両毛システムズへのVPNアカウント悪用によるランサムウェア攻撃（委託元の伊勢崎市児童生徒3,789件・大東ガス約12.4万件など、ガス事業者・自治体に波及）
公表日
自治体やガス会社のシステムを開発・保守する両毛システムズがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受けました。仕事を任せていた伊勢崎市やガス会社の利用者情報が、合わせて最大約14.3万件漏れたおそれがあります。流出が確認された件数ではありません。
対象者は？
両毛システムズに仕事を任せていた組織の利用者です。各組織が公表した件数は、大東ガス約12万4,000件(2023年11月〜2024年4月の利用者)、伊勢崎市の児童生徒3,789件(学習用アカウントのパスワードを含む)、名張近鉄ガスのプロパンガス利用者約6,800件、東京ガス山梨約3,800件、長野都市ガスの保安調査の対象約3,600件、新宮ガス約1,460件です。合計は約14.3万件で、約数を含む概算であり、いずれも漏えいの「おそれ」です。ガス会社の分は氏名・住所・電話番号・料金番号やお客さま番号などです。口座情報は、東京ガス山梨で2件含まれ、該当のお客さまには通知済みです。他のガス会社は口座やカード情報を含まないとしています。越後天然ガス・桐生ガス・大和ガスも発表したと報じられましたが、件数は確認できていません。広島ガスは漏えいの事実は未確認で調査中としています。両毛システムズ自身の従業員や取引先の件数は精査中です。
各ガス会社や伊勢崎市が公表し、対象の方へ書面などで個別に連絡しています。両毛システムズの専用コールセンター(0120-998-970、平日9:00〜17:00)もあります。
いますぐできること
- ガス会社を名乗る電話・訪問・郵便で支払いや個人情報を求められたら、検針票や請求書にある窓口へ自分から確かめる
- 伊勢崎市の児童生徒の保護者は、学校から案内された新しいパスワードを使い、古いパスワードを他のサービスで使っていれば変更する
- 自分の利用するガス会社から通知が届いたら、内容を確認し、不明な点はお知らせ記載の窓口に問い合わせる
何が起きたのか
2026年8月12日に外部の第三者が社内に侵入し、8月14日に両毛システムズが社内の監視で異常に気づいてネットワークを遮断しました。8月15日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を公表し、9月25日の発表でランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃と確認しました。9月15日には犯行グループSafePayがデータを公開しています。9月24日に、仕事を任せていた組織のデータも含まれていたことを各組織へ伝え、9月28日以降、伊勢崎市やガス会社が漏えいのおそれを順次公表しました。10月16日には東京ガス山梨が約770件を追加し、同社分は合計約3,800件になりました。
なぜ起きたのか・なぜ広がったのか
外部とつなぐための装置(VPN)のアカウントが悪用され、社内に入り込まれたと説明されています。どの装置か、アカウント情報がどう漏れたかは公表されていません。対象は各組織の本番のシステムではなく、過去の作業や保守のために両毛システムズのファイルサーバーなどに残っていたデータです。多くの組織が同じ会社に仕事を任せていたため、影響が複数の組織に及びました。SafePayはデータを公開したと主張していますが、両毛システムズは攻撃者の名前を公表していません。
いまの状況2026-10-16 時点続報待ち
2026年10月16日時点で、伊勢崎市は対象アカウントのパスワードを変更して保護者に知らせました。長野都市ガス、名張近鉄ガス、新宮ガスなどは対象の方へ個別に連絡しています。東京ガス山梨は口座情報を含む2件の顧客に通知済みです。二次被害は、各社とも確認されていないとしています。両毛システムズ全体の漏えい件数、他に影響を受けた組織、広島ガスの調査結果、具体的な再発防止策は、まだ発表されていません。
