YCC情報システムへのランサムウェア攻撃（ネットワーク機器の管理者認証情報が起点と推定。山形市・山形県・山形大学など委託元9組織以上、延べ約75万件・健康情報とマイナンバーを含む漏えいのおそれ）
公表日
山形市のシステム開発会社YCC情報システムがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃を受けました。仕事を受けていた山形市・山形県・山形大学など9つ以上の組織から預かっていた情報が、延べ最大約75万件分漏れたおそれがあります（流出は確認されていません）。
対象者は？
YCC情報システムに仕事を任せていた組織が持つ個人情報です。山形市（職員の人事給与情報、健康診断などの情報、児童相談の情報。通知対象は計40,118人）、山形県（職員の健康管理情報や看護師などの届出など約26,800件）、山形交通（121,880件）、山形大学（学生の情報や健康診断結果 延べ80,091件）、庄内町（図書館などの利用者 12,996件）、高畠町（2,354名分、口座情報を含む）、埼玉県幸手市、関東信越税理士国民健康保険組合、山形新聞社（カード決済の購読者情報。カード番号は含まない）が公表しています。一部にはマイナンバーや健康に関する情報も含まれます。件数は各組織の当初の公表値の合計で、重複を含みます。
対象かどうかは、それぞれの組織が個別に公表しています。山形市は対象者に通知を送っています。自分が関わる組織のお知らせを確認してください。
いますぐできること
- 山形市・山形県・大学・町役場などを名乗る電話やメールで、マイナンバーや口座番号、支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
- 高畠町の転作水田管理システムの対象になった方は、口座の入出金明細に身に覚えのない動きがないか確認する
何が起きたのか
2026年4月2日の早朝、YCC情報システムの社内ファイルサーバーのファイルが暗号化され、攻撃者からの脅迫文が見つかりました。会社は4月3日から順に公表し、4月14日には、取引先から預かっていた情報の一部が漏れたおそれを否定できないとしました。4月16日以降、山形市、山形県、山形交通、山形大学などの委託元が、それぞれ自分たちの情報が含まれていたことを公表しました。5月20日、外部の専門機関による調査が終わりました。
なぜ起きたのか・なぜ広がったのか
会社は、ネットワーク機器の管理者アカウントのIDやパスワードが、何度もログインを試す攻撃などで推測されたか、別の方法で盗まれ、それを使って社内に侵入されたと推定しています。機器の種類や侵入された日は公表されていません。影響が多くの組織に広がったのは、システム開発の仕事のために、委託元の個人情報がこの会社のファイルサーバーに保管されていたためです。契約が終わった後のデータや、何年も前の時点のデータも対象に含まれていました。
いまの状況2026-07-30 時点
調査では、情報が外部に送られたはっきりした跡は見つからず、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上の犯行声明やデータの公開も確認されていません。ただし、情報にアクセスされた可能性は完全には否定できないとしています。再発防止策として、インターネット接続の環境の全面的な見直し、監視の強化、預かったデータの保管とやり取りのルールの整備などを挙げています。山形市は7月29日に、健康情報システムの対象者31,766人に通知を送りました。
企業として考えたいこと
システム開発や保守を頼んでいる会社に、お客様や社員の本物の個人情報を渡していないでしょうか。渡したデータが作業後や契約終了後に消されているか、確認できているでしょうか。
技術的な要約
