トンボ飲料へのランサムウェア攻撃（リモートデスクトップソフト経由で侵入、仕入先の銀行口座情報流出のおそれ、警察の協力で復号）
公表日
富山市の飲料メーカー、トンボ飲料がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、仕入先の銀行口座の情報が流出したおそれがあります。暗号化されたデータは、富山県警の協力で元に戻すことができました。
何が起きたのか
2026年1月15日の朝、トンボ飲料で社内のパソコンの壁紙が書き換えられ、社員のパソコンを管理するシステムが起動しなくなりました。調べると、会社が管理する一部のサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃を受けていました。会社は関係するシステムをネットワークから切り離し、外部の専門家や警察と調査を始めました。1月20日の第1報では、会計ソフトに登録していた仕入先の銀行口座の情報が流出したおそれがあると発表しました（販売先の情報は含まれていません）。報道によると、過去9か月分の仕入れのデータが見られなくなり、担当者が紙の請求書をもとに手作業で入力し直しました。
なぜ起きたのか・なぜ広がったのか
3月2日の最終報で、犯人はインターネット経由で操作できる「リモートデスクトップソフト」（離れた場所からパソコンを操作するソフト）を使って侵入したことが分かったと発表されました。ただし、ソフトの名前や、そのソフトがどのような経緯で入れられたかは、捜査中として公表されていません。報道では、犯行声明からLockBitというグループによる攻撃と判断されたとされていますが、会社自身はグループ名を公表していません。
いまの状況2026-03-16 時点
外部の専門家がすべてのシステムとパソコンを調べ、安全を確認しました。会社はセキュリティ製品を全社で新しくし、24時間の監視体制を強めました。3月16日には、富山県警サイバー犯罪対策課の協力で、暗号化されたデータを元に戻せたと発表しました。報道によると、身代金は払っていません。口座情報が流出したおそれのある仕入先の件数は、公表されていません。
企業として考えたいこと
自社のパソコンやサーバーに、外から遠隔操作できるソフトが入っていないか、誰が何のために入れたのかを把握できているでしょうか。
技術的な要約
富山市の飲料メーカー、トンボ飲料（従業員約180人と報道）は、2026年1月15日に同社管理の一部サーバーがランサムウェア攻撃を受けたことが判明したと1月20日に公表した。会計ソフトに登録された仕入先の銀行口座情報が流出した『可能性』があるとし（販売先情報は含まない）、原材料調達・生産・支払いへの影響はないと説明した。3月2日の最終報で、侵入手口が『インターネット経由で操作可能なリモートデスクトップソフトウェア』だったと公表したが、製品名と当該ソフトが導入された経緯は捜査中として明らかにしていない。3月16日には富山県警サイバー犯罪対策課の協力で暗号化データの復号に成功したと公表し、9月の報道では犯行声明からLockBitによる攻撃と判断され、警察庁開発の復号ツールで復元した事例として紹介された。身代金は支払っていないと報じられている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- RDP公表で確認最終報（2026-03-02）の公式表現は『攻撃の侵入手口はインターネット経由で操作可能なリモートデスクトップソフトウェアであることが判明』。Windows標準のRDP（TCP/3389）か、AnyDesk・TeamViewer等のサードパーティ製遠隔操作ソフトかは明示されておらず、製品名・バージョン、認証突破の方法（脆弱性悪用／認証情報の流用・総当たり）も非公表。さらに『当該ソフトがどのような経緯でインストールされたか』を外部専門家と捜査機関が引き続き調査中としており、正規に導入された管理ツールなのか、攻撃者が別経路で設置したものなのかも確定していない。日経クロステックの見出しは『サーバーの遠隔操作ツールを悪用』『侵入手口はリモート接続ソフト』と報じている（本文は未確認）。
- 脆弱性
