樋口商会へのランサムウェア被害の疑い（子会社の財務情報・取引先基本情報の漏えいのおそれ、Stormousが犯行を主張）
公表日
専門商社の樋口商会が、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により子会社の財務情報や取引先の基本情報が漏れた可能性があると発表しました。件数はまだ発表されていません。
対象者は？
樋口商会の子会社と直接取引のあるお取引先の、会社名・住所・連絡先等の基本情報が対象の可能性があります。個人情報の流出は確認されておらず、子会社と直接取引のない取引先の情報漏えいも確認されていません。件数はまだ発表されていません。
樋口商会は2026年6月30日付でお取引先各位に報告書を送付しています。取引先の方は届いた報告書をご確認ください。不明な点は同社へお問い合わせください。
いますぐできること
- 樋口商会の子会社と取引がある場合は、届いた報告書の内容を確認する
- 樋口商会を名乗る不審なメールや電話には、連絡先を確認してから対応する
- 自社の連絡先情報が含まれる可能性があるときは、社内の担当部署に共有する
何が起きたのか
2026年6月28日、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。グループStormousが、樋口商会のドメイン名をインターネット上のリークサイトに掲載し、データを盗んだと主張しました。6月29日に外部の取引先から樋口商会へ、ランサムウェア感染に起因するとみられる情報漏えいの可能性があるとの連絡があり、子会社の会計情報が含まれていたため事態を認識しました。同社は6月30日付で取引先に報告書を送り、子会社の財務情報と、その取引先の会社名・住所・連絡先等の基本情報が漏れた可能性があると発表しました。
なぜ起きたのか・なぜ広がったのか
侵入された経路や原因は、まだ発表されていません。Stormousの主張は樋口商会の報告書には出てこないため、公式な対応関係は確認されていません。
いまの状況2026-07-21 時点続報待ち
該当機器の使用とネットワーク接続を止め、社内の担当部署と外部の専門機関が原因と影響範囲を調べています。警察にも相談済みで、事実の確認と再発防止に取り組むとしています。調査結果や件数は、まだ発表されていません。
企業として考えたいこと
自社の子会社や海外拠点の会計データは、どこに保存され、万一漏れたときに取引先へ何をどの順で知らせる準備ができていますか。
技術的な要約
医薬品添加剤・石油化学工業製品・化粧品原料等の輸出入を手がける専門商社の樋口商会は、2026年6月29日に外部取引先から「ランサムウェア感染に起因するとみられる情報漏洩の可能性がある」との連絡を受けた。内容を確認したところ子会社の会計情報が含まれていたため、事態を認識した。同社は6月30日付でお取引先各位に報告書を送付し、子会社の財務情報と、その取引先の会社名・住所・連絡先等の基本情報が漏えいした可能性があると公表した。個人情報の流出や、子会社と直接取引のない取引先の情報漏えいは確認されていない。ランサムウェアグループStormousは6月28日にリークサイトへ掲載して犯行を主張しているが、同社の報告書にグループ名はなく、公式な対応関係は確認されていない。該当機器の遮断と外部専門機関による原因・影響範囲の調査が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。樋口商会は「第三者による不正アクセス」としており、外部取引先からの連絡は「ランサムウェア感染に起因するとみられる」とするもの。侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- Stormous 被害組織は認めていない2026-06-28にダークウェブのリークサイトへ「higuchi-inc.co.jp」を掲載し、子会社とみられる会計データ（Sage 50のデータベースバックアップ(.ptb)とみられるデータ、貸借対照表・資産記録・負債・資本・売掛金・買掛金等を含む財務諸表）や、国内外の在庫管理・取引確認・事業運営に関する企業データの窃取を主張。サンプルデータの内容は第三者による裏付けが取れていない。