企業として考えたいこと
仕事を任せた会社に渡したデータが、作業が終わった後もその会社のサーバーに残っていないか、確かめているでしょうか。
技術的な要約
自治体・ガス事業者向けにシステム開発・保守を担う両毛システムズは、2026年8月14日に社内の死活監視で異常を検知してネットワークを遮断し、8月15日に社内システムへの不正アクセスを公表した。9月25日の第3報で、外部の第三者が8月12日にネットワーク接続機器（VPN）のアカウントを悪用して社内ネットワークに侵入したランサムウェア攻撃であったと確認し、営業情報・取引情報・取引先顧客や従業員の個人情報が漏えいしたおそれがあるとした（両毛の公式ページは本調査で開けず報道ベース。委託元の伊勢崎市公式は、VPN機器からの侵入とランサムウェア攻撃を確認したと記載）。これに先立つ9月15日にはランサムウェアグループSafePayが同社をリークサイトに掲載し、パスワード一覧とみられるファイル等を公開している（同社は攻撃者名を公表していない）。両毛は9月24日に委託元へ委託元データが含まれていたと報告し、9月28日以降、委託元の自治体1とガス事業者から漏えいの可能性が相次いで公表され、件数が判明した分だけで大東ガス約12万4,000件、伊勢崎市の児童生徒3,789件（パスワード含む）をはじめ合計約14.3万件に上る。報道では顧客情報が流出した可能性を発表したガス事業者は8社とされ、10月16日にも委託元から追加件数が公表された（広島ガスは漏えい事実は未確認で調査中）。いずれも委託元の本番システムではなく、両毛システムズ側のファイルサーバ等に残っていた業務・保守用データが対象で、両毛システムズ全体の件数は精査中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認第3報（9/25）は『外部の第三者が、ネットワーク接続機器（VPN）のアカウントを悪用して当社社内ネットワークへ侵入』と説明（報道による要約。両毛公式ページは未確認）。委託元の伊勢崎市公式（9/28）も、原因を『委託先が使用するVPN機器から社内ネットワークに侵入され、一部のファイルサーバにアクセスされた』と記載しており、VPN経由の侵入は委託元の公式発表で確認できる。VPN機器の製品名・バージョン、悪用されたアカウントの種類（従業員・保守用・一時アカウント等）、認証情報の入手経路（脆弱性による窃取、使い回し、フィッシング等）、MFAの有無はいずれも非公表。SafePayは一般に正規VPNアカウントの悪用やパッチ未適用のVMware・Citrix製品の悪用を初期侵入に使うとされるが、本件に当てはまるかは不明（推測）。
- 脆弱性
- CVE 非公表不明非公表のネットワーク接続機器（VPN）公表は『VPNアカウントの悪用』であり、機器の脆弱性悪用の有無・CVEは示されていない。認証情報が脆弱性経由で窃取されたのか、別経路で漏えいしたのかは2026-10-10時点で不明。
- 攻撃者
- SafePay 被害組織は認めていない2026年9月15日、SafePayがリークサイトに『ryomo.co.jp』を掲載し窃取データとするファイルを公開（ダークウェブ監視サイトでも同日の掲載を記録）。セキュリティ対策Labの確認では、約190行のアカウント名とパスワードとみられる文字列の一覧（ハッシュ形式には見えない）、2FAバックアップコードとみられる画面（生成日時2025/03/21 18:14）、SQLデータベース関連とみられるディレクトリ群が含まれていたが、有効性・真正性は未確認。総容量は不明。
- ATT&CK
影響
- 業務停止
- あり 8/14に異常検知後、社内ネットワークを遮断し復旧対応を実施（報道による第1報の要約）。第3報でランサムウェア攻撃と確認（伊勢崎市公式も『ランサムウェアによる攻撃』と記載）。暗号化されたシステムの範囲、委託先向けサービス（保守・運用）の停止の有無と期間は公表されていない。委託元の本番システムへの被害は確認されていないとされる：伊勢崎市は8/17に委託先から教育ネットワークへの被害はないとの報告を受け、大東ガスは現行の顧客情報システムが両毛の社内ネットワークと分離されており不正アクセス・流出は確認されていないとしている。