山形市のシステムインテグレーターYCC情報システムで、2026年4月2日6時50分頃からファイルサーバー上のファイルが暗号化され、7時50分頃に暗号化と攻撃者の脅迫文が確認された。同社は4月3日に第1報（ファイルサーバーへの不正アクセス）、4月6日の第2報でランサムウェア攻撃と情報窃取の可能性を公表し、4月7日の第3報で種類を特定したが非公表とし、4月14日の第4報で取引先から受託・保管していた情報の一部に『漏えいのおそれが否定できない』とした。5月20日の第5報で外部専門機関の調査完了を受け、侵入経路をネットワーク機器の管理者アカウントの認証情報が認証試行等により推測または取得されたものと推定し、外部送信の明確な痕跡やダークウェブ上の犯行声明・リーク情報は確認されていないと公表した。委託元は4月16日以降に個別公表し、山形市（当初報道で健康情報約50万件など。7月30日更新の公式ページでは通知対象40,118人）、山形県（約26,800件）、山形交通（121,880件）、山形大学（延べ80,091件）、庄内町（12,996件）、高畠町（2,354名分、口座情報を含む）、埼玉県幸手市、関東信越税理士国民健康保険組合、山形新聞社の9組織以上に波及した。いずれも『おそれ』段階で、流出の確定は公表されていない。
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認第5報（5/20）の公式表現は『ネットワーク機器の管理者アカウントに係る認証情報が、攻撃者による認証試行等により推測または取得され』、その認証情報で内部ネットワークに侵入されたと『推定』。機器の種類（VPN装置・ファイアウォール・ルーター等）、多要素認証の有無、認証情報が総当たりで推測されたのか別経路で取得されたのか、侵入日時は記載されていない。第2報（4/6）・第3報（4/7）時点では侵入経路は『特定に至っておらず』とされていた。境界のネットワーク機器の管理インターフェースがインターネットから到達可能だった可能性があるが、これは公表内容からの推測である。
- 脆弱性
- CVE 非公表不明ネットワーク機器（機種・製品名非公表）第5報は侵入を管理者アカウントの認証情報の推測・取得によるものと推定しており、ソフトウェア脆弱性の悪用には言及していない。CVE・製品名・ファームウェアのバージョンは非公表。ランサムウェアの種類は第3報で『特定されたがセキュリティリスクの観点から公表は控える』とされた。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026-04-02 6:50頃からファイルサーバー内のファイルが暗号化されアクセスできなくなった（第5報）。第2報では業務は通常どおり継続しているが顧客対応に遅れが出る場合があるとし、社内PCへの感染は確認されていないとした。第5報ではメール等の情報系システムと業務用PCは別環境で、影響は確認されていないとした。第4報で受託データの返却・再提供を安全な方法で順次開始する予定とした。委託元のサービス・窓口業務の停止は公表されていない。期間：ファイルサーバーの復旧完了時期は非公表
- データ
- おそれ上限 754,508確定 —件氏名住所電話生年月日性別健康情報マイナンバー口座従業員情報その他records_maxは各委託元の公表件数（当初公表値）の単純合算（重複・件と人の混在を含む）：山形市約510,387件（報道による4/16公表時の内訳 健康情報約50万＋人事給与約6,000＋健康情報1,867＋児童相談2,520の合計）＋山形県約26,800件＋山形交通121,880件＋山形大学80,091件＋庄内町12,996件＋高畠町2,354名分＝754,508。前版で用いた山形市『約558,387件（重複含む）』は報道の一覧表にのみ見られ、公式ページでは確認できず、内訳合計（約51万件）との差の説明もないため合算から外した。山形市の公式ページ（2026-07-30更新）は件数でなく通知対象者数を示し、人事給与システム6,167人（平成30年度〜令和元年度時点、氏名・住所・生年月日・マイナンバー・給料・手当等、5/20通知）、健康情報システム31,766人（平成24年6月時点のカナ氏名・生年月日・性別・受診年月日等、平成14年〜令和7年の電話番号・住所・氏名・保険者番号・被保険者記号番号・検診年月日等、7/29通知）、児童相談システム2,185人（異動日が令和5年7月の住所・氏名・生年月日・性別等、5/20通知）の計40,118人。当初の約50万件（件数・重複含む）から対象者特定後に約4万人へ絞られた経緯は公式に説明されていない。