- ATT&CK
影響
- 業務停止
- なし 業務停止の有無は公表されていない。該当機器の使用およびネットワーク接続を遮断したとされる。
- データ
- おそれ上限 —確定 —業務データ取引先情報流出の可能性がある情報は、2026年6月29日時点で判明している範囲で、子会社の財務情報と、同子会社の取引先の会社名・住所・連絡先等の基本情報。件数は公表されていない。現時点で個人情報の流出を確認した事実はなく、子会社と直接取引のない取引先の情報漏えいも確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先経由やソフトウェア供給網の侵害は公表されていない。外部取引先からの連絡で事態を認識した。漏えいのおそれがあるのは子会社の取引先の基本情報で、子会社と直接取引のない取引先の漏えいは確認されていない。
時系列
- 2026-06-28
- 2026-06-28ThreatClusterが、Stormousによるリークサイト掲載（HIGUCHI USA, INC、higuchiinc.com）を2026-06-28付で記録した。本件との関係は出典から読み取れない。4
- 2026-06-28SOCRadarのページが、Higuchi, Inc.（higuchiinc.com）をStormousの被害組織として掲載し、攻撃日をJun 28, 2026とした。3
- 2026-06-29
- 2026-06-29
- 2026-06-29同日時点で判明している範囲の流出可能性のある情報は、子会社の財務情報と、同子会社の取引先の会社名・住所・連絡先等の基本情報であった。1
- 2026-06-30
- 2026-07-01セキュリティ対策Labが本件を報じた。Stormous側のサンプルデータにはアクセスできず、内容の裏付けは取れていない。1
- 2026-07-21ScanNetSecurityが、樋口商会子会社の会計情報漏えいの可能性について報じた。2
技術解説
公表された事実の整理 事実
樋口商会は2026年6月30日付でお取引先各位に報告書を送付し、第三者による不正アクセスにより子会社の財務情報や取引先の基本情報が漏えいした可能性があると発表した。6月29日に外部取引先から「ランサムウェア感染に起因するとみられる情報漏洩の可能性がある」との連絡を受け、内容を確認したところ子会社の会計情報が含まれていたため事態を認識した。流出の可能性がある情報は、6月29日時点で判明している範囲では子会社の財務情報と、その取引先の会社名・住所・連絡先等の基本情報である。個人情報の流出や、子会社と直接取引のないお取引先の情報漏えいは確認されていない。
Stormousによる犯行主張の内容 事実
ランサムウェアグループStormousは2026年6月28日、ダークウェブのリークサイトに「higuchi-inc.co.jp」を新規の被害組織として掲載し、子会社とみられる会計データの窃取を主張した。主張の内容は、貸借対照表・資産記録・負債・資本・売掛金・買掛金等を含む財務諸表、会計ソフトSage 50のデータベースバックアップ(拡張子.ptb)とみられるデータ、国内外の在庫管理・取引確認・事業運営に関する企業データで、所在地としてDallas・Hong Kong・Los Angelesが付記されていた。一方、樋口商会の報告書にはグループ名がなく、公式な対応関係は確認されていない。セキュリティ対策Labはサンプルデータにアクセスできず、内容の裏付けは取れていない。
樋口商会の対応と公表内容 事実
樋口商会は、該当機器の使用およびネットワーク接続を遮断したうえで、社内の情報システム部門と外部の専門機関が連携して原因と影響範囲の調査を進めている。同社は既に警察へ相談済みで、今後事実関係の確認を進めるとともに再発防止策の徹底に取り組むとしている。報告書は6月30日付でお取引先各位に送付され、同日に発表された。報告書では、現時点で個人情報の流出は確認していないとされ、ランサムウェアグループ名は明示されていない。
第三者情報の食い違いと読み方 解釈
