オムニバス・ジャパンへのランサムウェア攻撃（サーバー11台に不正アクセス、関係者・従業員の個人データ漏えいのおそれ）
公表日
映像制作会社オムニバス・ジャパン（東北新社グループ）がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、11台のサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認されました。制作に関わった顧客・スタッフと従業員（退職者を含む）の氏名・所属先・連絡先が漏れたおそれがありますが、件数は発表されていません。
対象者は？
映像作品の制作に関わった顧客・スタッフと、オムニバス・ジャパンの従業員（退職者を含む）。漏れたおそれがあるのは氏名・所属先情報・連絡先情報です。人数は発表されていません。報道によると、攻撃者が掲示した内容には一般消費者の個人情報は確認されていません。リークサイトには会社名と一部の取引先に関する情報も載せられました。
自分が対象かどうかを確かめる窓口や、本人への個別通知の方法はまだ発表されていません。リークサイトに情報が載った取引先には、同社から個別に報告するとしています。詳しくは下の報道記事を参照してください。
いますぐできること
- オムニバス・ジャパンの案件に関わったことがある人は、同社や取引先を名乗る心当たりのないメールや電話に注意し、添付ファイルやリンクをすぐに開かないようにする。
- 取引先の立場の会社は、同社から個別の報告が届いているかを担当部署で確認する。
何が起きたのか
2025年12月9日の午前10時頃、会社のシステムの一部で、ファイルが勝手に暗号化されて開けなくなっていることが分かりました。会社は親会社の東北新社と対策本部を作り、ネットワークを切り離して、外部の専門機関に調査を頼みました。12月17日に最初の発表を行い、現在の納品に必要なファイルは無事だと説明しました。その後、Lynxというランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。グループが犯行を名乗り、自分たちのサイトに会社名や取引先の資料とみられる画面を載せました。2026年2月の第四報では、11台のサーバーに不正にアクセスされ、そのうち1台のファイルが外部に送られた跡と、同じファイルが攻撃者のサイトで公開されていることが確認されました。6月4日の第六報で調査が終わったと発表されました。
なぜ起きたのか・なぜ広がったのか
どこから侵入されたかは、調査しても特定できませんでした。会社は推測として、「パスワードの運用や監視の体制が足りなかったこと」と「ネットワーク機器の設定に不備があったこと」を挙げています。途中の報告では、管理者のIDとパスワードが何らかの方法で盗まれた可能性も示されていました。
いまの状況2026-06-04 時点
調査は2026年6月4日の第六報で終わりました。新しいファイアウォールや監視の仕組みの導入、パスワードの再設定は済んでおり、今後は制作物の扱いのルール作り、従業員教育、定期的なIT監査を行う予定です。発表時点では、攻撃者のサイト以外での公開、SNSでの拡散、悪用は確認されていません。漏れたおそれがある人数、補償、完全復旧の完了時期はまだ発表されていません。
企業として考えたいこと
自社で取引先から預かっている資料や外部スタッフの連絡先が、どのサーバーに保存され、誰がどのパスワードでアクセスできるかを、いますぐ説明できるでしょうか。
技術的な要約
東北新社グループの映像制作会社オムニバス・ジャパンは、2025年12月9日午前10時頃、システムの一部でランサムウェアによる一部ファイルの暗号化を確認し、同年12月17日に公表した。ランサムウェアグループLynxが犯行声明を出し、外部専門機関のフォレンジック調査（第四報・暫定）では計11台のサーバーへの不正アクセスと、1台のファイルの外部送信痕跡が確認された。2026年6月4日の第六報で調査が完了し、映像作品の制作に関与した顧客・スタッフおよび従業員（退職者含む）の氏名・所属先情報・連絡先情報の漏えいのおそれがあるとされたが、件数は開示されていない。攻撃経路は特定に至らず、推測として「パスワードの運用・監視体制の不足」と「ネットワーク機器の設定不備」が挙げられた。リークサイト以外での情報公開やSNS拡散、不正利用は未確認とされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明フォレンジック調査でも攻撃経路の特定に至らなかった。第四報（2026-02-13）時点の推測は管理者アカウントのID・パスワードの不正取得の可能性で、第六報では推測として「パスワードの運用・監視体制の不足」および「ネットワーク機器の設定不備」が原因に挙げられた。対応としてルーター内の不審設定の削除も実施されている。いずれも推測であり確定していない。
