鳥取県環境放射線モニタリングシステムへのランサムウェア攻撃（主監視局が停止、副監視局で監視継続）
公表日
鳥取県の環境放射線モニタリングシステムが2026年9月2日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、県庁内の主監視局が停止した。遠隔地の副監視局に被害はなく、放射線の監視は続いている。
何が起きたのか
2026年9月2日午前3時36分、システムが異常を検知して警報メールを自動で送った。登庁した担当職員が異常に気づいて保守業者に連絡し、県庁内の主監視局のサーバ内のファイルが、身代金を要求するタイプのウイルス（ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。）で暗号化されていることが確認された。県は主監視局につながる通信回線をすべて遮断し、県庁の対応チームを動かして県警に通報した。9月3日に県が発表し、9月5日には持ち運びできる測定装置（可搬型モニタリングポスト）を設置して監視を続けた。同日、念のため副監視局の通信も止めた。
なぜ起きたのか・なぜ広がったのか
侵入経路や攻撃者は調査中で、まだ発表されていません。狙われたのか、手当たり次第に探された結果なのかも分かっていません。一方で、システムは県庁の総合行政ネットワークとは分離された専用のネットワークで動いており、主監視局と副監視局で2重化されていたため、他の県庁システムへの影響はないと県は説明しています。
いまの状況2026-09-15 時点続報待ち
2026年9月15日付の県の資料の時点で、主監視局の復旧時期は未定です。県は原因を調べて再発防止策をとったうえで、速やかな復旧を目指すとしています。システム内のデータは公開が目的の測定値で、機密情報や個人情報はないとされ、情報漏えいの発表もありません。情報の持ち出しや身代金の要求があったかどうかは、まだ発表されていません。
企業として考えたいこと
もし自社の中心的なシステムが1台止まったとき、バックアップ用の仕組みや代わりの手段で、大事な業務をどこまで続けられるでしょうか。
技術的な要約
鳥取県は2026年9月3日、島根原子力発電所と人形峠環境技術センター周辺の放射線量率や気象データを収集・監視する「鳥取県環境放射線モニタリングシステム」がランサムウェア攻撃を受けたと発表した。攻撃は9月2日で、県庁内の主監視局（主サーバ）内のファイルが暗号化されて機能が停止した。システムは9月2日午前3時36分に警報メールを自動配信し、県は主監視局につながる全通信回線を遮断して封じ込めを完了した。遠隔地のバックアップ用の副監視局に被害はなく、可搬型モニタリングポストの設置も含め放射線監視は継続している。システム内に機密情報や個人情報はないとされ、侵入経路・攻撃者・身代金要求の有無は公表されておらず、復旧時期も未定である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は調査中で公表されていない。保守業者がシステムログを解析中。狙って選ばれたのか、機器を手当たり次第に探した結果なのかも分かっていない（報道）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 県庁内の主監視局（主サーバ）内のファイルが暗号化され機能停止。遠隔地の副監視局は被害がなく放射線監視は継続。9月5日に可搬型モニタリングポストを設置してモニタリングを継続し、同日、予防的措置として副監視局の通信を遮断した。期間：9月2日に主監視局が停止。9月15日付の県資料時点で復旧時期は未定。
- データ
- なし上限 —確定 —システム内のデータは公開を目的とした測定値で、機密情報や個人情報はないとされる。情報漏えいの公表はない。情報持ち出しの有無は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- システム保守業者が調査を主導しているが、侵入起点としての関与は公表されていない。被害システムは県庁の総合行政ネットワークとは分離されており、他の県庁システムへの影響はないとされる。
時系列
- 2026-09-02 03:36システムが異常を検知し、警報メールを自動配信（発覚時刻）。5
- 2026-09-02
- 2026-09-02登庁後、担当職員が異常を確認して保守業者へ連絡。保守業者が主監視局のファイルのランサムウェアによる暗号化を確認。5
- 2026-09-02情報セキュリティ統括管理者（デジタル局長）が主監視局につながる全通信回線の即時遮断を指示・実施し、県庁CSIRTを発動、県警サイバー犯罪対策課へ通報。5
- 2026-09-03
- 2026-09-04主監視局の調査を開始し、通信ログ等を取得。5
- 2026-09-05可搬型モニタリングポストを設置し、環境放射線モニタリングを継続。5
- 2026-09-05副監視局に被害はないが、予防的措置として副監視局の通信を遮断。5
- 2026-09-15地域県土警察常任委員会資料として、本件サイバー攻撃について報告。復旧時期は未定。5
技術解説
攻撃と被害の事実関係 事実
鳥取県の発表によると、島根原子力発電所と人形峠環境技術センター周辺の放射線量率や気象データを収集・監視する「鳥取県環境放射線モニタリングシステム」で、2026年9月2日にランサムウェア攻撃によるセキュリティインシデントが発生した。県庁内の主監視局（主サーバ）内のファイルが暗号化され、機能が停止した。システムは異常を検知し、9月2日午前3時36分に警報メールを自動配信しており、これが発覚時刻とされている。登庁した担当職員が異常を確認して保守業者に連絡し、保守業者が主監視局のファイルがランサムウェアにより暗号化されていることを確認した。
封じ込めと調査の経過 事実
