丸高興業へのランサムウェア攻撃（VPN経由で侵入、少なくとも1.5GBの漏えいのおそれ）
公表日
丸高興業が2026年3月11日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、サーバーのデータが暗号化された。少なくとも1.5GBのデータが漏えいしたおそれがあるが、外部への持ち出しが確定した量ではない。
対象者は？
対象サーバーに保存されていた取引先の情報（会社名、部署名、担当者名、住所、納品先・直送先住所、電話番号、FAX番号、メールアドレス、受発注履歴など）が含まれる。クレジットカード情報と金融機関口座情報は保存されていなかった。対象人数・件数は公表されていない。
同社は、流出の事実または可能性が判明した場合は対象の関係者へ個別に連絡するとしている。個人情報の実際の漏えいや不正利用は2026年7月29日時点で確認されていない。
いますぐできること
- 丸高興業を装った、パスワード変更の要求や個人情報の入力を求める連絡には応じない。
- 同社を装った不審な添付ファイルは開かず、URLへのアクセス依頼にも注意する。
- 同社から個別の連絡が来た場合は、その案内に従う。
何が起きたのか
2026年3月11日未明、丸高興業のサーバー内のデータが暗号化され、アクセスできない状態になっていることがわかりました。同社は調査を依頼してランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による被害と判断し、サーバーと関連機器をネットワークから切り離しました。3月13日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。として公表し、受発注や問い合わせ対応に遅れが出る可能性があると案内しました。7月29日の調査結果では、第三者がVPN機器を通って社内ネットワークに入り、不正な管理者アカウントを作って複数のサーバーにアクセスし、データを暗号化してシステムログの一部を削除したことがわかりました。
なぜ起きたのか・なぜ広がったのか
外部の専門会社の調査で、VPN機器を経由して社内ネットワークに入られたことが確認されました。ただし、VPN機器の製品名、弱点の有無、パスワードなどの悪用の有無は公表されていません。ログの一部が失われたため、情報が見られたか、取られたか、外部に持ち出されたかは完全には確認できていません。
いまの状況2026-07-29 時点続報待ち
2026年7月29日時点で、個人情報が実際に外部へ漏えいした事実や不正利用は確認されていないとされています。同社はVPN機器の入れ替え、社内ネットワークの全面再構築、社内設置サーバーの廃止、販売管理システムとデータのクラウド移行、社内パソコンの全台入れ替え、全ユーザーのアカウントとパスワードの再設定を行いました。対象人数・件数、攻撃グループ、金銭的な影響、業務の復旧時期については、まだ発表されていません。
企業として考えたいこと
自社のVPN機器から社内に入られたとき、管理者アカウントが勝手に作られたことに気づけ、ログが消されても何が見られたかを調べられる状態になっていますか。
技術的な要約
丸高興業は2026年3月11日未明、同社サーバー内のデータが暗号化されアクセスできない状態になっていることを確認し、3月13日に不正アクセスとして公表した。7月29日の調査結果公表では、第三者がVPN機器を経由して社内ネットワークへ侵入し、不正な管理者アカウントを作成して複数サーバーへアクセス、データを暗号化しシステムログの一部を削除したことが明らかになった。フォレンジック調査では少なくとも1.5GBのデータが漏えいしたおそれがあると判断されたが、外部持ち出しが確定した容量ではなく、個人情報の実際の漏えいや不正利用は7月29日時点で確認されていない。ログの一部が失われたため、閲覧・取得・外部持ち出しの有無は完全には確認できていない。同社はVPN機器の入れ替え、社内ネットワークの全面再構築、サーバーのクラウド移行などを実施した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器報道・研究者外部の情報セキュリティ専門会社の調査で、第三者がVPN機器を経由して社内ネットワークへ侵入したことが確認された。VPN機器の製品名、脆弱性、認証情報の悪用有無は公表されていない。
- 脆弱性
- CVE 非公表不明VPN機器の製品名、脆弱性の有無は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり サーバー内データが暗号化され、受発注や問い合わせ対応などの一部業務に遅延が生じる可能性があると案内された。