- 脆弱性
- CVE 非公表不明特定の製品・CVEは公表されていない。第六報ではネットワーク機器の設定不備が推測として挙げられているのみ。
- 攻撃者
- Lynx 被害組織の言及なしダークウェブ上で犯行声明を主張し、窃取したとみられるデータの存在を示唆する画面（フォルダ構造や資料画像等）を掲示した。ransomware.live も被害組織として掲載している。
- ATT&CK
影響
- 業務停止
- あり システム内の一部ファイルが暗号化されアクセスできない状態となった。一方、現在の納品に必要なファイルは暗号化されていないことを確認したと説明している。第四報時点で、新ネットワークセグメントへの移行を伴う完全復旧は2026年春頃の見込みとされた。期間：2025-12-09の発覚から2026-06-04の最終報告まで約178日（調査完了までの期間）。実際の完全復旧時期は公表情報から読み取れない。
- データ
- おそれ上限 —確定 —氏名従業員情報取引先情報業務データその他漏えいのおそれがある個人データは、映像作品の制作に関与した顧客・スタッフおよび従業員（退職者含む）の氏名・所属先情報・連絡先情報。公式発表では件数は開示されていない。対象サーバー複数台のうち1台は、ファイル持ち出しの形跡は確認されないが同一ファイルがリークサイトに公開されているため流出の可能性を否定できないとされ、その他のサーバーは流出の可能性が極めて低いとされた。第四報では11台のサーバーへの不正アクセスと1台のファイルの外部送信痕跡を確認。リークサイトには同社名および一部取引先に関する情報が掲載された。Lynxの掲示では納品物フォーマット、台本、進行スケジュール、CM素材の規定・書類・ロゴ等が確認されたが、真偽は第三者には断定できないとされる。一般消費者の個人情報に関する情報は確認できなかった。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 東北新社およびグループ会社のシステムへの影響は第一報時点で確認されていないとされた。リークサイトに一部取引先に関する情報が掲載され、同社は対象取引先に個別に報告するとしている。
時系列
技術解説
発覚から最終報告までの経緯 事実
オムニバス・ジャパンは2025年12月9日午前10時頃、使っているシステムの一部がランサムウェアによる攻撃を受け、一部のファイルが暗号化されて開けない状態になっていることを確認した。外部専門機関に調査を依頼し、親会社の東北新社と合同の対策本部を設置した。12月17日の第一報では、ネットワークの切り離しなどで封じ込めを行ったこと、現在の納品に必要なファイルは暗号化されていないことを説明した。その後、第二報（12月26日）、第三報（2026年1月22日）、第四報（2月13日）、第五報（3月12日）と続報を出し、6月4日の第六報で外部専門機関によるフォレンジック調査の完了を発表した。報道では、発覚から最終報告まで約6か月（178日）かかったとされている。一方、ransomware.liveは本件をLynxの被害として掲載し、発見日時を2025-12-23 14:12 UTCとしている。
被害の範囲：11台のサーバーと個人データ漏えいのおそれ 事実
