日本資産総研へのランサムウェア攻撃（認証情報窃取によるサーバ暗号化・保有データ1％未満の外部送信の可能性）
公表日
日本資産総研のサーバがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染し、ファイルが暗号化されました。保有データの1％未満が外部に送られた可能性がありますが、不正利用などは確認されていません。
対象者は？
同社のコンサルティング業務の顧客(氏名・生年月日・住所・資産情報)、不動産取引業務の顧客(氏名・生年月日・住所)、従業員とその家族で退職者を含む(氏名・生年月日・住所・電話番号・メールアドレス)の情報が、漏えい等のおそれがあるとされています。外部送信された可能性のあるデータの件数や具体的な対象は、まだ特定されていません。
同社が個別に連絡するかどうかは、確認した範囲では書かれていません。心当たりのある方は、同社の公式発表をご確認ください。
いますぐできること
- 同社から連絡や案内が来た場合は、内容を公式の窓口で確かめたうえで対応する。
- 心当たりのない電話・メール・郵便が届いても、すぐに応じず、送り主を確かめる。
- 同じパスワードを使い回している場合は、念のため変更する。
何が起きたのか
2026年5月9日、日本資産総研は自社のサーバがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染していることを確認しました。5月14日に第1報を公表し、システム内のファイルが暗号化されたと発表しました。同社のサーバを使っていた子会社の日東不動産のデータも対象に含まれていました。6月22日の第2報ではデータを盗まれた可能性が判明していたと公表され、7月31日の第3報では、保有データの1％未満が外部へ送られた可能性があると示されました。
なぜ起きたのか・なぜ広がったのか
外部専門機関の調査で、第三者が何らかの方法で認証情報を盗み、サーバに不正にアクセスしてランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。を実行したことが確認されました。認証情報の盗まれ方や、どのサービスのものかは、まだ発表されていません。
いまの状況2026-07-31 時点続報待ち
7月31日時点で、業務システム、ファイルサーバ、メール環境などは復旧し、通常の業務を再開しています。個人情報の不正利用や二次被害を示す事実は確認されていません。再発防止策として、認証基盤の強化や脅威検知・対応体制の構築などが挙げられています。外部送信されたデータの件数や、停止していた期間は、まだ発表されていません。
企業として考えたいこと
もし御社の社員のIDとパスワードが盗まれた場合、多要素認証などで不正なログインを止められますか。また、子会社と共用しているサーバの被害範囲を説明できますか。
技術的な要約
株式会社日本資産総研は2026年5月14日、外部からのランサムウェアによる不正アクセスでシステム内のファイルが暗号化されたと公表した。サーバの感染確認は5月9日である。外部専門機関の調査で、第三者が何らかの方法で認証情報を窃取してサーバ環境に不正アクセスし、ランサムウェアを実行したことが確認された。保有データの1％未満が外部へ送信された可能性があるが、対象データは特定できていない。7月31日の第3報時点で業務システム・ファイルサーバ・メール環境は復旧し、通常業務を再開しており、個人情報の不正利用や二次被害の事実は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認外部専門機関の調査により、第三者が何らかの方法で認証情報を窃取し、同社のサーバ環境へ不正アクセスしたうえでランサムウェアを実行したことが確認されている。認証情報の窃取方法や対象サービスは公表されていない。第1報では侵入経路は明らかにされていなかった。
- 脆弱性
- CVE 非公表不明脆弱性の悪用については公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サーバ内ファイルが暗号化され、対象サーバおよび関連端末をネットワークから隔離して復旧。業務システム、ファイルサーバ、メール環境等は復旧し通常業務を再開。停止した具体的な期間は公表されていない。
- データ
- おそれ上限 —確定 —氏名生年月日住所その他電話メール従業員情報一部データが外部へ送信された可能性があり、データ量は保有データの1％未満とされるが、対象データは特定できていない。漏えい等のおそれがある個人データは、コンサルティング業務の顧客の氏名・生年月日・住所・資産情報、不動産取引業務の顧客の氏名・生年月日・住所、従業員及び家族（退職者含む）の氏名・生年月日・住所・電話番号・メールアドレス。2026-07-31時点で不正利用や二次被害を示す事実は確認されていない。件数は公表されていない。
- 波及先
- 1 社
- 日東不動産株式会社（日本資産総研のサーバを利用していた子会社。同サーバ内のデータが暗号化の対象）
- 金銭影響
- —
- サプライチェーン
- 日本資産総研のサーバを利用していた子会社の日東不動産が同じ被害に含まれた。青山財産ネットワークスおよびその他グループ会社のシステムや保有情報への影響は確認されていない。
時系列
- 2026-05-09
- 2026-05-14
- 2026-05-14
- 2026-05-14青山財産ネットワークスが、グループ会社の日本資産総研と日東不動産へのランサムウェア攻撃について発表。3
- 2026-06-22
- 2026-07-31
- 2026-07-31青山財産ネットワークスが第3報を発表。日本資産総研と日東不動産以外への影響は確認されていないと説明。5
- 2026-08-04セキュリティ対策Labが、第3報の内容として一部データが外部送信された可能性を報道。2
- 2026-08-21ScanNetSecurityが、青山財産ネットワークスの第3報として、日本資産総研と日東不動産以外での影響は確認されずと報道。5
- 2026-08-24ScanNetSecurityが、日本資産総研の第3報として、1％未満のデータ量が外部に送信された可能性と報道。6
技術解説
公表された攻撃の流れ 事実
