第一工業へのランサムウェア攻撃（データセンターのドメイン参加サーバ等が暗号化、外部流出は確認されず）
公表日
第一工業が2026年3月25日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、データセンター内のサーバとファイルが暗号化された。外部への流出は確認されていないが、従業員や取引先の情報が漏れた可能性のある対象として示されている。
対象者は？
従業員（退職者を含む）と、取引先・仕入先・協力会社等の社外関係者が、漏洩の可能性がある対象として示されている。従業員は氏名・生年月日・性別・住所・電話番号・所属・役職・健康情報・人事・福利厚生関連の情報など、社外関係者は氏名・住所・電話番号・メールアドレス等が含まれる。人によって対象の情報は異なり、全員が全項目の対象ではない。件数は発表されていない。外部流出の証跡は確認されていない。
本人への個別の連絡方法は、報道された範囲では示されていません。第一工業の公式発表で確認してください。以下は報道記事です。
何が起きたのか
第一工業は2026年3月25日、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。によるランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、一部のサーバーで障害が起き、データが暗号化されたと公表しました。4月16日の第二報では、攻撃者はデータセンターにあるVPN装置から入った可能性が高いと報告されました。被害が確認されたのは、データセンター内のサーバと、NetApp上のファイルです。社員のパソコンのデータや、ドメインを使わない基幹システムなどには、被害の痕跡は確認されていません。5月8日の第三報では、従業員や取引先などの情報が漏れた可能性のある対象として示されました。
なぜ起きたのか・なぜ広がったのか
攻撃者はVPN装置から侵入した可能性が高いとされています。ただし、攻撃者がログ（操作の記録）を消したため、侵入のしかたや被害の範囲を完全に特定するのは難しいと同社は説明しています。VPN装置の製品名や、どんな弱点が使われたかは発表されていません。
いまの状況2026-05-08 時点続報待ち
2026年5月8日時点で、外部への流出の証跡、攻撃者のリークサイトへの掲載、二次被害は確認されておらず、同社は漏れた可能性は低いと判断しています。一方で、ログが消されているため、漏れていないことの証明は難しいとも述べています。警察への相談・通報と個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。は完了し、被害を受けた機器の隔離・再構築や監視の強化などを実施済みと報じられています。漏洩の可能性がある人数や、金銭的な影響は、まだ発表されていません。
企業として考えたいこと
もし自社のVPN装置が侵入口にされ、記録も消されたとしたら、何が盗まれたかを自社で確かめられるだけの記録が、別の場所に残っているでしょうか。
技術的な要約
第一工業は2026年3月25日、外部からの不正アクセスによるランサムウェア攻撃を受け、一部サーバーでシステム障害が発生しデータが暗号化されたと公表した。4月16日の第二報では、外部専門家の初期調査により、攻撃者はデータセンター内のVPN装置から侵入した可能性が高いとされた。被害が確認された範囲は、データセンター内のドメイン参加サーバとNetApp上のファイルである。5月8日の第三報では、従業員（退職者を含む）や取引先等の情報が漏洩した可能性のある対象として示されたが、外部流出の証跡、リークサイトへの掲載、二次被害は確認されておらず、漏洩の蓋然性は低いと判断している。一方、攻撃者によるログ消去等のため、侵入経路や被害範囲を完全に特定することは困難とされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器報道・研究者外部専門家による初期調査の結果、攻撃者は同社データセンター内に設置しているVPN装置から侵入した可能性が高いとされている。ログ削除等のため、侵入経路や攻撃手法の詳細は完全には特定困難と同社は説明している。
- 脆弱性