第四報で受け取ったフォレンジック調査の暫定報告では、計11台のサーバーへの不正アクセス、感染したサーバー群でのファイル暗号化、そのうち1台に保存されていたファイルの外部送信痕跡が確認された。また、そのファイルと同じものがダークウェブ上のリークサイトで公開されていることも確認された。第六報では暫定報告の判断が確定した。報道によると、対象サーバー1台については「ファイル持ち出しの形跡は確認されないが、同一ファイルがリークサイトに公開されているため流出の可能性を否定できない」とされ、それ以外のサーバーは「流出の可能性は極めて低い」とされた。漏えいのおそれがある個人データは、映像作品の制作に関わった顧客・スタッフと従業員（退職者を含む）の氏名・所属先情報・連絡先情報である。件数は公表されていない。リークサイト以外での公開、SNSでの拡散、不正利用は確認されていないと説明されている。
侵入経路が特定されなかったことの意味 解釈
フォレンジック調査を約半年続けても攻撃経路は特定されず、示されたのは推測だけだった。第四報では「管理者アカウントのIDとパスワードが不正に取得された可能性」、第六報では「パスワードの運用・監視体制の不足」と「ネットワーク機器の設定不備」が挙げられた。第三報の時点で「ルーター内の不審設定の削除」が対応として挙がっており、境界にあるネットワーク機器が攻撃者の足場として使われた可能性も考えられる。ただし公表情報からは確定できない。経路を確定できなかった理由は公表されていない。一般には、ログの保存期間が短い、ネットワーク機器のログを取っていない、暗号化でログが失われる、といった要因で経路の再構成は難しくなる。経路が分からない場合、同じ穴が残っていないことを示しにくい。そのため、新しいネットワークセグメントを作り、移行するデータを検査するという「環境ごと作り直す」方針を選んだことは、このような状況への妥当な対応の一つと読める。
攻撃者の主張と調査結果の照らし合わせ 解釈
Lynxは早い段階で、納品物のフォーマット、台本、進行スケジュール、大手企業向けCM素材の規定やロゴなどを示唆する画面を掲示した。報道は、これが実際に流出したものかどうかは第三者には断定できないとしていた。その後の調査で、外部送信痕跡のあるファイルとリークサイトの公開ファイルが同じであることが確認され、攻撃者の主張の一部は被害組織側の調査でも裏付けられた形になった。一方で、第四報の報道では「外部送信痕跡を確認」、第六報の報道では「持ち出しの形跡は確認されないが流出の可能性を否定できない」と書かれており、表現が揃っていない。公式発表の原文が手元にないため、この差が報道の要約の違いなのか、評価が変わったのかは判断できない。広告制作会社には取引先のブランド素材や公開前の制作情報が集まるため、個人情報の件数が少なくても、取引先への影響を整理して報告することが重要になる事案といえる。
公表と対応の進め方の評価 解釈
第一報は発覚から8日後で、その後もおおむね1か月ごとに計6回の続報が出ており、調査中であっても状況を継続して伝えようとした姿勢がうかがえる。第三報では「2月上旬頃に概要を公表する」と予定を示し、実際に2月13日の第四報で暫定結果を公表しており、予告した内容を守っている。対策としては、ファイアウォールとEDRの新規導入、パスワードの再設定、監視体制の構築を実施済みとし、今後は制作物の運用ルール作り、従業員教育、定期的なIT監査を行うとした。技術面と運用面の両方に手を入れる構成である。ただし、漏えいのおそれがある人数、本人への個別通知の方法、当局への報告の有無、春頃としていた完全復旧が実際に終わったかどうかは、渡された情報からは読み取れない。読み手が自分が対象かどうかを判断する材料はまだ少ない。
対応
- 封じ込め
- 東北新社と合同の対策本部を設置し、外部専門機関と連携して当該システムのネットワーク切り離し等の封じ込めを実施。新たなファイアウォールおよびEDRの導入、パスワード再設定、ルーター内の不審設定の削除を実施済み。第六報では再発防止策として、ネットワーク切り離し・端末/サーバーの安全性確認・ファイアウォール新規導入・監視体制新規構築を実施済みとし、今後は制作物の運用ルール策定・従業員教育・定期IT監査を実施予定とした。第四報では、セキュリティを強化した新しいネットワークセグメントを構築して新環境へ移行し、移行対象データは厳格なスクリーニングを行う方針を示した。
- 公表の仕方
