新光商事の米国現地法人Novalux Americaへのランサムウェア攻撃（年末にサーバー暗号化、情報流出の痕跡なし）
公表日
電子部品商社の新光商事のアメリカにある子会社が、年末にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、一部のサーバーのデータが暗号化されました。子会社の日常の業務は続けられ、情報が漏えいした跡は確認されていません。
何が起きたのか
2025年12月28日、新光商事のアメリカの子会社「Novalux America」が管理するサーバーの一部が、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。によって暗号化されました。年明けの2026年1月5日に、データが読み出せないことに気づき、調べたところランサムウェアの攻撃だと分かりました。会社は被害を受けたサーバーを社内のネットワークとインターネットから切り離し、外部の専門業者と一緒に復旧を進めました。1月28日に、日本語と英語で公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたか、どの犯行グループによるものかは、まだ公表されていません。暗号化から気づくまでに8日かかったのは、年末年始の休みをはさんでいたためと考えられます。一方で、この子会社のサーバーはグループの他のシステムとは別に作られていたため、親会社や他のグループ会社には影響が広がりませんでした。
いまの状況2026-06-29 時点続報待ち
子会社の業務は通常どおり続いており、業績への影響は軽いと見込まれています。再発防止として、グループ共通のセキュリティの基準づくり、不審な動きを見つけるソフト（EDR会社のパソコンやサーバー（端末＝エンドポイント）の動きを常に見張り、怪しい動きを見つけたら知らせたり止めたりする仕組みです。従来のウイルス対策ソフトより、侵入されたあとの早期発見に強いのが特徴です。）の導入、サイバー保険への加入を挙げています。侵入の経路、復旧が終わった日、情報漏えいの調査の最終結果は、まだ発表されていません。
企業として考えたいこと
自社の海外拠点や子会社のパソコンやサーバーは、本社と同じ水準で守られ、見張られているでしょうか。年末年始などの長い休みの間に異常が起きたら、誰が気づけるでしょうか。
技術的な要約
電子部品商社の新光商事（東証プライム8141）は2026年1月28日、米国現地法人Novalux America Inc.が管理するサーバーが第三者の不正アクセスを受け、一部サーバーがランサムウェアで暗号化されたと公表した。2026年1月5日にデータへアクセスできないことを確認し、調査の結果、年末の2025年12月28日に暗号化されていたことが判明した。被害サーバーは社内ネットワークとインターネットから遮断し、外部専門業者と復旧を進めた。現地法人の日常業務に支障はなく、サーバーは独立して構築・運用されていたため親会社や他の関係会社への影響は確認されていない。公表時点で情報漏えいの痕跡は確認されておらず、業績予想への影響は軽微としている。適時開示形式の続報は出ていないが、2026年6月の株主総会招集通知と有価証券報告書は、グループ共通のセキュリティ基準の策定、EDR導入、サイバー保険加入による再発防止を記載した。同期の連結決算には特別損失『情報セキュリティ対策費』17百万円が計上されているが、本件との関係は明記されていない。侵入経路と攻撃グループは公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式表現は『当社米国現地法人が管理するサーバーにおいて、第三者による不正アクセスを受け、一部のサーバーでランサムウェアによる障害が発生』（英文版: unauthorized access by a third party ... some servers to fail due to ransomware）。侵入経路（VPN機器・RDP・フィッシング等）、脆弱性、侵入日はいずれも公表されておらず、報道でも確認できなかった。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品は公表されていない。2026年6月の有価証券報告書が再発防止策としてEDRを挙げていることから、事案発生時に現地法人サーバーにEDRが入っていなかった可能性はあるが、公式には明記されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 一部サーバーのデータにアクセスできなくなった（2026-01-05確認）。一方、現地法人の日常業務には支障がなく通常どおり運営しているとし、親会社・他の関係会社への影響は確認されていない。期間：暗号化は2025-12-28、確認は2026-01-05。復旧完了日は公表されていない