- データ
- おそれ上限 143,449確定 —件氏名住所電話会員IDその他（児童生徒の学習用アカウントのパスワード、保存形式不明）業務データ取引先情報従業員情報その他（ガス使用量・ガス料金、ガスメータ番号、保安調査結果、学校名・学年・ふりがな）口座records_max は委託元の公表件数の合算（大東ガス約124,000＋伊勢崎市3,789＋名張近鉄ガス約6,800＋長野都市ガス約3,600＋東京ガス山梨約3,800＋新宮ガス約1,460＝約143,449件。約数を含むため概算。広島ガスは漏えい事実未確認で含まず、報道で顧客情報流出の可能性を発表したとされる他のガス事業者は件数を確認できず含まず、両毛システムズ自身の従業員・取引先等の件数は精査中で含まず）。大東ガス（公式）：2023年11月〜2024年4月の利用者約124,000件、氏名・住所・電話番号・料金番号・お客さま番号・ガスメーター番号・ガス使用量・ガス料金。過去の業務で両毛の社内ネットワーク内に残っていたファイルが外部に流出した可能性。伊勢崎市（公式）：市内小学校23校・中学校11校・四ツ葉学園の児童生徒3,789件、学校名・学年・氏名・ふりがな・アカウント名・パスワード（学習者用タブレット端末の保守・運用管理に関連して委託先の社内システムに含まれていた。住所・電話番号・成績・健康診断情報は含まず）。名張近鉄ガス（公式）：プロパンガス利用客約6,800件（都市ガス・コミュニティガス利用客は対象外）、氏名・住所・料金番号（電話番号は2件）。長野都市ガス（公式・第二報）：2026年4月1日〜5月16日に実施した保安調査の結果約3,600件、氏名・住所・電話番号・ご契約番号（両毛社内ネットワーク上のファイルサーバに保存）。東京ガス山梨（公式・第二報、10/16）：新システム導入のため委託していた個人情報で、第二報で新たに約770件が加わり第一報（9/29）分と合わせ約3,800件。料金番号・お客さま番号・住所・氏名・電話番号・メータ情報に加え口座情報2件を含み、該当2件の顧客には通知済み。新宮ガス（公式、9/29）：両毛のファイルサーバーから氏名・住所・電話番号・料金番号の約1,460件が漏洩した可能性（金融機関口座番号・マイナンバー・クレジットカード情報は含まないとしている）。大東ガス・名張近鉄ガス・長野都市ガスも金融機関口座・クレジットカード情報は含まないとしている。二次被害は各社とも未確認。両毛システムズ自身は営業情報・取引情報・取引先顧客や従業員等の個人情報の漏えいのおそれとしている（報道ベース）。
- 波及先
- 10 組織（委託元：自治体1、ガス事業者9。うち広島ガスは漏えい事実未確認・調査中、一部は報道のみで件数未確認）
- 伊勢崎市（群馬県）：学習者用タブレットの児童生徒アカウント3,789件（パスワード含む）。9/24に委託先から報告、9/25に学校・保護者へ通知し対象アカウントのパスワードを変更、9/28公表
- 大東ガス：2023年11月〜2024年4月の利用者の顧客情報約12万4,000件。9/24に委託先から報告、9/28公表
- 長野都市ガス：保安調査対象約3,600件。9/28第一報、10/5第二報で件数を公表し個人情報保護法第26条第2項に基づく通知書面を順次発送
- 名張近鉄ガス：プロパンガス顧客約6,800件、9/30公表、個別連絡
- 広島ガス：顧客情報管理システムの維持管理を委託。9/30時点で顧客情報の漏えい事実は確認されておらず、影響を確認中
- 金銭影響
- —
- サプライチェーン