- CVE 非公表不明データセンター内に設置されたVPN装置（製品名非公表）侵入口の可能性が高いとされるが、製品名・脆弱性・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 一部サーバーにシステム障害が発生し、データセンター内のドメイン参加サーバおよびNetApp上のファイルが暗号化された。各個人のクライアント端末のデータ、ドメインを利用していない基幹システム、搬送事業部門とBPS事業領域のネットワークのホストでは、不正侵入や被害の痕跡は確認されていない。
- データ
- おそれ上限 —確定 —氏名生年月日性別住所電話メール健康情報従業員情報取引先情報漏洩の可能性がある対象は、従業員（退職者を含む）と社外関係者（取引先・仕入先・協力会社等）。従業員は氏名・生年月日・性別・住所・電話番号・連絡先・所属・役職・健康情報・その他人事・福利厚生関連情報等、社外関係者は氏名・住所・電話番号・メールアドレス等。個人情報の範囲は個々に異なり、全員が全情報の対象ではない。外部流出の証跡は確認されておらず、同社は漏洩の蓋然性は低いと判断している。件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 同社から外部環境へマルウェア感染が拡大した事象は確認されていない。
時系列
- 2026-03-25
- 2026-03-25
- 2026-04-16
- 2026-04-16外部専門家の初期調査で、攻撃者はデータセンター内のVPN装置から侵入した可能性が高いと報告。ログ削除等により詳細・被害範囲の完全な特定は困難とした。1
- 2026-04-16被害はデータセンター内のドメイン参加サーバとNetApp上のファイルに限定。クライアント端末データ、ドメイン外の基幹システム、搬送事業部門・BPS事業領域のネットワークでは痕跡なし。個人情報等の外部漏えいやリークサイト掲載は未確認。1
- 2026-04-16外部環境へのマルウェア感染拡大は確認されず、原因究明と被害状況の確認を継続。1
- 2026-05-08
- 2026-05-08
- 2026-05-08警察への相談・通報と個人情報保護委員会への報告が完了し、侵害機器の隔離・再構築・ふるまい検知強化等を実施済みと第三報で示された（完了時期は第三報時点まで）。2
技術解説
攻撃の経過と確認された被害範囲 事実
第一工業は2026年3月25日、外部からの不正アクセスによるランサムウェア攻撃で同社のデータが暗号化されたことを確認し、一部サーバーでシステム障害が発生したと公表した。4月16日の第二報では、外部専門家による初期調査の結果、攻撃者はデータセンター内に設置しているVPN装置から侵入した可能性が高いとされた。確認されている被害は、データセンター内のドメイン参加サーバとNetApp上のファイルに限定されている。各個人のクライアント端末のデータ、ドメインを利用していない基幹システム、搬送事業部門とBPS事業領域のネットワークに属するホストでは、不正侵入や被害の痕跡は確認されていない。同社から外部環境へマルウェア感染が拡大した事象も確認されていない。
情報漏洩の可能性と同社の判断（第三報） 事実
2026年5月8日の第三報で、同社は漏洩の可能性がある対象として従業員（退職者を含む）と社外関係者（取引先・仕入先・協力会社等）を示した。従業員の情報には氏名・生年月日・性別・住所・電話番号・連絡先・所属・役職・健康情報・その他人事・福利厚生関連情報等が含まれる。社外関係者の情報には氏名・住所・電話番号・メールアドレス等が含まれる。同社は、個人情報の範囲は個々に異なり、全員が記載の全情報の対象になるわけではないと明記している。第三報の公表時点（発覚後約40日間）で、外部流出を示す証跡、攻撃者リークサイトへの掲載、二次被害はいずれも確認されておらず、同社は漏洩が行われた蓋然性は低いと判断している。
調査の制約と対応状況 事実
同社は、攻撃者によるログ削除などのため、侵入経路や攻撃手法の詳細、被害範囲を完全に特定することは困難だと説明している。第三報では、各種ログの消去等の制約により侵害行為やファイル操作の詳細を網羅的に検証することは困難で、漏洩していないことの証明も困難とも明記された。調査には外部専門家が関わり、第二報はファストフォレンジック調査、各種サーバのログ解析、EDRによる端末監視ログの分析を進めた結果を示している。対応として、警察への相談・通報と個人情報保護委員会への報告が完了し、不正アクセスを受けた機器の隔離・再構築・ふるまい検知強化等を実施済みと報じられている。
「蓋然性は低い」と「証明は困難」が併記された意味（解釈） 解釈