- データ
- なし上限 —確定 —2026-01-28時点で、外部専門業者が調査中だが情報漏えいの痕跡は確認されていないとする。保存されていたデータの種類と件数は非公表。続報で漏えい調査の最終結果が示されたかは確認できなかった。一方、現地法人に関係する顧客へは個別に報告したとしている。
- 波及先
- —
- Novalux Americaに関係する顧客（個別報告済み、社名・数は非公表）
- 金銭影響
- 公表時は当期連結業績予想への影響は『軽微』の見込みとした。2026年3月期の連結損益計算書には特別損失『情報セキュリティ対策費』17百万円が計上されている（売上高99,113百万円、経常利益1,555百万円）が、本件との関係は注記されていない。
- サプライチェーン
- 海外子会社単体の被害。子会社のサーバーはグループと独立して構築・運用されていたため、親会社・他の関係会社への波及はなかったと説明。サプライチェーン攻撃の起点・波及先ではない。
時系列
- 2025-12-28
- 2026-01-05
- 2026-01被害サーバーを社内ネットワークとインターネットから遮断。外部専門業者と復旧・再発防止に着手2
- 2026-01
- 2026-01-28
- 2026-01-30
- 2026-02-17ScanNetSecurityが報道（公表PDFは文字コピー不可と指摘）8
- 2026-06-01第73期定時株主総会招集通知で本件に言及。グループ共通のセキュリティ基準策定、EDR等による再発防止、サイバー保険加入を表明。連結損益計算書に特別損失『情報セキュリティ対策費』17百万円4
- 2026-06-292026年3月期有価証券報告書の『対処すべき課題（危機管理体制の更なる充実）』に同趣旨を記載5
技術解説
公表された事実の範囲 事実
公式発表は2026年1月28日の1報（日本語・英語PDF）のみで、適時開示形式の続報は確認できなかった。確定している事実は次のとおり。米国現地法人が管理するサーバーへ第三者が不正アクセスし、2025年12月28日に一部サーバーのデータが暗号化された。2026年1月5日にアクセス不能が確認された。被害サーバーは社内ネットワークとインターネットから遮断された。現地法人の日常業務に支障はなかった。子会社サーバーはグループと独立して構築されており、他社への影響はない。公表時点で漏えいの痕跡はない。業績影響は軽微の見込みである。侵入経路、攻撃グループ、身代金要求の有無、復旧完了日、漏えい調査の最終結論は公表されていない。
年末年始を狙った暗号化と検知の遅れ 解釈
暗号化は2025年12月28日（日曜）に起き、確認は2026年1月5日（月曜）で、8日の空白がある。米国でも年末は休暇で人員が手薄になり、休み明けに業務を再開して初めてデータが読めないことに気づいた構図と読める。ランサムウェア攻撃者は、監視が手薄で初動が遅れる週末・長期休暇の前後に暗号化を実行する傾向が広く報告されており、本件はその典型と考えられる。暗号化の時点で監視アラートが上がる体制（24時間のSOC/MDR、EDRによる大量ファイル改変の検知）があったかは公表されていないが、再発防止策としてEDRを挙げている。このことから、当時の検知手段は限られていた可能性がある（推測）。確認から公表までにはさらに23日かかっている。
『独立して構築・運用』が被害を子会社内に留めた 解釈
同社は、現地法人のサーバーが独立して構築・運用されていたため、親会社や他の関係会社への影響は確認されていないと説明している。海外子会社のランサム被害では、ADの信頼関係やグループWAN、共通のVPN装置を経由して本社へ横展開する例がある。本件ではネットワーク・ID基盤の分離が結果的に被害範囲を限定したといえる。一方で、分離されていたことは、本社のセキュリティ統制（EDR、ログ監視、パッチ管理）が子会社に及んでいなかったことの裏返しでもある。事後に『グループ共通のセキュリティ基準の策定』を掲げたのは、分離による封じ込めと統一基準による底上げを両立させる課題を示している（解釈）。
開示の形式と業績への反映 事実
公表は会社Webサイトのニュースに掲載されたPDF（日本語・英語）で行われ、ScanNetSecurityは日本語版が文字コピーできないPDFだったと指摘している。続報としての適時開示はなかった。その後の言及は、6月の株主総会招集通知と有価証券報告書の『対処すべき課題』に、EDR導入・グループ共通基準の策定・サイバー保険加入の方針として記載されたものにとどまる。2026年3月期の連結損益計算書には特別損失として『情報セキュリティ対策費』17百万円が計上されている。経常利益1,555百万円に対して小さく、『軽微』という当初見込みと整合する。ただし、この費用と本件の関係は注記されていない。
