牧村株式会社へのランサムウェア攻撃（主要システム復旧、一部データは復旧困難）
公表日
繊維専門商社の牧村株式会社が、2026年1月23日に社内システムのランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。感染を公表した。3月9日までに復旧完了と通常運用の再開が公表されたが、一部データは復旧が難しい箇所が残っている。
対象者は？
取引先や顧客など外部の方への影響の範囲は、まだ発表されていません。ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。グループNightSpireは、内部データ、財務データ、顧客リストを保有していると主張していますが、牧村が流出を確認したという発表は、参照した情報にありません。個人情報が含まれるかどうかも、まだ発表されていません。
牧村からの個別の連絡や公式のお知らせをご確認ください。ここでは公式発表の原文を確認できていないため、下の報道記事で経過を確認できます。
いますぐできること
- 牧村と取引のある方は、牧村からの連絡や公式のお知らせを確認する。
- 牧村を名乗る連絡を受けたときは、メールの差出人や内容を、既知の連絡先に問い合わせて確かめる。
何が起きたのか
2026年1月23日、牧村株式会社は、社内システムの一部で外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。をきっかけにランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染したことを確認し、同日に公表しました。感染したシステムを遮断し、被害を広げないための対応と原因の調査、復旧作業を進めました。1月28日には続報を発表しています。2月27日には、主要業務システムの一部とメールシステムが復旧したと報じられました。その後、復旧対応が完了し、主要システムの安全性を確認して通常の運用を再開したと、3月9日までに公表されました。
なぜ起きたのか・なぜ広がったのか
外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がきっかけとされていますが、具体的な侵入の方法は、まだ発表されていません。一部データの復旧が難しい理由も、参照した情報には書かれていません。
いまの状況2026-03-09 時点
2026年3月9日時点で、牧村は復旧対応の完了と通常運用の再開を公表しています。一方で、感染の影響により一部データは復旧が難しい箇所が残っていると説明しています。再発防止策として、セキュリティ監視体制の強化、バックアップ体制の見直しと強化、全従業員へのセキュリティ教育徹底を挙げています。NightSpireのリークサイトには牧村の社名が掲載され、500GBのデータ販売を主張する文言が確認されていますが、これは攻撃者側の主張です。実データの全量か一部かは、記事でも断定できないとされています。流出の有無や範囲について、牧村からの発表はまだありません。
企業として考えたいこと
あなたの会社の基幹システムとメールが同時に使えなくなったとき、バックアップから元の状態にどこまで戻せるかを、実際に試して確かめていますか。
技術的な要約
繊維専門商社の牧村株式会社は、2026年1月23日に同社内部システムの一部で外部からの不正アクセスを端緒とするランサムウェア感染を確認し、同日公表した。該当システムを遮断して初動対応を行い、1月28日に続報を発表した。2月27日には主要業務システムの一部とメールシステムの復旧が報じられた。3月9日までに復旧対応の完了と通常運用の再開が公表されたが、一部データは復旧が難しい箇所が残っているとされる。ランサムウェアグループNightSpireがリークサイトに同社名を掲載し、500GBのデータ販売を主張しているが、実データの範囲は断定できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「外部からの不正アクセスを端緒とするランサムウェア感染」とされるのみで、侵入経路の具体的内容は facts に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- NightSpire 被害組織の言及なしダークウェブ上のリークサイトに社名を掲載し、内部データ、財務データ、顧客リストを保有しているとして500GBのデータ販売を主張
- ATT&CK
影響
- 業務停止
- あり 該当システムを遮断。主要業務システムの一部とメールシステムが2月27日報道時点で復旧、その後主要システムの安全性を確認し通常運用を再開。期間：2026-01-23の感染確認から2026-03-09の復旧完了公表まで（停止範囲・日数の詳細は非公表）
- データ
- 調査中上限 —確定 —業務データ取引先情報牧村は一部データの復旧が難しい箇所が残ると説明。NightSpireは内部データ、財務データ、顧客リスト（500GB）を主張しているが、牧村による流出確認の公表は facts にない。実データの全量か抜粋かは断定できないと記事は注意している。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-01-23内部システムの一部で外部からの不正アクセスを端緒とするランサムウェア感染を確認。2
- 2026-01-23同社システムのランサムウェア感染を公表（第1報）。3
- 2026-01-23該当システムの遮断措置を実施し、被害拡大防止の初動対応、原因調査、復旧対応を開始。2
- 2026-01-28
- 2026-02-27
- 2026-03-09ランサムウェア事案の復旧対応が完了したと公表。主要システムの安全性を確認し通常運用を再開。1
- 2026-03-09一部データは復旧が難しい箇所が残ると説明。再発防止策として監視体制強化、バックアップ見直し、全従業員への教育徹底を挙げた。1