【山形県】約26,800件（4/16時点判明分：県職員健康管理約7,700、退職手当支給の債権者登録約300、看護師等業務従事者届約15,000、新庄病院在院患者リスト約300、こども医療療育センター医療情報約1,000、移住定住相談DB約2,500。県公式PDFで確認）。【山形交通】121,880件（バス基幹1,307件、ハイヤー基幹120,573件、契約終了分を含む。報道）。【山形大学】延べ80,091件（学生の氏名・性別・生年月日・住所・連絡先・健康診断結果等、契約終了分を含む。報道。大学公式ページはアクセス不可）。【庄内町】12,996件（図書館情報システムの平成29年7月時点の利用者情報9,257件：氏名・住所・生年月日・性別・電話番号・メールアドレス等、指定管理団体のトレーニングルーム利用者の令和2年時点情報3,739件：氏名・住所・生年月日・電話番号。町公式で確認）。【高畠町】転作水田管理システム2,354名分（氏名・住所・電話番号・共済組合員等コード・口座情報。町公式で確認）。【幸手市】国保の高額療養費システム（件数・項目は公式第1報に記載なし）。【関東信越税理士国保組合】平成25〜30年の高額療養費管理システム関連（マイナンバーは含まれないと報道。公式ページは取得不可）。【山形新聞社】カード決済購読者の氏名・住所・電話番号・販売店名・決済額（カード情報は含まない。報道）。YCC第5報は情報が外部に送信された明確な痕跡は確認されていないが、アクセスされた可能性は完全には否定できないとしており、いずれも『漏えいのおそれ』にとどまる。
- 波及先
- 9 組織（公表分。報道は『9組織以上』）
- 山形市（当初報道で健康情報約50万件など。2026-07-30更新の公式ページでは人事給与6,167人・健康情報31,766人・児童相談2,185人の計40,118人に通知）
- 山形県（職員健康管理・看護師等業務従事者届・県立病院在院患者リスト等 約26,800件）
- 山形交通（バス・ハイヤー基幹システム 121,880件）
- 山形大学（学生情報・健康診断結果 延べ80,091件）
- 庄内町（図書館利用者 平成29年7月時点9,257件、トレーニングルーム利用者 令和2年時点3,739件）
- 高畠町（転作水田管理システム 2,354名分、口座情報含む）
- 幸手市（埼玉県、国保高額療養費システム関連。4/17第1報、件数未記載。県外初の公表）
- 関東信越税理士国民健康保険組合（高額療養費管理システム関連）
- 山形新聞社（カード決済購読者情報）
- 金銭影響
- —
- サプライチェーン
- 地域SIerであるYCCが、自治体・大学・交通事業者・国保組合など多数の委託元のシステム開発・運用を請け負い、その過程で委託元の個人情報を自社ファイルサーバーに保管していた。そのファイルサーバーがランサムウェア攻撃を受け、委託元9組織以上の情報に漏えいのおそれが生じた。山形大学・山形交通・関東信越税理士国保組合（平成25〜30年分）など契約終了後のデータや、山形市の2012年・2018〜2019年度時点のスナップショットなど、本番環境ではなく開発・移行作業用とみられる過去データが残存していた点が特徴。YCCは自社発表（第1〜5報）で委託元名・件数を出さず、第2報で『影響を受ける可能性のあるお取引先様・お客様には個別に連絡』したとし、委託元が4/16〜20に個別に公表する構造となった。第5報はファイルサーバーのバックアップ調査で受託・保管情報の保存を確認したとしている。
時系列
- 2026-04-02 06:50YCCのファイルサーバーでファイルの暗号化が始まる（第5報で判明）5
- 2026-04-02 07:50
- 2026-04-03
- 2026-04-06
- 2026-04-07
- 2026-04-14
- 2026-04-16
- 2026-04-17
- 2026-04-20
- 2026-04-20INTERNET Watchが山形市約50万件・山形県約2万6800件などを報道18
- 2026-04
- 2026-05-20
- 2026-05-20山形市が人事給与システム6,167人・児童相談システム2,185人に通知を発送6
- 2026-07-29山形市が健康情報システム31,766人に通知を発送（7/30に公式ページ更新）6