- CVE 非公表不明インターネット経由で操作可能なリモートデスクトップソフトウェア（製品名非公表）侵入口であることは公式に確定しているが、ソフトウェアの脆弱性が悪用されたのか、ID/パスワードの流用・推測や無認証設定などの運用上の不備だったのかは公表されていない。CVEの言及は公式・報道とも確認できなかった。
- 攻撃者
- LockBit（報道） 被害組織の言及なし2026年9月の読売新聞報道を引用したブログ記事によれば、社内PCの壁紙が改ざんされ『データが暗号化された』『料金を払えば復元し情報漏えいを防ぐ』趣旨の脅迫文が表示され、犯行声明からLockBitによる攻撃と判断された。リークサイトへの掲載はransomware.live等の公開範囲では確認できなかった。
- ATT&CK
影響
- 業務停止
- あり 公式第1報は『原材料調達・生産活動・代金の支払い等の業務遂行には影響を及ぼすものではない』とし、納期遅延も見込まないと説明した。一方、9月の報道によれば、社員端末を一元管理するシステムが起動しなくなり、過去9か月分の仕入れデータが閲覧不能となったため、担当者が紙の請求書をもとに取引記録を会計ソフトへ手作業で再入力する作業に追われた。3/16の公式発表は、業務への影響は『当初想定していた範囲に抑えられた』としている。期間：2026-01-15の判明から、県警から復元成功の連絡があった2026年2月下旬（報道）まで約1.5か月間、暗号化データは未復旧。3/2最終報で全システム・全PCの解析完了と運用環境の安全性確認を公表
- データ
- おそれ上限 —確定 —口座取引先情報流出の可能性があるのは『会計ソフトに登録してある取引先様の銀行口座情報』で、仕入先のみ・販売先は含まない（第1報）。件数は非公表。第1報時点では『その他の情報は調査中』としていたが、最終報では追加の不正アクセスや追加の情報漏えいを示す痕跡は確認されていないとした。流出の確定は公表されていない（一部メディアの見出しは『流出を確認』としているが公式表現は『可能性』）。
- 波及先
- —
- 仕入先（銀行口座情報が会計ソフトに登録されていた取引先）。口座情報を悪用した支払先変更詐欺・なりすまし請求のリスクを報道が指摘
- 金銭影響
- —
- サプライチェーン
- 委託先経由の侵入や他社への侵害の波及は公表されていない。ただし流出のおそれがあるのは仕入先の銀行口座情報であり、取引先が支払先変更詐欺（BEC）等の二次被害の対象になりうる。
時系列
- 2026-01-15朝、社内PCの壁紙が改ざんされ、社員端末の一元管理システムが起動しないことで異変に気づく。情報システム課長が富山県警の警察官と画面上のファイルを確認（報道）14
- 2026-01-15
- 2026-01-20
- 2026-01-22Security NEXTが報道6
- 2026-02-06ScanNetSecurityが報道8
- 2026-022月下旬、富山県警からデータを復元できたとの連絡（報道）14
- 2026-03-02
- 2026-03-06セキュリティ対策Labが最終報を報道9
- 2026-03-16『復旧作業へのご支援の御礼』を公表。富山県警察本部生活安全部サイバー犯罪対策課の協力で暗号化データの復号に成功したと説明5
- 2026-03-17ScanNetSecurityが『侵入手口はリモートデスクトップソフト』と報道10
- 2026-09-12
技術解説
攻撃の構造：インターネットに露出した遠隔操作ソフトからの侵入 事実
公式に確定している事実は、侵入口が『インターネット経由で操作可能なリモートデスクトップソフトウェア』であったこと、一部サーバーが暗号化されたこと、会計ソフトに登録された仕入先の銀行口座情報が流出した可能性があることの3点である。報道では社内PCの壁紙改ざんと社員端末の一元管理システムの停止が最初の兆候で、過去9か月分の仕入れデータが閲覧不能になった。製品名、認証突破の方法、侵入日、横展開の経路、暗号化されたサーバー台数は公表されていない。最終報は当該ソフトが『どのような経緯でインストールされたか』を捜査中としており、IT部門が把握していた正規の管理ツールではなかった可能性を公式自身が残している点が特徴的である。
なぜ遠隔操作ソフトが入口になるのか（推測） 解釈