- 両毛システムズは自治体・ガス事業者の顧客情報管理システムやタブレット端末の開発・保守を受託する委託先。侵害されたのは委託元の本番システムではなく、両毛システムズの社内ネットワーク（ファイルサーバ等）であり、そこに保守・開発・移行作業などで扱った委託元の顧客データ（大東ガスは2023年11月〜2024年4月の過去データ、伊勢崎市は児童生徒のアカウントとパスワード、長野都市ガスは2026年4〜5月の保安調査結果、東京ガス山梨は新システム導入のため委託していた個人情報）が残っていたため、委託元の利用者情報が漏えいの可能性の対象となった。大東ガスは現行の顧客情報システムが両毛の社内ネットワークから分離されていたとし、広島ガスは維持管理委託の関係で影響を確認中。報道では両毛のシステムを利用するガス事業者8社が顧客情報流出の可能性を発表したとされ、波及先は当初の公表より広がっている。伊勢崎市によれば両毛は8/17時点では教育ネットワークへの被害はないと報告し、委託元データが含まれていたと報告したのは9/24であった。委託元側の公表は両毛の第3報（9/25）の後、9/28〜10/16に及んだ。
時系列
- 2026-08-12
- 2026-08-14
- 2026-08-15
- 2026-08-17両毛システムズが伊勢崎市に、教育ネットワークへの被害はないと報告3
- 2026-09-15
- 2026-09-20セキュリティ対策Labが公開データを確認：約190行のパスワード一覧とみられるファイル、2FAバックアップコードとみられる画面、SQL関連ディレクトリ（真正性・有効性は未確認）9
- 2026-09-24
- 2026-09-25
- 2026-09-28
- 2026-09-30
- 2026-10-05長野都市ガスが第二報で約3,600件を公表し、対象顧客へ書面を順次発送（二次被害は未確認）6
- 2026-09-29
- 2026-10-02ガスエネルギー新聞が、両毛システムズのシステムを利用する大東ガス、長野都市ガス、東京ガス山梨、越後天然ガス、名張近鉄ガス、新宮ガス、桐生ガス、大和ガスの8社が顧客情報流出の可能性を発表したと報道（二次被害は確認されていないとされる）14
- 2026-10-16東京ガス山梨が第二報で、両毛システムズから新たに約770件（新システム導入のため委託した個人情報、口座情報2件を含む）の漏洩の可能性の報告を受けたと公表。第一報分と合わせ約3,800件15
技術解説
公表されている侵入から検知までの経緯 事実
両毛システムズは8月15日に社内システムへの不正アクセスを第1報として公表した。9月25日の第3報(報道による要約。両毛の公式ページは本調査で開けていない)では、外部専門機関の調査でランサムウェア攻撃と確認したとしている。8月12日に外部の第三者がネットワーク接続機器(VPN)のアカウントを悪用して社内ネットワークに侵入し、8月14日に社内の死活監視で異常を検知してネットワークを遮断した。委託元の伊勢崎市の公式は、委託先が使うVPN機器から社内ネットワークに侵入され、一部のファイルサーバにアクセスされたと記載している。同市は不正アクセスの日を「8月14日未明」と表現しており、8/12の侵入との関係は公式間で整合を確認できていない。
漏えいのおそれの対象と件数 事実
漏えいのおそれがあるのは、委託元の本番システムではなく、両毛システムズ側のファイルサーバ等に残っていた業務・保守用データである。委託元の公表件数を合算すると約14.3万件(143,449件)になる。内訳は大東ガス約12万4,000件、伊勢崎市3,789件(児童生徒のパスワードを含む)、名張近鉄ガス約6,800件、長野都市ガス約3,600件、東京ガス山梨約3,800件(10月16日の第二報で約770件が追加)、新宮ガス約1,460件である。約数を含む概算で、流出が確定した件数ではない。広島ガスは漏えい事実が未確認で、件数に含めていない。両毛システムズ自身の従業員・取引先の件数は精査中である。口座情報が含まれるのは公表上、東京ガス山梨の2件で、同社は該当の顧客に通知済みとしている。
波及先の広がりと公表のずれ 事実