対応
- 封じ込め
- 被害確認後、該当サーバーを社内ネットワークとインターネットから遮断し、外部専門業者と連携して復旧と再発防止に着手。漏えい有無を外部専門業者が調査。事後の再発防止策として、グループ共通のセキュリティ基準の策定、EDRをはじめとするセキュリティ強化、サイバー保険への加入を表明（2026年6月の招集通知・有価証券報告書）。
- 公表の仕方
- 2026-01-28に日本語・英語のPDFで公表（暗号化日・確認日・遮断・業務影響なし・漏えい痕跡なし・業績影響軽微）。侵入経路・攻撃グループ・データ種別は非公表。続報の適時開示は確認できず、その後は株主総会招集通知・有価証券報告書の記載のみ。
- 当局対応
- 米国の関係当局（現地法人が報告、機関名は非公表）
- 日本の警察等関係機関（新光商事が報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 年末の暗号化から休み明けの確認まで8日間気づかなかった | 海外拠点を含む全サーバーにEDRを配備し、大量のファイル改変・シャドウコピー削除（vssadmin delete shadows）・バックアップサービス停止をトリガーに、24時間のMDR/SOCへ自動エスカレーションする。長期休暇前には特権アカウントのパスワードを変更し、外部公開機器のパッチ適用を前倒しする |
| 海外子会社が本社のセキュリティ統制の外にあった | グループ共通の最低基準（MFA必須、EDR、パッチ適用SLA、ログの中央集約とX日保持、オフラインバックアップ）を定める。子会社ごとの準拠状況を四半期でスコア化して本社に報告させ、未達拠点の外部公開サービスを優先的に停止・移行する |
| システム分離が被害の横展開を防いだ | 子会社と本社の間でActive Directoryの信頼関係やフラットなWAN接続を作らない。拠点間通信は必要なアプリケーション単位でallow-list化し、子会社侵害時に本社側から即時遮断できるキルスイッチ（FW/SD-WANポリシー）を用意して訓練しておく |
| 侵入経路が公表されず他社の教訓として使いにくい | 社内の事後報告では侵入経路・滞留期間・検知の遅れの原因を必ず特定して記録する。対外公表でも、攻撃手法（VPN機器、RDP、フィッシング等）の分類だけは示す方針を広報・法務と事前に合意しておく |
| 海外子会社のインシデント通知が多法域に及ぶ | 米国の州法による侵害通知（顧客・州司法長官）、日本の個人情報保護委員会・警察、取引先への通知の要件と期限を一覧にしたプレイブックを本社と子会社で共有し、外部の法律事務所・DFIR事業者をリテイナー契約で事前に確保しておく |
自組織などでの確認項目
- あなたの会社の海外子会社や小規模拠点のサーバーにEDRが入っていて、年末の深夜に暗号化が始まったら、誰の携帯が何分後に鳴るか。
- 子会社と本社のネットワーク・ID基盤（AD、VPN、クラウドテナント）はどこまでつながっているか。子会社が暗号化されたとき、本社まで何ホップで届くか。
- 『情報漏えいの痕跡なし』と公表するには、どのログを何日分保持していれば言えるのか。自社の現状でその主張ができるか。
- 続報を出さずに有価証券報告書の記載で済ませる開示は、取引先・株主にとって十分か。自社なら何を、いつまでに追加で開示するか。
未解明点
- 侵入経路（VPN機器、RDP、フィッシング等）と侵入日、暗号化までの滞留期間
- 攻撃グループ名、身代金要求の有無と対応、リークサイト掲載の有無
- 暗号化されたサーバーの台数・用途と復旧完了日、バックアップからの復元可否
- 外部専門業者による情報漏えい調査の最終結論と、保存されていたデータの種類（顧客情報・取引先情報等）
- 特別損失『情報セキュリティ対策費』17百万円と本件との関係、サイバー保険の適用有無
出典
- 1新光商事2026-01-28公式未確認
- 2新光商事2026-01-28公式本文確認済
- 3新光商事公式本文確認済
- 4新光商事2026-06-01公式本文確認済
- 5新光商事2026-06-29公式本文確認済
- 6Security NEXT2026-01-30報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-01-30報道本文確認済
- 8ScanNetSecurity2026-02-17報道本文確認済
- 9NeuraCyb研究者未確認