リークサイトの集約サービスでは、掲載名や業種の記載にばらつきがある。たとえばThreatClusterやSOCRadarは米国法人名(HIGUCHI USA, INC、higuchiinc.com)で掲載し、DeXposeは日本拠点の金融系組織と記している。これらが樋口商会と同一の対象を指すのか、記載の不正確さによるものかは、出典だけでは判断できない。攻撃者の主張とその転載は、被害組織の公表とは別の情報として扱い、確認できた範囲と分けて読むのが適切と考えられる。子会社の所在や範囲も公表されておらず、主張と公表の対応づけは今後の続報待ちである。
規模の見通しと現時点の限界 解釈
流出のおそれがある情報は子会社の財務情報と取引先の基本情報とされ、件数は公表されていない。個人情報は確認されていないが、調査が続いているため、範囲が変わる可能性は残る。侵入日・侵入経路・業務停止の有無も公表されておらず、被害の大小を評価する材料はまだ少ない。外部取引先からの連絡が発覚の端緒であり、攻撃者の掲載が先行していたことから、自組織の外で情報が先に確認される状況への備えが論点になる。ただし、本件の原因や対策の適否は、調査結果の公表を待って判断すべきである。
対応
- 封じ込め
- 該当機器の使用およびネットワーク接続を遮断したうえで、社内の情報システム部門と外部の専門機関が連携し、原因と影響範囲を調査している。
- 公表の仕方
- 2026年6月30日付でお取引先各位に報告書を送付し、同日に発表した。個人情報の流出は現時点で確認していないとしている。ランサムウェアグループ名は報告書で明示されていない。
- 当局対応
- 警察に相談済み
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 子会社・海外拠点の会計データも流出時の影響が大きく、保護対象に含める必要がある | 会計ソフトのDBバックアップ(例: .ptb)の保管先を棚卸しし、保存場所のACL最小化、保存時暗号化、オフライン・イミュータブルな世代バックアップを実装する。 |
| 外部取引先からの連絡で初めて事態を知る場合がある | 自社ドメイン名・子会社名でリークサイトや脅威インテリジェンスの監視を設定し、連絡窓口(security.txtや代表窓口)から情報セキュリティ担当へ即時転送するルートを整備する。 |
| 主張と確認済み事実を分けた取引先への報告が信頼につながる | 判明範囲と未確認範囲を区別する通知テンプレートと取引先連絡先リストを事前に用意し、調査中でも判明時点の情報を出せる承認フローを決めておく。 |
| グループ会社を含めた資産把握と遮断手順がないと初動が遅れる | 子会社を含む資産台帳を整備し、EDRの導入率を可視化する。該当機器をVLAN単位で隔離できる手順書を作り、定期的に訓練する。 |
| 侵入経路が不明な段階でも調査を進められる証跡が必要である | 認証・VPN・ファイル共有のログを集中管理し、1年程度保管する。外部専門機関にそのまま提供できる形式に整えておく。 |
自組織などでの確認項目
- 自組織の子会社・海外拠点で使われている会計ソフトのデータやバックアップは、どこに保存され、誰がアクセスできるか。
- 取引先や外部の第三者から「情報が漏れているようだ」と連絡が来たとき、誰がどの順番で受け、何時間以内に初動を始められるか。
- 攻撃者のリークサイト掲載だけを根拠に、自社が取引先へどこまで知らせるか。基準は決まっているか。
- 自社の機器を遮断する場合、業務を止めずに隔離できる範囲と、止まる業務は事前に把握できているか。
未解明点
- 侵入日、侵入経路、感染の仕組みはどのようなものか(公表されていない)。
- 流出した可能性のある財務情報と取引先情報の件数・範囲、および対象の子会社名や所在地はどこまでか。
- Stormousの掲載と樋口商会の被害は同一のものか。公式な確認はあるか。
- 業務停止の有無や期間、遮断や警察相談の日付、調査結果と再発防止策の詳細は、いつ公表されるか。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-01報道本文確認済
- 2ScanNetSecurity2026-07-21報道本文確認済
- 3SOCRadar研究者本文確認済
- 4ThreatCluster2026-06-28攻撃者主張本文確認済
- 5DeXpose2026-06-28研究者本文確認済