ガスエネルギー新聞は10月2日、大東ガス、長野都市ガス、東京ガス山梨、越後天然ガス、名張近鉄ガス、新宮ガス、桐生ガス、大和ガスの8社が顧客情報流出の可能性を発表したと報じた。越後天然ガス、桐生ガス、大和ガスは件数を確認できていない。広島ガスは維持管理を委託しており、9月30日時点で影響を確認中と公表している。伊勢崎市によれば、両毛は8月17日に教育ネットワークへの被害はないと報告し、児童生徒のアカウント情報が含まれていたと報告したのは9月24日だった。大東ガスへの報告も同日である。委託元の公表は第3報の後、9月28日から10月16日まで続いた。
被害が委託元に及んだ構造(解釈) 解釈
大東ガスは現行の顧客情報システムが両毛の社内ネットワークと分離されていたと説明している。このため、本番系の分離とは別に、保守・移行・調査の作業で抜き出したデータのコピーが委託先のファイルサーバに残り、別の攻撃面になったと解釈できる。大東ガスは2023年11月〜2024年4月の過去データ、長野都市ガスは2026年4〜5月の保安調査結果、東京ガス山梨は新システム導入のために委託した個人情報が対象で、データの種類も保管の理由もまちまちである。作業終了後の削除や保管場所が契約上どう定められ、どう確認されていたかは公表されていない。複数の委託元のデータが同じ委託先ネットワークに集まっていたため、1回の侵入が多数の組織に同時に波及した。
攻撃者の主張とSafePayの手口との照合(解釈) 解釈
SafePayは9月15日にリークサイトへ同社を掲載し、セキュリティ対策Labの確認では約190行のアカウント名とパスワードとみられる一覧、2FAバックアップコードとみられる画面などが含まれていた。有効性・真正性は未確認で、両毛システムズは攻撃者名を公表していない。SafePayは正規VPNアカウントの悪用やパッチ未適用のVPN関連製品の悪用を初期侵入に使うと報告されており、「VPNアカウントの悪用」という公表内容はこの傾向と整合する。ただし本件で当てはまるかは不明である。公開データが委託元環境の接続情報であれば、件数以上に二次侵入のリスクとなるが、どのシステムのものかも分かっていない。
対応
- 封じ込め
- 8/14の異常検知直後に社内ネットワークを遮断。8/15から外部専門機関によるフォレンジック調査を実施し、復旧対応を進めた（報道ベース）。VPNアカウントの無効化・認証方式の変更などの具体的な封じ込め・再発防止策の内容は本調査で確認できた範囲では公表されていない（長野都市ガスは両毛が外部専門機関の協力を得て再発防止に取り組むと記載、伊勢崎市は委託先が社内規程の遵守を徹底するとしている）。委託元側では、伊勢崎市が9/25に保護者へ通知し対象アカウントのパスワードを変更、委託先の管理体制の確認・指導を表明。長野都市ガスが10/5から対象顧客へ書面発送、名張近鉄ガスが個別連絡を表明。
- 公表の仕方
- 8/15第1報（社内システムへの不正アクセス、詳細調査中）、9/25第3報（ランサムウェア攻撃、8/12のVPNアカウント悪用、8/14に死活監視で異常検知、漏えいのおそれ）。両毛公式ページは本調査で開けず内容は報道ベース。第2報の日付・内容は本調査で確認できなかった。攻撃者名は非公表。専用コールセンター（0120-998-970、平日9:00〜17:00）を設置（委託元各社の公式で確認）。委託元へは9/24に報告し、委託元は自社名義で個別に公表（伊勢崎市・大東ガス・長野都市ガス 9/28、新宮ガス 9/29、名張近鉄ガス・広島ガス 9/30、長野都市ガス第二報 10/5、東京ガス山梨第二報 10/16）。報道では8社が顧客情報流出の可能性を発表したとされる。新宮ガスは対象のお客さまへ個別に連絡し、東京ガス山梨は口座情報を含む2件の顧客に通知済み。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| VPNアカウントの悪用だけで社内ネットワークに入られた | VPNはFIDO2または証明書ベースのMFAを必須とし、パスワード単独認証を廃止する。アカウントは人事・委託契約と連動して棚卸しし、90日未使用・退職・一時利用のものは自動無効化する。新規端末や想定外の国・ASNからの接続はアラートにする。 |
