワークの一部へ不正アクセスした可能性が示唆された。侵入経路は、渡された出典の範囲では示されていない。
影響範囲の公表内容の変遷 事実
第1報の時点では、顧客や従業員の情報に実際にどの程度影響が及んだかは確定しておらず、業績への影響も精査中とされた。3月23日の第2報を伝える報道では、個人情報や取引先情報の外部流出は現時点で確認されていないとされ、外部専門機関による監視を継続すると説明されていた。4月20日の第3報では、社内ネットワークに保存されていた一部の従業員情報が外部流出した可能性があるとして、対象者へ個別連絡を進めている。一方、顧客情報と取引先情報の外部流出は現時点で確認されていない。対象となる件数は、出典には示されていない。
事業への影響と復旧の状況 事実
介護事業所、カラオケ店舗、居酒屋店舗などの各サービスの提供に必要なシステムは外部サーバーを利用しているため、各事業所のサービスオペレーションは継続していると同社は説明している。4月20日時点で、不正な侵入者はシステム環境から排除されたと確認したとしている。あわせて、全端末への高度なセキュリティソリューション導入、ネットワーク全体のクリーンアップ、監視体制の強化を完了したとしている。社内ネットワークと関連システムは正常に稼働しており、安全な環境が構築されたことを確認したと公表した。これらは同社の説明を報道が伝えた内容である。
公表内容から読み取れること（解釈） 解釈
以下は公表内容に基づく解釈である。社内IT環境と各事業のサービス提供システムが分かれていたことが、事業所の運用継続につながった可能性がある。一方で、社内ネットワークには従業員情報が保存されており、第2報時点の「流出は確認されていない」から、第3報では「流出した可能性がある」へ表現が変わった。調査の進展に応じて評価が更新される事案であり、初期段階の「未確認」は「なかった」と同じ意味ではないと考えられる。侵入経路や攻撃者が公表されていないため、再発防止策の妥当性は外部からは判断しにくい。
対応
- 封じ込め
- 感染の疑いがあるサーバーとエンドポイントをネットワークから切り離し、ネットワークドライブも遮断した。外部のサイバーセキュリティ専門会社と連携して調査、封じ込め、復旧を進めた。4月20日時点で不正な侵入者の排除を確認し、全端末への高度なセキュリティソリューション導入、ネットワーク全体のクリーンアップ、監視体制の強化を完了したとしている。
- 公表の仕方
- 3月9日に第1報、3月23日に第2報、4月20日に第3報を公表した。第1報では新たな事実や状況変化があれば公表内容が変更される可能性があると明記した。流出可能性のある従業員情報の対象者には個別連絡を進めている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 初期の「流出未確認」は後から「可能性あり」に変わりうる。ログの保全と解析の体制が要る。 | ファイルサーバーやネットワークドライブのアクセスログ、プロキシ・FWの通信ログを長期保存する。保存先は侵害されにくい別系統に置く。インシデント時に外部への転送量を遡って調べられるようにする。 |
| 感染の疑いがある端末とサーバーを早期に切り離せたことが、被害拡大の抑制につながる。 | EDRの隔離機能を使い、疑わしい端末を遠隔で即時にネットワークから切り離す手順を作る。ネットワークドライブの共有を遮断する手順も含め、休日・夜間でも実行できるよう連絡網と権限を決めておく。 |
| 社内ITと事業サービスのシステムを分離しておくと、事業継続への影響を抑えられる可能性がある。 | 社内ネットワークと基幹サービスのネットワークをセグメント分離し、相互の通信を必要最小限のポートと経路に限定する。バックアップも別の認証基盤に置く。 |
| 従業員情報は社内ネットワークに保存されやすく、流出の可能性が後から判明することがある。 | 従業員情報や人事データを保管する共有フォルダを棚卸しし、アクセス権を最小化する。機微な情報は暗号化し、持ち出しや大量コピーを検知する監視ルールを設ける。 |
| 調査中は公表内容が変わりうることを前提に、段階的に報告する運用が要る。 | 確定事項と調査中の事項を分けて書く公表テンプレートを事前に用意する。続報の時期の目安と、対象者への個別連絡の手順も決めておく。 |
自組織などでの確認項目
- 自組織の社内ネットワークに従業員情報や人事データがどこに保存されているか、場所とアクセス権を一覧で説明できるか。
- 土曜日の午前に異常を検知した場合、誰が何を判断し、感染の疑いがある端末やネットワークドライブをどの手順で切り離すか、実際に試せるか。
- 事業サービスのシステムと社内ITが分離されているか。社内ITが止まった場合に、どの業務が続けられ、どの業務が止まるかを整理できているか。
未解明点
- 侵入経路と侵入日は公表されていない。どのように不正アクセスされたのか。
- 流出した可能性のある従業員情報の件数と、情報の種類の内訳は公表されていない。
- 攻撃者の名称や、犯行声明の有無は示されていない。
- 業績への影響は第1報で精査中とされた。その後の具体的な金額や影響は、渡された出典に示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-21報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-11報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-25報道本文確認済