三菱製紙、リモートアクセス機器の問題で侵害 — 役職員2,422人分と退職者1,787人分のログインIDや暗号化パスワードが流出の可能性

項目	内容
発生日	2025年8月26日〜28日（第三者によるリモート接続）／8月29日に判明
公表日	2025年12月2日
対象組織・業界	三菱製紙（製紙メーカー／製造）
影響件数	役員および従業員2,422人分、退職者1,787人分（計4,209人分）。氏名、同社ドメインにおけるログインID、暗号化されたパスワード、メールアドレス、所属部署、役職名
攻撃手法	同社のリモートアクセス機器に問題があり侵害を受けた。第三者が複数回にわたりサーバやパソコンへリモート接続
情報源	Security NEXT（2025年12月2日）

概要

三菱製紙は2025年12月2日、サイバー攻撃により役職員や退職者に関する個人情報が外部へ流出した可能性があると公表しました。

2025年8月26日から同月28日にかけて、第三者が複数回にわたり同社のサーバやパソコンに対してリモート接続していたことが、8月29日に判明しています。同社はリモートアクセス機器に問題があり、侵害を受けたとしています。

流出の可能性がある情報は、役員および従業員2,422人分と退職者1,787人分の、氏名、同社ドメインにおけるログインID、暗号化されたパスワード、メールアドレス、所属部署、役職名です。合計4,209人分にのぼります。

同社はリモートアクセスを遮断し、端末を停止するとともに隔離して、外部協力のもとフォレンジック調査を実施しました。二次被害などは確認されていないとしています。

経緯

• 2025年8月26日〜28日: 第三者が複数回にわたり、同社のサーバやパソコンへリモート接続
• 2025年8月29日: 事象が判明
• 判明後: リモートアクセスを遮断、端末を停止・隔離。外部協力のもとフォレンジック調査を実施
• 2025年12月2日: 三菱製紙が公表。二次被害は確認されていないとする

原因

判明している事実: 同社のリモートアクセス機器に問題があり、侵害を受けたと公表されています。機器の製品名、問題の具体的な内容（脆弱性か設定か）、認証情報がどのように取得されたかは公表されていません。ランサムウェアについての言及はありません。

考えられる原因（推測）

「リモートアクセス機器に問題があり」という表現は、VPN装置やリモートデスクトップのゲートウェイといった境界に置かれた製品そのものが侵入の起点になったことを示しています。この層の機器は外部からの到達が前提であり、脆弱性が公開されると悪用までの猶予が短くなります。

流出対象に在職者と退職者の両方が含まれ、その内容がログインID・暗号化パスワード・所属部署・役職名という構成である点から、参照されたのは認証を管理するディレクトリか、それに準じた従業員情報のデータベースであった可能性が考えられます。退職者のアカウント情報が残っていたことは、退職時にレコードを削除せず無効化のみで運用していた場合に生じます。

3日間で複数回の接続が確認されている一方、8月29日には判明しています。接続の記録自体は残っており、検知は比較的早い段階で成立したと考えられます。

対策

組織が学ぶべきこと

1. 境界に置く機器は、公開された脆弱性への対応時間で守る

リモートアクセス機器は、外部からの到達を前提に設置されます。攻撃者はまずこの層を探し、脆弱性が公開されれば数日で試します。「外部から到達できる機器の一覧」と「その機器のバージョンと更新責任者」を常に答えられる状態にしておくことが、この層の防御の前提です。

2. 退職者のアカウント情報を、無効化だけで済ませない

退職者1,787人分の情報が対象に含まれたことは、在職者の1.7倍近い規模を後から積み上げました。アカウントを無効化しても、レコードが残っていれば流出の対象になります。退職からの経過期間に応じて、認証情報そのものを削除する運用が必要です。

3. 認証情報が出た前提で、その後の正規アクセスを見る

流出した可能性があるのはログインIDと暗号化されたパスワードです。暗号化されていても、攻撃者の手元では時間をかけた解読が可能で、正規の認証情報として使われれば侵入は「正常なログイン」として記録されます。マルウェアの検知では捉えられない形の侵入に備え、認証の記録を継続して見る必要があります。

ヤグラの視点 — 説明責任のログ：奪われたのが「正規に入るための鍵」だったとき、見るべきものは変わる

この事案で流出した可能性があるのは、氏名やメールアドレスだけではありません。同社ドメインにおけるログインIDと、暗号化されたパスワードです。個人情報の漏えいとして数えれば4,209人分ですが、攻撃者の側から見れば、これは4,209組の正規に社内へ入るための鍵です。

鍵が渡った後の侵入は、攻撃の形をしていません。既知のIDで、正しいパスワードで、通常の経路からログインが成立します。マルウェアを使わず正規の認証情報だけで侵入する手口は近年増えており、ウイルス対策製品の検知対象には最初から入りません。この状態で異常を見分けられる材料は、認証の記録しかありません。いつ、どこから、誰のIDで、普段と違うログインが起きたか——それは認証サーバやリモートアクセス機器のログにしか現れません。

同社は8月26日から28日の接続を29日に把握し、遮断まで進めています。記録が残り、それを読める状態だったことが、この初動を成立させました。一方で、流出は「可能性」のまま12月まで公表が続いています。どこまで参照されたかを確定する作業は、事後にログを集めて突き合わせる以外に方法がありません。人手で全ログを読み切ることは現実的ではなく、複数の機器のログを横断して集約し、異常を機械的に拾う仕組みが必要になります（→ ヤグラ AI SOC）。認証情報が出た事案では、その仕組みが平常時から動いていたかどうかが、その後の説明能力をそのまま決めます。

今後の対応

• 侵害されたリモートアクセス機器と、問題の具体的な内容の特定
• 流出の有無の確定と、対象者への通知状況
• 退職者情報の保持方針を含む再発防止策の公表内容

更新履歴

日時	内容
2026-08-12	2025年12月2日の公表内容をもとにアーカイブ記事として作成