情報セキュリティ統括管理者（デジタル局長）は、主監視局につながる全ての通信回線の即時遮断を指示し、実施された。あわせて県庁CSIRTを発動し、県警サイバー犯罪対策課へ通報した。9月4日に主監視局の調査が始まり、通信ログ等が取得された。9月5日には可搬型モニタリングポストを設置して環境放射線モニタリングを継続した。同日、副監視局には被害がないものの、主監視局と同じシステム構成で同じ攻撃を受ける可能性があるとして、予防的措置で副監視局の通信を遮断した。保守業者が県庁CSIRTと県警の協力を得て原因究明を進めており、復旧時期は未定である。
データの範囲と未公表事項 事実
システム内のデータは公開を目的とした測定値で、機密情報や個人情報はないと県は説明している。システムは県庁の総合行政ネットワークとは分離された専用ネットワークで運用されており、他の県庁システムへの影響はないとされる。主監視局とバックアップ用の副監視局で2重化されており、副監視局に被害はなく、県は放射線モニタリングに影響はないと説明している。一方、侵入経路、ランサムウェアの種類、攻撃者、身代金要求の有無、情報持ち出しの有無は公表されていない。報道では情報漏えいの公表もないとされている。
影響が限定的にとどまった構造の読み取り 解釈
公表内容から読み取ると、主・副の2重化、遠隔地への副監視局の配置、専用ネットワークによる分離、異常時の警報メール自動配信、可搬型モニタリングポストという複数の備えが重なり、主監視局が停止しても監視の継続につながったように見える。ただし、これは公表資料からの解釈であり、各対策が実際にどの程度効いたかは示されていない。また、副監視局が主監視局と同じ構成で同様の攻撃を受け得ると県自身が述べている点は、2重化が同種の攻撃への耐性までは保証しないことを示唆している。
公表の評価と今後の見方 解釈
県は発覚の翌日に発表し、その後、時系列や対応を含む常任委員会資料で経過を報告している。発覚時刻や遮断の判断者まで具体的に示されており、行政の公表としては詳細な部類と考えられる。一方で、侵入経路、攻撃者、身代金要求の有無、情報持ち出しの有無、復旧時期は未公表であり、現時点では原因や再発防止策を評価する材料が足りない。調査は進行中のため、結論を急がず、今後の続報で侵入経路や復旧の方針が示されるかを確認する必要がある。
対応
- 封じ込め
- 主監視局につながる全通信回線を即時遮断し、県庁CSIRTを発動。副監視局は被害がないものの予防的措置として9月5日に通信を遮断。可搬型モニタリングポストを設置して監視を継続。
- 公表の仕方
- 2026年9月3日に危機管理部原子力安全対策課からの資料提供として発表。9月15日付の常任委員会資料で経過を報告。侵入経路、ランサムウェアの種類、攻撃者、身代金要求の有無、情報持ち出しの有無は公表されていない。
- 当局対応
- 鳥取県警察本部サイバー犯罪対策課
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 主系が停止しても監視を続けられる冗長構成と代替手段が、重要な監視業務の継続に役立つ | 主・副を別拠点に置き、副系はバックアップのオフライン/イミュータブル保管と独立した認証基盤で運用する。主系喪失を想定した切替訓練を年1回実施し、可搬型機器など代替手段の設置手順も手順書化する。 |
| 同一構成の副系は同じ攻撃を受け得るため、予防的な隔離判断を事前に決めておく | 主系で感染を確認した場合に副系の通信を遮断する条件と権限者をインシデント対応手順に明記する。遮断後も測定データを受信できるよう、一方向の受信経路や手動回収の手順を用意する。 |
| 専用ネットワークで分離しておくと他システムへの波及を抑えやすい | 監視系ネットワークと庁内/社内ネットワークの間はFWで通信を最小限に限定し、保守回線・リモート接続はMFA必須の踏み台経由にする。分離の実効性を定期的に通信経路の棚卸しで確認する。 |
| 異常の自動通知と、発覚直後に回線を遮断できる権限・手順が初動を速める | ファイル暗号化や機能停止を検知するアラートを夜間・休日も受信できる宛先に送る。全回線の即時遮断を実施できる権限者と連絡網を決め、CSIRT発動と警察への通報の基準も文書化する。 |
| 原因調査に必要なログを遮断前後で確実に保全する | 主要機器のログを外部のログ基盤へ転送して保管期間を定める。感染機器は電源断・初期化の前に通信ログやディスクイメージを取得する手順を保守業者との契約・手順書に盛り込む。 |
自組織などでの確認項目
- 自組織の重要な監視・制御系システムには、主系が止まった場合に業務を続けられる副系や代替手段があるか。副系は主系と同じ攻撃で同時に止まらない構成になっているか。
- 自組織の監視系・専用系ネットワークは、他の社内ネットワークや保守業者の接続からどの経路で分離されているか。通信経路の一覧を直近1年以内に見直しているか。
- 異常を検知する警報は夜間・休日でも誰が受信し、どの権限者が全通信回線の遮断を判断できるか。その手順は文書化され、訓練されているか。
- 保守業者に調査を任せる場合、ログの保全、CSIRTや警察との連携、費用負担、連絡手順は契約や手順書で定められているか。
未解明点
- 侵入経路と、ランサムウェアの種類・攻撃者は何か。狙って選ばれたのか、無差別だったのか。
- 身代金の要求があったか、また情報の持ち出しがあったか。
- 主監視局の復旧時期はいつか。また、副監視局の通信遮断はいつ解除され、再発防止策はどのような内容か。
出典
- 1Innovatopia2026-09-05報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-02報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-07報道本文確認済
- 4ScanNetSecurity2026-09-16報道本文確認済
- 5鳥取県 危機管理部 原子力安全対策課2026-09-15公式本文確認済