中小規模の製造業では、保守ベンダーや社内担当者が出張先・自宅からサーバーを操作するため、AnyDesk・TeamViewer・RDPなどをインターネットから直接到達可能な状態で常設していることが多い。これらはVPNを経由せず、多要素認証も任意設定であるため、流出した認証情報や推測しやすいパスワードで突破されやすい。また『インストール経緯を調査中』という表現からは、ベンダーが保守用に入れたまま資産台帳に載っていない、あるいは社員が個別に導入したシャドーITである可能性が考えられる。正規ソフトでの操作はEDRに悪性と判定されにくく、侵入後の偵察・暗号化まで気づかれにくい。いずれも推測であり、同社は製品名や設定を明らかにしていない。
公表内容と実際の業務影響の差 解釈
第1報（1/20）は原材料調達・生産・支払いへの影響はなく、納期遅延も見込まないと説明した。対外的に重要な生産・出荷が止まらなかったことは事実と考えられる。しかし9月の報道では、過去9か月分の仕入れデータが閲覧不能となり、紙の請求書から会計ソフトへ手作業で再入力していたと伝えられている。顧客から見た『業務影響なし』と、経理・情報システム部門が負った復旧負荷は別物である。3/16の公式発表も『当初想定していた範囲に抑えられた』と表現しており、影響がゼロだったとは言っていない。講義では、公表文の『業務への影響なし』が誰にとっての影響を指すのかを読み分ける題材になる。
身代金を払わずに復号できた理由 事実
同社は富山県警サイバー犯罪対策課の協力で暗号化データの復号に成功したと公表している（3/16）。報道によれば、警察庁はLockBitおよびPhobos/8Baseで暗号化されたファイルの復号ツールを開発しており、2026年9月時点で国内41社（LockBit 24社、Phobos/8Base 17社）が復元に成功した。トンボ飲料はLockBitの事例として紹介され、身代金は支払っていない。判明から復元の連絡（2月下旬）まで約1.5か月かかった点も事実である。同じ報道は、このツールがRansomHouseやQilinには対応していないとしている。復号できたのは攻撃グループの種類による幸運な面が大きく、オフラインバックアップの代わりにはならない。
仕入先口座情報の流出リスクとBEC 解釈
流出の可能性がある情報は個人の顧客情報ではなく、仕入先の銀行口座情報である。件数や口座名義が法人か個人事業主かは公表されていない。口座情報そのものからの直接的な不正出金は難しい。しかし『誰に・どの口座へ・いくら支払っているか』という取引関係の情報は、仕入先を装って『振込先が変わりました』と請求するビジネスメール詐欺（BEC）の材料になる。報道もこの点を注意喚起している。同社の公表は、取引先への個別連絡や支払先変更時の確認手順については触れていない。BtoB企業のランサム被害では、個人情報保護法上の報告に加えて、取引先側の支払統制を見直してもらう連絡が二次被害の防止につながる（解釈）。
対応
- 封じ込め
- 判明後、関係システムをネットワークから隔離し、外部専門家・警察と連携して調査と復旧を実施。最終報（3/2）までに外部専門家が全システム・全PCの解析を完了して安全性を確認し、全社的にセキュリティ製品を更新、24時間体制の監視・検知・対応プロセスを強化した。富山県警サイバー犯罪対策課の協力で暗号化データを復号（3/16公表）。身代金は不払い（報道）。
- 公表の仕方
- 1/20の第1報で発生・流出可能性のある情報の種類・業務影響を公表（件数・侵入経路は未記載）。3/2の最終報で侵入口（リモートデスクトップソフト）を開示したが、製品名・導入経緯・侵入日・攻撃グループ名は非公表。3/16に復号成功を公表。いずれもWebのお知らせとして掲載され、コーポレートサイトとOEMサイトの両方に載せた。
- 当局対応
- 個人情報保護委員会：報告済み（最終報で言及、報告日は非公表）
- 富山県警察：発覚当日から相談・連携（報道）、生活安全部サイバー犯罪対策課の協力で復号に成功
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| インターネットから直接操作できる遠隔操作ソフトが侵入口になった | RDP（3389/TCP）やAnyDesk・TeamViewer等の着信をインターネットに直接公開しない。リモート保守はMFA必須のVPNまたはZTNAの内側に限定し、外部ASMやShodanで自社グローバルIPの公開ポートを定期スキャンする |