| 委託元の顧客データが委託先のファイルサーバに残っていた | 委託契約に作業用データの保管場所(委託元管理の隔離環境に限定)、保持期限、作業終了時の削除証跡の提出を明記する。委託先側は顧客別のデータの所在を台帳化し、ファイルサーバを個人情報スキャナで定期走査して期限切れデータを検出・削除する。 |
| 児童生徒アカウントのパスワードが保守事業者側に保存されていた | 保守で委託先にパスワードを渡さず、管理コンソールの委任権限や一時パスワード発行と初回変更の強制で運用する。一覧を扱う場合は暗号化した保管庫に限り、作業後に全件ローテーションする。 |
| 1社の侵害が複数の委託元に同時に波及した | 委託先は顧客ごとにデータ置き場とアクセス権を分離し、VPN利用者が他顧客のフォルダに到達できないようにする。VPNセグメントからファイルサーバへの経路を絞り、大量読み取りや暗号化の挙動をEDR/NDRで検知・遮断する。 |
| 委託元が自社データへの影響を知るまでに約6週間かかった | 委託先はインシデント時に、侵害範囲に含まれ得る委託元データの一覧を72時間以内に各委託元へ通知する手順を整備する。委託元は委託先に置いている自社データの棚卸し台帳を平時から持ち、被害の報を受けたらすぐ照合できるようにする。 |
自組織などでの確認項目
- 自社が委託先に渡したデータ(移行用の抽出ファイル、テストデータ、保守用のアカウント一覧)は、今どこに何件残っているか答えられるか。
- 自社が保守を請け負っている顧客のデータは、自社のファイルサーバや個人PCにどれだけ残っているか。漏れた場合、顧客ごとに何件の通知が必要か。
- 自社のVPNで、パスワードだけで入れるアカウントや、使われていない一時・保守アカウントは何個あるか。最後に棚卸ししたのはいつか。
- 委託先の被害報告で、自社データが含まれるかを何日以内に確認できるか。その手順と担当者は決まっているか。
未解明点
- 悪用されたVPN機器の製品名・バージョン、アカウントの種類、認証情報の入手経路とMFAの有無
- 8/12の侵入と、伊勢崎市公式が不正アクセス日とする8/14未明との関係
- 暗号化されたシステムの範囲と、委託元向け保守・運用サービスへの影響・停止期間
- 第2報の公表日と内容(本調査では確認できていない)
- 両毛システムズ全体の漏えいのおそれの件数(従業員・取引先を含む)と、越後天然ガス・桐生ガス・大和ガスの件数、広島ガスの調査結果
- SafePayが公開したパスワード一覧・2FAバックアップコードが実在するシステムのものか、委託元環境への接続に使えたか
- 身代金要求への対応、警察・個人情報保護委員会への報告状況
出典
- 1両毛システムズ2026-08-15公式未確認
- 2両毛システムズ2026-09-25公式未確認
- 3伊勢崎市2026-09-28公式本文確認済
- 4大東ガス2026-09-28公式本文確認済
- 5名張近鉄ガス2026-09-30公式本文確認済
- 6長野都市ガス2026-10-05公式本文確認済
- 7広島ガス2026-09-30公式本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-08-17報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2026-09-20研究者本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-09-29報道本文確認済
- 11セキュリティ対策Lab（Rocket Boys）2026-10-02報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）研究者本文確認済
- 13ScanNetSecurity2026-10-15報道本文確認済
- 14ガスエネルギー新聞2026-10-02報道本文確認済
- 15東京ガス山梨株式会社2026-10-16公式本文確認済
- 16新宮ガス株式会社2026-09-29公式本文確認済