技術解説
攻撃の構造：地域SIerのファイルサーバーに集まった委託元データ 事実
被害を受けたのはYCC自身のファイルサーバーで、委託元のシステム本体ではない。第5報（5/20）によれば、ネットワーク機器の管理者アカウントの認証情報が攻撃者の認証試行等により推測または取得され、その認証情報で内部ネットワークに侵入されたと推定され、4月2日6時50分頃にファイルの暗号化が始まり、7時50分頃に暗号化と脅迫文が確認された。ランサムウェアの種類は特定済みだが非公表、侵入日時・機器の種類・多要素認証の有無は示されていない。メールなど情報系システムと業務用PCは別環境で影響は確認されず、外部送信の明確な痕跡やダークウェブ上の犯行声明・リーク情報も確認されていないが、YCCはアクセスの可能性を完全には否定できないとしている。それでも、山形市の健康情報（平成14年〜令和7年分と平成24年6月時点）、平成30年度〜令和元年度時点の人事給与データ（マイナンバー含む）、山形県の職員健康管理・看護師等業務従事者届・県立病院在院患者リスト、庄内町の平成29年7月時点の図書館利用者情報、山形交通・山形大学・関東信越税理士国保組合の契約終了分までが一つのファイルサーバー（とそのバックアップ）に存在した。時点が特定されたデータが多いことは、開発・移行作業のために本番データの写しを受け取り保管していたことを示している。
被害が大きくなった理由：契約終了後も消されなかった本番データの写し 解釈
延べ約75万件（当初公表値の合算）という規模は、YCCの現行業務に必要なデータ量というより、過去の案件で受け取ったデータが削除されずに累積した結果と考えられる。山形大学・山形交通は契約終了分を含むと明記し、関東信越税理士国保組合はYCCが開発を担当した平成25〜30年のデータが対象になった。委託契約で『業務終了後のデータ返却・消去』が定められていても、ファイルサーバー上のテスト用コピーや作業フォルダまで消去証明の対象になっていなかった可能性が高い。また健康情報・マイナンバーといった要配慮・特定個人情報が、マスキングや仮名化をされずに開発用途で扱われていた可能性もあるが、加工の有無は公表されていない。いずれも公表内容からの推測である。
公表の連鎖：委託先は件数を出さず、委託元が2週間後に個別公表 事実
YCCの第1〜第5報は『不正アクセス』（4/3）→『ランサムウェア攻撃、窃取の可能性を否定できない』（4/6）→『種類は特定したが非公表』（4/7）→『受託情報の一部に漏えいのおそれ』（4/14）→『侵入経路の推定と外部送信の痕跡なし』（5/20）と段階的に進んだが、委託元名・件数・情報項目は自社発表では一度も示していない。委託元による具体的な公表は山形市が4/16、県・庄内町・幸手市・山形交通が4/17、山形大学・高畠町が4/20と、攻撃から14〜18日後になった。報告先も委託元ごとに異なり、山形市・庄内町・高畠町は個人情報保護委員会と総務省（庄内町は山形県、高畠町は内閣官房国家サイバー統括室等にも）、山形大学は文部科学省へ報告している。山形市はその後対象者を特定し、5/20と7/29に計40,118人へ通知した。当初報道の約50万件からの差は件数（重複含む）と人数の違いと考えられるが、市は説明していない。一方、庄内町は流出の事実が確認されていないとして個別通知を予定しないとしており、同じ事案でも委託元ごとに通知判断が分かれた。
侵入経路：境界機器の管理者アカウントという単一障害点 解釈
第5報が示した侵入経路は、脆弱性悪用ではなく『ネットワーク機器の管理者アカウントの認証情報が認証試行等により推測または取得された』というものだった。『認証試行等により推測』という表現は、インターネットから到達できる管理インターフェースやVPNログインに対する総当たり・パスワードスプレーを想起させるが、機器の種類や多要素認証の有無は公表されておらず推測にとどまる。ネットワーク機器の管理者権限は、通常の利用者アカウントより強い権限で内部ネットワークへの経路を開ける。そこからファイルサーバーまで到達し暗号化に至った点からは、境界とファイルサーバーの間でセグメント分離や追加の認証が十分でなかった可能性がある。YCCが再発防止策の筆頭に『インターネット接続環境の全面的見直し』を挙げたことも、境界の構成そのものに問題があったと同社が認識していることを示唆する。また4月7日に種類を特定してから侵入経路の推定まで約6週間を要しており、機器の認証ログが十分に残っていなかった可能性も考えられる。