| 導入経緯が把握できない遠隔操作ソフトが存在した | EDRや資産管理ツールでAnyDesk・TeamViewer・ScreenConnect・Splashtop等のRMM/遠隔操作ソフトのプロセスとインストールを棚卸しする。許可リストにないものはアプリケーション制御（AppLocker/WDAC）でブロックし、新規インストールをアラート化する。保守ベンダーの接続手段は契約で特定する |
| 会計・仕入れデータが暗号化され、紙からの手入力で復旧した | 会計DB・ファイルサーバーをイミュータブル（WORM／オブジェクトロック）またはオフラインのバックアップに日次で取得する。ドメイン資格情報から削除できない世代管理とし、四半期ごとにリストア訓練を行ってRTO/RPOを実測する |
| 端末一元管理システムが停止し、全社的な影響把握が遅れた | 資産管理・EDR管理サーバーは暗号化の標的になる前提で、クラウド型のコンソールに移すか、管理サーバー自体を別セグメントに置いてバックアップする。インシデント時に使う端末台帳をオフラインでも参照できるよう保持する |
| 仕入先口座情報の流出で支払先変更詐欺の二次被害リスクが生じた | 取引先へ流出可能性を個別に通知し、口座変更の依頼はメールだけで受け付けず、既知の電話番号へのコールバックで確認する運用を自社と取引先の双方で徹底する。会計ソフトの口座マスタ変更には承認ワークフローを必須にする |
| 警察への早期相談が身代金なしの復号につながった | インシデント対応手順書に都道府県警サイバー犯罪相談窓口への初動連絡と、暗号化ファイル・脅迫文・ログの保全（再起動や初期化をしない）を明記する。No More Ransom／警察庁の復号ツール対応状況を確認する工程を入れる |
自組織などでの確認項目
- あなたの会社で、インターネットから直接到達できる遠隔操作ソフトやRDPは何台あるか。誰が、いつ、どの保守契約に基づいて入れたものか、今日中に答えられるか。
- 会計や仕入れなどのデータが9か月分読めなくなった場合、紙やメールから再構築できるか。何人日かかるか、バックアップからなら何時間で戻せるか。
- 取引先の口座情報が流出したかもしれないとき、取引先にどの順で何を伝えるか。自社の『振込先変更』の受付手順は、なりすまし請求に耐えられるか。
- 公表文に『業務への影響はない』と書くとき、それは顧客・取引先・社内のうち誰にとっての影響を指しているか。社内の復旧負荷はどこまで開示すべきか。
未解明点
- 悪用されたリモートデスクトップソフトの製品名・バージョンと、認証突破の方法（脆弱性か認証情報か）
- 当該ソフトがインストールされた経緯（保守ベンダー導入か、攻撃者による設置か、シャドーITか）
- 侵入日と暗号化までの滞留期間、横展開の経路、暗号化されたサーバー・端末の台数
- 流出可能性のある仕入先口座情報の件数と、データが実際に持ち出された証拠の有無
- 攻撃グループ（報道ではLockBit）を同社自身が認めているか、リークサイト掲載の有無
出典
- 1トンボ飲料2026-01-20公式本文確認済
- 2トンボ飲料2026-01-20公式本文確認済
- 3トンボ飲料2026-03-02公式本文確認済
- 4トンボ飲料2026-03-02公式本文確認済
- 5トンボ飲料2026-03-16公式本文確認済
- 6Security NEXT2026-01-22報道本文確認済
- 7GATE022026-01-26報道本文確認済
- 8ScanNetSecurity2026-02-06報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2026-03-06報道本文確認済
- 10ScanNetSecurity2026-03-17報道本文確認済
- 11日経クロステック報道未確認
- 12日経クロステック報道未確認
- 13北國新聞社（Yahoo!ニュース）報道未確認
- 14久兵衛の暮らしのニュース（読売新聞報道の紹介）2026-09-12報道本文確認済
- 15読売新聞オンライン（Yahoo!ニュース）2026-09-12報道未確認