- 2025年12月17日の第一報から2026年6月4日の第六報まで計6回公表（第二報12/26、第三報1/22、第四報2/13、第五報3/12）。第六報でフォレンジック調査の完了と、個人データ漏えいのおそれ、推測される原因を公表した。漏えいのおそれがある件数は開示されていない。リークサイトに情報が掲載された取引先には個別に報告するとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理者アカウントのIDとパスワードの不正取得が侵入原因の候補に挙がった | サーバー、NAS、ネットワーク機器の管理者アカウントを洗い出し、共有アカウントを廃止する。リモートからの管理ログインには多要素認証を必須にし、管理用の経路は踏み台やVPNを経由したものに限定する。パスワードは製品ごとに一意で長いものにして、パスワード保管庫で管理する。 |
| ネットワーク機器の設定不備やルーター内の不審設定が対応の対象になった | ルーターやファイアウォールの設定（ポート転送、管理画面の公開、アカウント）を定期的にエクスポートし、正しい状態と差分を比べる。設定変更はSyslogで外部に送って記録し、承認されていない変更があれば通知する。 |
| 約半年のフォレンジック調査でも攻撃経路を特定できなかった | ネットワーク機器、VPN、認証基盤、サーバーのログを、暗号化の影響を受けない別のSIEMやログサーバーに少なくとも1年分集める。時刻同期（NTP）をそろえ、インシデントの際にすぐ調査を依頼できる体制とログの取得手順を事前に決めておく。 |
| 制作素材や取引先の資料が同じサーバー群に保存されており、1台からのファイル外部送信がリークサイトでの公開につながった | 取引先ごとや案件ごとに保存場所とアクセス権を分け、終わった案件のデータはオフラインのアーカイブに移す。サーバーからインターネットへの通信は許可した宛先だけに制限し、大量のアップロードを検知する監視ルールを設ける。 |
| 納品用ファイルが暗号化を免れたことで事業を継続できた | 進行中の案件データについて、本番環境から切り離した変更不可（イミュータブル）バックアップを取る。復元の手順と所要時間を定期的に訓練で確かめる。 |
| リークサイトへの掲載と取引先情報の扱いが、公表の大きな論点になった | リークサイトの監視を外部サービスなどで行い、掲載が確認されたら取引先と本人への通知を何時間以内に出すかを手順として決めておく。連絡先の一覧も平時から整えておく。 |
自組織などでの確認項目
- 自社のサーバー、NAS、ルーターの管理者アカウントのうち、多要素認証がなく、外部や社内の広い範囲からログインできるものはいくつあるか。
- ランサムウェアで業務サーバーが暗号化された場合でも、侵入経路を再構成できるだけのログ（ネットワーク機器・VPN・認証）が、別の場所に必要な期間分残っているか。
- 取引先から預かった素材や資料が、案件ごとにアクセス権を分けずに共有サーバーにまとめて保存されていないか。
- 社外の制作スタッフや退職者の氏名・連絡先がどのシステムに何件あるかを、事故が起きた際にすぐ数えられる状態になっているか。
未解明点
- 漏えいのおそれがある個人データの件数（人数）と、本人への個別通知を行ったかどうか。
- 侵入された日と、攻撃者がネットワーク内にいた期間。
- 外部送信痕跡の確認（第四報）と「持ち出しの形跡は確認されない」（第六報の報道）の関係と、どちらが正確な判断か。
- 問題とされたネットワーク機器の製品名と設定不備の具体的な内容、および既知の脆弱性との関係。
- 2026年春頃とされた完全移行・本格復旧が実際に完了したかどうかと、その時期。
- 個人情報保護委員会への報告の有無、身代金の要求と対応、金銭的な影響。
出典
- 1ransomware.live2025-12-23攻撃者主張本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-26報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-08報道本文確認済
- 4セキュリティ対策Lab(合同会社ロケットボーイズ)2026-01-26報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-17報道本文確認済
- 6ScanNetSecurity2026-01-20報道本文確認済
- 7ScanNetSecurity2026-06-16報道本文確認済