自治体の委託管理から見た論点 解釈
山形市・山形県・庄内町・高畠町・幸手市と、県境を越えて複数の自治体が同じ地域SIerに業務を委託していた。自治体では個人情報の外部委託時に委託先の安全管理措置の確認が求められるが、実際には『委託先のどのサーバーに、どの時点のデータの写しが、いつまで残っているか』を委託元が把握していなかったことになる。とくにマイナンバーを含む人事給与データは、番号法上の再委託・保管制限の観点からも、開発作業用の写しの扱いが問われる。委託元が監査で確認すべきなのは契約書の条文ではなく、委託先のファイルサーバー上の実データの棚卸しと消去の証跡であることを示す事例である。
対応
- 封じ込め
- YCCは4/3に影響範囲の特定と復旧作業を開始し、4/6から外部専門機関と連携して調査（5/20までに調査完了）。ランサムウェアの種類を特定（非公表）。受託データの返却・再提供を安全な方法で順次実施する方針（第4報）。再発防止策（第5報）：インターネット接続環境の全面的見直し、外部専門事業者の活用を含むネットワーク運用監視の見直し・強化、データ保管環境のセキュリティ対策とデータ授受の運用整備、役員を含む全社員へのセキュリティ教育・訓練。委託元はYCCに個人情報の適切な取扱いの徹底を指導し原因究明・再発防止策の報告を求め（山形市・庄内町・高畠町）、山形市は対象者へ個別通知（5/20・7/29）、庄内町は漏えい未確認として個別通知を予定せず注意喚起にとどめた。
- 公表の仕方
- YCC：4/3第1報（不正アクセス）→4/6第2報（ランサムウェア、窃取の可能性）→4/7第3報（種類特定・非公表）→4/14第4報（受託情報の一部に漏えいのおそれ）→5/20第5報（調査完了、侵入経路の推定、外部送信の痕跡なし）。委託元名・件数はYCCの発表では示されず、山形市（4/16、7/30更新）、山形県・庄内町・幸手市・山形交通（4/17）、山形大学・高畠町（4/20）、関東信越税理士国保組合・山形新聞社が個別に公表。窓口はYCC総務部（023-641-4667、info@／incident-contact@yamagata-ycc.co.jp）と個人情報相談窓口（023-641-4727、委託元告知による）、および各委託元。
- 当局対応
- YCC：第2報で『関係する公的機関への届出・報告を順次実施』、第5報で個人情報保護法その他関係法令に基づき『関係当局への報告を実施』（機関名は非公表）
- 個人情報保護委員会：山形市・庄内町・高畠町（各公式）、山形大学・山形交通（報道）が報告
- 総務省：山形市・庄内町・高畠町（サイバーセキュリティ対策室）が報告
- 内閣官房国家サイバー統括室等：高畠町が報告
- 山形県：庄内町が報告
- 文部科学省：山形大学が報告（報道）
- 警察：届出の有無は公表で確認できない
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託元の本番データの写しが、契約終了後も委託先のファイルサーバーに残っていた | 委託契約に『作業用コピーを含む全データの返却・消去と、その方法・日時を記載した消去証明書の提出』を明記し、委託元は年1回、委託先の保管データ一覧（格納先パス・時点・件数）の提出を求めて突合する。委託先側はファイルサーバー上の個人情報を検出するDLPスキャンを定期実行する |
| 健康情報・マイナンバーを含む本番データが開発・移行作業に使われていた可能性 | 開発・テストには本番データを渡さず、委託元側でマスキング・仮名化（氏名・住所・番号の置換、生年月日の丸め）したデータセットを生成して渡す。マイナンバー列は抽出段階で除外し、やむを得ず本番データを扱う場合は委託元環境内（VDI等）での作業に限定する |
| ファイルサーバー1台の侵害で9組織以上の情報が同時に危険にさらされた | 委託元ごとに保管領域（共有フォルダ・ストレージアカウント）とアクセス権グループを分離し、案件終了時に領域ごと削除する。共有フォルダは案件担当者のみに限定し、ファイルサーバーへのSMB接続をVLAN・ファイアウォールで業務端末に絞る |