- データ
- おそれ上限 —確定 —取引先情報氏名住所電話メール購入履歴少なくとも1.5GBのデータが漏えいしたおそれ（外部持ち出しが確定した容量ではない）。対象サーバーには会社名、部署名、担当者名、住所、納品先・直送先住所、電話番号、FAX番号、メールアドレス、受発注履歴などが保存されていた。クレジットカード情報と金融機関口座情報は保存されていなかった。個人情報の実際の漏えいや不正利用は2026-07-29時点で未確認で、対象人数・件数は非公表。ログの一部が失われ、閲覧・取得・持ち出しの有無は完全には確認できていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-03-11
- 2026-03-11基幹システム制作会社へ初期調査を依頼し、ランサムウェアによる被害と判断。1
- 2026-03-11被害拡大防止のため、当該サーバーと関連機器をネットワークから物理的に遮断（実施日時は非公表）。1
- 2026-03-13
- 2026-03-17セキュリティ対策Labが第1報を報道。1
- 2026-07-29
- 2026-07-29攻撃者がデータを暗号化しシステムログの一部を削除。少なくとも1.5GBの漏えいのおそれと判断。2
- 2026-07-29個人情報の実際の漏えいや不正利用は未確認と説明。2
- 2026-08-03セキュリティ対策Labが調査結果を報道。2
- 2026-08-18ScanNetSecurityが調査結果を報道。3
技術解説
公表された事実経過 事実
丸高興業は2026年3月11日未明、同社サーバー内のデータが暗号化されアクセスできない状態になっていることを確認し、基幹システム制作会社へ初期調査を依頼してランサムウェアによる被害と判断した。当該サーバーと関連機器はネットワークから物理的に遮断された。3月13日の第1報では、ファイルサーバーへの不正アクセスとして公表され、情報の外部流出は未確認、受発注や問い合わせ対応に遅延の可能性があると案内された。7月29日の調査結果では、VPN機器を経由した社内ネットワークへの侵入、侵入後の不正な管理者アカウントの作成、そのアカウントによる複数サーバーへのアクセス、データの暗号化、システムログの一部削除が確認されたと公表された。
漏えいの範囲と確度 事実
フォレンジック調査では、少なくとも1.5GBのデータが漏えいしたおそれがあると判断された。ただしこれは外部持ち出しが確定した容量ではない。対象サーバーには、取引先の会社名、部署名、担当者名、住所、納品先・直送先住所、電話番号、FAX番号、メールアドレス、受発注履歴などが保存されていた。クレジットカード情報と金融機関口座情報は保存されていなかった。2026年7月29日時点で、個人情報が実際に外部へ漏えいした事実や不正利用は確認されていない。対象人数・件数は公表されていない。ログの一部が失われたため、閲覧・取得・外部持ち出しの有無は完全には確認できなかったとされている。
公表内容から読み取れる攻撃の構造 解釈
公表された内容を並べると、VPN機器を入口に侵入し、管理者権限を持つアカウントを作って複数サーバーへ広げ、暗号化とログ削除に至るという流れが見える。これはMITRE ATT&CKのT1133、T1136、T1486、T1070に対応づけられる。一方で、VPN機器の製品名、脆弱性、認証情報の悪用の有無、侵入日、攻撃グループは公表されていないため、入口が脆弱性だったのか認証情報だったのかは判断できない。また、ログが削除されたことで、漏えいの有無を確定できない状態が残った。「確認されていない」ことは「なかった」ことを意味しない点に注意が必要だと考えられる。
第1報と調査結果の差から見る情報の変化 解釈
3月の第1報は情報の外部流出は未確認とするものだった。7月の調査結果では、少なくとも1.5GBの漏えいのおそれという、より踏み込んだ評価が示された。これは調査が進んで見え方が変わった例と読める。調査の途中段階では暗号化の被害が中心に見えやすく、侵入経路や管理者アカウントの作成、ログ削除といった事実は後から判明することがある。公表の評価としては、おそれの容量を示しつつ「確定した容量ではない」と区別し、個別連絡の方針や、同社を装う連絡への注意喚起を併せて示した点が読者の判断材料になる。対象件数や金銭面の影響など、未公表の項目は残っている。
再発防止策の方向性 解釈