公表されているのは次の流れである。日本資産総研は2026年5月9日にサーバがランサムウェアに感染していることを確認し、5月14日に第1報を出した。外部専門機関の調査で、第三者が何らかの方法で認証情報を窃取し、サーバ環境へ不正アクセスしたうえでランサムウェアを実行したことが確認された。対象は同社と、同社サーバを利用していた子会社の日東不動産のデータが保管されたサーバ内のファイルである。認証情報の窃取方法や、どのサービスの認証情報かは公表されていない。侵入日も示されていない。攻撃者グループ名やリークサイト掲載の有無も公表上は示されていない。
データ流出に関する公表内容 事実
第2報(6月22日)でサーバ内データを窃取された可能性が判明していたと公表され、第3報(7月31日)で、一部データが外部へ送信された可能性があり、その量は保有データの1％未満とされた。ただし具体的にどのデータが対象かは特定できていない。漏えい等のおそれがある個人データは、コンサルティング業務の顧客の氏名・生年月日・住所・資産情報、不動産取引業務の顧客の氏名・生年月日・住所、従業員及び家族の氏名・生年月日・住所・電話番号・メールアドレスである。1％未満は上限の目安であり、流出が確認された件数ではない。件数は公表されていない。7月31日時点で不正利用や二次被害を示す事実は確認されていない。
対応と復旧の状況 事実
同社は被害確認後、対象サーバと関連端末をネットワークから隔離し、親会社の青山財産ネットワークスと合同対策本部を設置して、外部専門家と被害拡大防止、影響範囲調査、復旧を進めた。第2報でEDRの導入が公表された。第3報時点で業務システム、ファイルサーバ、メール環境等は復旧し、通常どおりの業務運営を再開している。再発防止策として、認証基盤の強化、高度な脅威検知およびインシデント対応体制の構築、クラウドサービスを含むセキュアなインフラ整備、継続的なセキュリティ評価と改善活動が挙げられている。第1報・第2報では、個人情報保護委員会、関東財務局、国土交通省への報告・連携、警察への相談を進めていると説明されていた。業務停止の具体的な期間は公表されていない。
段階的な公表から読み取れること 解釈
解釈として、第1報では侵入経路が不明で、漏えいは可能性を否定できない段階だったが、第2報でデータ窃取の可能性、第3報で認証情報の窃取と外部送信量の目安が示され、調査の進展に応じて情報が積み上がったと読める。一方で、認証情報の窃取方法や対象サービスは未公表であり、多要素認証の有無など防御策との関係は外部からは判断できない。再発防止策の筆頭に認証基盤の強化が挙がっていることから、認証が事案の重要な論点だったとうかがえるが、これは推測の域を出ない。なお本稿が依拠する出典は報道・解説記事が中心で、公式発表の原文は一覧に含まれていない。
対応
- 封じ込め
- 対象サーバおよび関連端末をネットワークから隔離し、外部専門家の支援を受けて復旧。親会社と合同対策本部を設置。第2報でEDR導入を公表。再発防止策として、認証基盤の強化、高度な脅威検知およびインシデント対応体制の構築、クラウドサービスを含むセキュアなインフラ整備、継続的なセキュリティ評価と改善活動を挙げている。
- 公表の仕方
- 2026-05-14に第1報、06-22に第2報、07-31に第3報を公表。親会社の青山財産ネットワークスも同日付で発表している。
- 当局対応
- 個人情報保護委員会
- 関東財務局
- 国土交通省
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 認証情報が窃取されると、正規のログインとして侵入される。 | リモートアクセス、管理者アカウント、メールなどの認証に多要素認証(できればFIDO2等の耐フィッシング方式)を必須にし、未適用のアカウントを棚卸しして洗い出す。 |
| 子会社が同じサーバを共用していると、1つの被害が複数社に及ぶ。 | グループ会社間でサーバやファイル共有を使う場合は、ネットワークセグメントとアクセス権をテナント単位で分離し、共用サーバ上のデータの所有者と保存期間を台帳で管理する。 |
| 暗号化と窃取が組み合わさる場合、復旧後も流出範囲の特定が難しい。 | ファイルサーバのアクセスログと外向き通信ログ(プロキシ、FW、DNS)を90日以上、改ざんされない場所に保存し、送信データ量を後から追えるようにする。 |
| EDR導入や検知体制は、侵入後の早期発見に効く。 | EDRをサーバを含む全端末に展開し、管理者ログインの異常や大量のファイル暗号化の検知アラートを24時間体制または監視委託で受け、初動の隔離手順を演習で確認する。 |
| 調査の進展に合わせた段階的な公表が必要になる。 | 第1報の時点で、分かっていること・未確認のこと・次回報告の目安を分けて書くテンプレートを事前に用意し、窓口、規制当局への報告先一覧と併せてインシデント対応計画に含める。 |
自組織などでの確認項目
- 自組織のサーバやメール、VPNへのログインで、多要素認証が適用されていないアカウントはどれくらいあるか。
- 自組織のサーバをグループ会社や委託先と共用している場合、その範囲とデータの所有者を説明できるか。
- 外部への大量のデータ送信を、ログから後で特定できる状態になっているか。保存期間は十分か。
- インシデント発生時に、どの時点で何を公表し、どの当局へ報告するかが決まっているか。
未解明点
- 認証情報はどのような方法で、どのサービスのものが窃取されたのか。
- 侵入が始まった日と、攻撃者が滞在していた期間はいつか。
- 外部送信された可能性のあるデータの件数と、対象となる本人の人数はどれくらいか。
- 業務システム等が停止していた期間はどれくらいか。
- 攻撃者グループの特定や、脅迫・リークサイトへの掲載はあったか。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-05-18報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-04報道本文確認済
- 3ScanNetSecurity2026-05-29報道本文確認済
- 4ScanNetSecurity2026-07-06報道本文確認済
- 5ScanNetSecurity2026-08-21報道本文確認済
- 6ScanNetSecurity2026-08-24報道本文確認済