- 2026-03-09NightSpireのリークサイトに牧村の社名が掲載され、500GBのデータ販売を主張する文言が確認された（掲載時期は facts に記載なし）。1
技術解説
公表と報道から確認できる経過 事実
牧村株式会社は2026年1月23日、内部システムの一部で外部からの不正アクセスを端緒とするランサムウェア感染を確認し、同日に公表した。該当システムの遮断措置を実施し、被害拡大防止のための初動対応を行いながら、原因調査と復旧対応を進めた。1月28日には、1月23日公表の感染について続報を発表している。2月27日には、主要業務システムの一部とメールシステムが復旧したと報じられた。その後、復旧対応が完了し、主要システムの安全性を確認したうえで通常運用を再開したと、3月9日付の報道で伝えられている。侵入経路の具体的な内容は、参照した情報には記載がない。
復旧の状況と残っている課題 事実
牧村の公表では、調査と復旧作業の結果、主要システムの安全性が確認され、通常どおりの運用を再開しているとされる。一方で、感染の影響により一部データについては復旧が難しい箇所が残っていると説明している。再発防止策としては、セキュリティ監視体制の強化、バックアップ体制の見直しと強化、全従業員へのセキュリティ教育徹底が挙げられている。これらは報道を通じて確認できる内容である。復旧が難しいデータの種類や量、システムが停止した範囲や日数については、参照した情報に記載がない。
NightSpireの主張と報道の注意点 事実
ランサムウェアグループNightSpireのダークウェブ上のリークサイトには、牧村の社名が掲載されている。掲示には、内部データ、財務データ、顧客リストを保有しているとの主張がある。リークサイト上ではMakimura Co., Ltdが日本企業として掲載され、繊維商社と位置づけられている。500GBのデータを販売するとする文言も確認できる。これらは攻撃者側の主張である。報道した記事は、掲載内容が実データの全量か、抜粋か、一部演出を含むのかは画像だけでは断定できないと注意している。牧村がこの主張を認めたかどうかは、参照した情報に記載がない。
公表情報の読み方と限界 解釈
参照できた情報は報道3件で、牧村の公表原文は含まれない。そのため、侵入経路、被害を受けた範囲、流出の有無といった重要な点は、現時点では確かめられない。「復旧が難しいデータが残る」という説明は、暗号化されたデータの一部を戻せなかった可能性を示すとも読める。ただし、具体的な内容が示されていないため、この読み方は推測にとどまる。攻撃者の500GBという主張も、牧村の確認とは別の情報として扱う必要がある。企業側の説明と攻撃者側の主張を分けて読み、続報や公式発表の原文で確認する姿勢が望ましい。
対応
- 封じ込め
- 該当システムの遮断措置を実施し、被害拡大防止の初動対応を行い、原因調査と復旧対応を進めた。主要システムの安全性を確認したうえで通常運用を再開。
- 公表の仕方
- 2026-01-23に感染を公表、1月28日に続報、2026-03-09までに復旧完了を公表。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| バックアップの設計次第で、復旧できないデータが残るかどうかが変わる。 | 重要データについて、本番環境と認証基盤を分離したオフラインまたは書き換え不能（イミュータブル）なバックアップを保持する。四半期ごとに実際のリストア演習を行い、復旧できたデータの範囲と所要時間を記録する。 |
| 侵入後の被害拡大を早く止める遮断手順が、初動の質を左右する。 | 感染が疑われる端末やサーバを隔離する手順を、ネットワーク分離（VLAN遮断、EDRの隔離機能）の形で事前に整備する。判断者と連絡先を明記した手順書を作り、年1回は机上演習で確認する。 |
| 攻撃者の主張と被害組織の確認内容は分けて扱う必要がある。 | リークサイトの監視を行う場合は、掲載内容を証跡として保存し、自社ログとの突合手順を決めておく。ファイル一覧やサンプルを自社データと照合し、流出の確認済み・未確認を区別して記録する。 |
| メールなど業務の基盤システムは、停止すると復旧後の連絡手段にも影響する。 | メールシステムが使えない場合の代替連絡手段（別ドメインの連絡用アドレス、電話連絡網、Webでの告知）を事前に決める。代替手段の認証情報は主要システムと別管理にする。 |
| 再発防止には、監視の強化と従業員教育を継続的に回す仕組みが要る。 | EDRやログ監視の検知アラートを、一次対応者と二次対応者に確実に届く運用にする。検知から対応までの時間を指標として記録し、教育の実施状況とあわせて定期的に見直す。 |
自組織などでの確認項目
- 自組織の基幹システムとメールが同時に使えなくなった場合、取引先へ何を、どの手段で、何時間以内に伝えられるか。
- 自組織のバックアップは、ランサムウェアで暗号化される範囲から分離されているか。直近でリストアを試した範囲はどこまでか。
- リークサイトに自社名が掲載された場合、誰が確認し、どの情報と突き合わせて流出の有無を判断し、誰に報告するか。
未解明点
- 外部からの不正アクセスの具体的な侵入経路は何か。
- 復旧が難しいデータの種類・量は何か。また、業務への影響はどの程度か。
- NightSpireが主張する内部データ、財務データ、顧客リストの流出を牧村は確認したのか。取引先や顧客への影響はあるのか。
- システムが停止していた範囲と期間は、具体的にどうだったのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-09報道本文確認済
- 2ScanNetSecurity2026-02-27報道本文確認済
- 3ScanNetSecurity2026-02-27報道本文確認済