| ネットワーク機器の管理者アカウントの認証情報が推測・取得され、内部ネットワークへの侵入を許した | VPN・ファイアウォール等の管理インターフェースをインターネットから到達不可にし（管理用VLAN／踏み台経由のみ）、管理者アカウントは既定名を廃止して長いランダムパスワードとMFAを必須化する。認証失敗の連続をsyslogでSIEMに送りアラート化し、アカウントロックアウトと送信元制限を設定する。機器の認証ログ・設定変更ログを180日以上外部に保存する |
| 委託先の公表に委託元名・件数がなく、各委託元の公表が2週間以上後になった | 委託契約に、事故時に委託元へ通知する期限（例：覚知から24時間以内に第一報、72時間以内に対象データ項目・件数の暫定値）を定め、委託先は案件ごとの保管データ台帳を平時から整備して即時に提示できるようにする |
| 境界機器の侵害からファイルサーバーの暗号化まで到達できた | 境界機器からサーバーセグメントへの通信を必要なポート・宛先に限定し、ファイルサーバーへの管理アクセスは別認証（MFA付き踏み台）経由に限る。バックアップはオフライン／イミュータブル（WORM）領域に置き、バックアップ内の受託データも保持期限で削除する |
自組織などでの確認項目
- あなたの組織が過去に委託した開発・保守案件で、委託先に渡した本番データの写しは今どこにあるか。消去証明を受け取っているか。
- あなたの会社が受託側の場合、ファイルサーバーに残っている顧客データを案件別・時点別に今すぐ列挙できるか。何年前の案件のデータまで残っているか。
- 開発・テストで本番データを使わないために、委託元と委託先のどちらがマスキングを担うべきか。マイナンバー・健康情報を含む場合はどうか。
- 委託先がランサムウェア被害を公表したとき、自社の情報が含まれるかを何日以内に確定できる体制・契約になっているか。
未解明点
- 侵入に使われたネットワーク機器の種類・製品、多要素認証の有無、認証情報が総当たりで推測されたのか別経路で取得されたのか、侵入日
- ランサムウェアの種類・攻撃グループ名、身代金要求の有無とリークサイトでの公開の有無
- データ持ち出しの有無を判断したログの範囲（外部送信の痕跡なしとした根拠）と、委託元ごとの『おそれ』の扱いの最終判断
- 山形市の当初公表件数（約50万件・報道の約55.8万件）と2026-07-30公表の対象者40,118人との関係、幸手市・関東信越税理士国保組合・山形新聞社の件数
- 委託元データを開発用途で保管していた理由、マスキングの有無、契約上の消去義務とその履行状況
- YCCによる警察への届出、委託元以外を含む全影響組織数
出典
- 1YCC情報システム2026-04-03公式本文確認済
- 2YCC情報システム2026-04-06公式本文確認済
- 3YCC情報システム2026-04-07公式本文確認済
- 4YCC情報システム2026-04-14公式本文確認済
- 5YCC情報システム2026-05-20公式本文確認済
- 6山形市2026-07-30公式本文確認済
- 7山形県2026-04-17公式本文確認済
- 8庄内町2026-04-17公式本文確認済
- 9幸手市2026-04-17公式本文確認済
- 10山形大学2026-04-20公式未確認
- 11高畠町2026-04-20公式本文確認済
- 12関東信越税理士国民健康保険組合2026-04公式未確認
- 13セキュリティ対策Lab（Rocket Boys）2026-04-28報道本文確認済
- 14セキュリティ対策Lab（Rocket Boys）2026-04-17報道本文確認済
- 15セキュリティ対策Lab（Rocket Boys）2026-04-22報道本文確認済
- 16セキュリティ対策Lab（Rocket Boys）2026-06-01報道本文確認済
- 17セキュリティ対策Lab（Rocket Boys）2026-10-09報道本文確認済
- 18INTERNET Watch2026-04-20報道本文確認済
- 19山形県2026-04-17公式本文確認済