第三報は、外部流出の証跡がないことを根拠に漏洩の蓋然性は低いとしつつ、ログが消されているため漏洩していないことは証明できないとも述べている。この二つは矛盾しているのではなく、証拠が残らない状況での判断の限界を率直に示したものと読める。ログ消去は証跡の有無で判断する手法そのものを弱めるため、「確認されていない」は「なかった」と同義ではない点に注意が必要である。他方、被害がドメイン参加サーバとNetApp上のファイルに限定されたと整理できた点は、EDRの監視ログなど別系統の記録が調査を支えた可能性を示唆する。ただしこれは公表内容からの推測であり、実際の調査手法の詳細は公表されていない。
対応
- 封じ込め
- 不正アクセスを受けた機器の隔離・再構築、ふるまい検知の強化等を実施済み。外部専門家と連携し、ファストフォレンジック調査、サーバログ解析、EDR監視ログ分析を実施した。
- 公表の仕方
- 2026-03-25に第一報、2026-04-16に第二報、2026-05-08に第三報を公表。第三報で漏洩の可能性がある従業員・社外関係者の情報の種類を示しつつ、漏洩の蓋然性は低いと判断した。ログ消去等により、侵害行為の詳細の網羅的検証と漏洩していないことの証明は困難と明記している。
- 当局対応
- 警察（相談・通報）
- 個人情報保護委員会（報告完了）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 境界のVPN装置は侵入口になり得るため、侵入を前提にした備えが要る | VPN装置のファームウェアを定期的に更新し、管理画面を外部公開しない。多要素認証を必須にし、VPN接続元・接続時間の異常を検知するアラートを設定する。装置の構成情報と脆弱性情報の確認を運用に組み込む。 |
| 攻撃者がログを消去すると、侵入経路も流出有無も確定しにくくなる | サーバやVPN装置のログを書き込み不可のログ基盤（SIEM／別アカウントのオブジェクトストレージ等）へリアルタイム転送する。管理者権限でも削除できない保管期間を設定する。 |
| ドメイン参加サーバとファイルストレージが同時に暗号化の対象になり得る | NetApp等のストレージでスナップショットを改ざん不能（SnapLock等）に設定し、バックアップは認証基盤から分離した別系統に置く。定期的に復元訓練を行う。 |
| ネットワーク・ドメインの分離が被害範囲の限定に役立つ可能性がある | 事業部門ごとのネットワークセグメンテーションを維持し、セグメント間通信を最小限のACLに絞る。ドメイン管理者アカウントの利用範囲を制限し、特権アカウントの使用を監視する。 |
| 従業員（退職者を含む）・取引先の個人情報がファイルサーバにある前提で棚卸しが必要 | ファイルサーバ上の人事・健康情報等の所在をデータ分類ツールで洗い出し、アクセス権を最小化する。保管期間を過ぎた退職者情報は削除または暗号化保管にする。 |
自組織などでの確認項目
- 自組織のVPN装置の機種・ファームウェア・管理画面の公開状況を、直近で誰が確認したか。更新の責任者と期限は決まっているか。
- ログが攻撃者に削除された場合でも、侵入経路や持ち出しの有無を追えるだけの記録が、別系統（転送先）に何日分残っているか。
- データセンター内のサーバとファイルストレージが同時に暗号化された場合、どの順序で何日で復旧できるか。バックアップは認証基盤から分離されているか。
- 退職者や取引先の個人情報が、どのサーバのどのフォルダにあるかを説明できるか。健康情報など機微な情報の保管先は把握されているか。
未解明点
- 侵入口とされるVPN装置の製品名、悪用された脆弱性、CVEの有無は公表されていない。
- 漏洩の可能性がある従業員・社外関係者の件数と、本人への通知方法は報道の範囲では示されていない。
- 攻撃者の名称や主張の有無、侵入日、業務停止の期間、金銭的影響は公表されていない。
- ログ消去のため網羅的な検証は困難とされており、今後の調査で漏洩の有無の評価が変わるかどうかは不明である。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-22報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-11報道本文確認済
- 3ScanNetSecurity2026-05-08報道本文確認済
- 4ScanNetSecurity2026-05-22報道本文確認済