同社は侵入経路となったVPN機器の最新機種への入れ替えに加え、社内ネットワークの全面再構築、社内設置サーバーの廃止、販売管理システムとデータのクラウド移行、社内パソコンの全台入れ替え、全ユーザーアカウントとパスワードの再設定を実施したと公表している。入口の機器だけでなく、不正な管理者アカウントが作られた可能性を踏まえて認証情報と端末も含めて作り直す方針と読み取れる。ただし、クラウド移行後の認証や監視の具体策、ログの保管方法、多要素認証の導入有無などは公表されておらず、実効性は公表情報だけでは評価できない。
対応
- 封じ込め
- 当該サーバーと関連機器をネットワークから物理的に遮断。被害サーバーの隔離とフォレンジック調査を実施し、侵入経路となったVPN機器を最新機種へ入れ替えた。社内ネットワークの全面再構築、社内設置サーバーの廃止、販売管理システムとデータのクラウド全面移行、社内パソコン全台入れ替え、全ユーザーアカウントとパスワードの再設定などを実施。
- 公表の仕方
- 2026-03-13に第1報、2026-07-29に調査結果を公表。流出の事実または可能性が判明した場合は対象の関係者へ個別に連絡するとしている。同社を装ったパスワード変更要求、個人情報入力要求、不審な添付ファイル、URLへのアクセス依頼への注意も呼びかけた。
- 当局対応
- 関係機関への報告と連携は公表されているが、個人情報保護委員会への報告は明記されていない。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| VPN機器は侵入の入口になりうるため、棚卸しと更新管理が必要である | 外部公開しているVPN機器の機種・ファームウェア版を資産台帳で管理し、ベンダーの脆弱性情報を購読して適用期限（例：緊急は数日以内）を定める。サポート終了機器は計画的に置き換える。 |
| 侵入後の不正な管理者アカウント作成を早期に検知する | Active Directoryなどでアカウント作成・特権グループ追加のイベント（例：Windowsのイベント4720、4728、4732）を収集し、通常の運用外の時間帯や操作元の作成をアラート化する。管理者アカウントは棚卸しして定期確認する。 |
| ログが削除されると漏えいの有無を確定できなくなる | サーバーとVPN機器のログを書き込み専用または別アカウント管理の外部ストレージ・SIEMへリアルタイム転送し、保管期間を決める。ネットワーク通信のログも保存する。 |
| VPN接続の認証を強化し、侵入後の横展開を難しくする | VPNログインに多要素認証を必須にし、接続元や時間帯の異常を監視する。サーバーごとにネットワークを分割し、管理者権限の利用は踏み台経由に限定する。 |
| 公表では「確認」と「確定」を区別して続報の時期を示す | 対外公表の雛形に、確定事項・おそれ・未確認・調査中の欄を設け、調査の節目で続報を出す運用を決めておく。件数は上限と確定を別の欄にする。 |
自組織などでの確認項目
- 自組織のVPN機器の機種とファームウェアの版を、いま即座に一覧できますか。また、ベンダーの脆弱性情報はだれが受け取り、何日以内に適用する決まりですか。
- 自組織で、管理者アカウントが新しく作られたとき、あるいは特権グループに追加されたときに、通知やアラートが担当者に届きますか。
- サーバーやVPN機器のログは、攻撃者が管理者権限を得ても消せない別の場所に保管されていますか。保管期間は調査に足りますか。
- 自組織のファイルサーバーや販売管理システムに、取引先の担当者名や住所、受発注履歴などが保存されているとしたら、インシデント時に対象者へ連絡する手順と連絡先リストは用意されていますか。
未解明点
- 侵入経路となったVPN機器の製品名、脆弱性の有無、認証情報の悪用の有無は公表されていない。
- 侵入が始まった日と、攻撃者が滞在していた期間は公表されていない。
- 漏えいのおそれがある対象者の人数・件数、および外部持ち出しが確定した量は公表されていない。
- 攻撃グループ名、身代金要求やリークサイト掲載の有無は公表されていない。
- 個人情報保護委員会への報告の有無は明記されておらず、業務の復旧時期や金銭的な影響も示されていない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-03-17報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-03報道本文確認済
- 3ScanNetSecurity2026-08-18報道本文確認済