三晃空調、複数サーバやPCがランサム被害 — 障害発生から約3週間で公表、影響範囲を調査中

項目	内容
発生日	2025年11月21日（障害発生日）
対象組織・業界	三晃空調（空調・衛生設備工事業）
攻撃手法	ランサムウェアによる複数サーバ・PCへの感染（種類・侵入経路は非公表）
情報源	Security NEXT（2025年12月16日）

概要

空調・衛生設備工事を手がける三晃空調は、2025年12月16日、複数のサーバやパソコンがランサムウェアに感染したことを公表しました。障害発生は2025年11月21日で、公表までに約25日が経過しています。

流出した可能性のある情報の範囲・内容は現時点で調査中で、詳細は未公表です。同社は感染機器をネットワークから遮断し、外部協力のもと原因調査・システム復旧を進めています。

経緯

• 2025年11月21日: 障害発生（複数サーバ・PCの感染を認識）
• 感染機器をネットワークから遮断
• 警察および個人情報保護委員会に報告
• 外部協力のもと原因調査・システム復旧を進行
• 2025年12月16日: 公表。流出した可能性のある情報範囲は調査中

原因

ランサムウェアの種類・侵入経路は公表されていません。同社は「複数のサーバやパソコンがランサムウェアに感染」との事実確認のみ発表しています。

考えられる原因（推測）: 建設・設備工事業へのランサム攻撃で典型的な侵入経路は、(a) VPN・リモートアクセス機器の脆弱性経由、(b) 現場端末（工事現場に持ち出されるノートPC）の紛失・盗難・持ち帰り時の感染、(c) 業務メール経由のマルウェア感染、(d) 委託業者・下請け業者経由の水平展開、が挙げられます。「複数のサーバやパソコン」が同時に感染した状況からは、初期侵入後にドメイン管理者権限を奪取し、社内ネットワーク全体に水平展開した可能性が考えられます。

対策

組織が学ぶべきこと

1. 「複数のサーバやPCが感染」という広範囲被害の意味

本件の被害は単一システムではなく、複数のサーバ・複数のPCに及んでいます。これは初期侵入から暗号化までの間に、攻撃者が社内ネットワーク内で水平展開する時間があったことを示唆します。ランサム攻撃の初期侵入から暗号化実行までは、平均で数日〜数週間の潜伏期間があるのが通例で、この間に (a) ドメイン管理者権限の奪取、(b) 資産の棚卸し、(c) 高価値サーバ（ファイルサーバ・DBサーバ）の特定、(d) データの外部持ち出し、が進みます。感染範囲の広さは、この潜伏期間の長さの反映です。

2. 障害発生から公表まで25日

11月21日の障害発生から、12月16日の公表まで約25日。この間に (a) 被害範囲の特定、(b) 情報流出の有無の調査、(c) 復旧作業、(d) 利害関係者への説明準備、が行われた形です。ランサム被害の公表タイミングは、攻撃者への手の内明かしを避けたい調査側の事情と、取引先・顧客への説明責任のバランスで決まります。25日という期間は、複数サーバに感染が広がった事案としては標準的な範囲です。

3. 建設業のIT運用の脆弱性

建設・設備工事業は、現場と本社の間で情報をやり取りする独特の業務構造を持ちます。現場PCの本社ネットワーク接続、外部委託業者との共有フォルダ、下請け経由の請求書処理など、攻撃面が広がる要素が多い業界です。同時に、IT運用専任スタッフが手薄になりやすい業種でもあり、この構造への攻撃者からの注視は続いています。

ヤグラの視点 — 影響範囲の自動調査、「複数感染」の全貌をどう掴むか

「複数のサーバやパソコンが感染」という状況で最初に問われるのは、「感染はどこまで広がったか」「暗号化されていない機器も攻撃者の手が入っているか」という影響範囲の把握です。攻撃者が水平展開の途中で暗号化を発動した場合、暗号化されていない機器にもバックドアや権限窃取の痕跡が残っている可能性があります。「感染機器」の判定を暗号化された機器だけに限定すると、次の再侵入の入口を残したまま復旧を進めてしまうリスクがあります。

影響範囲の自動調査には、認証ログ・エンドポイントプロセスログ・ファイルアクセスログ・ネットワークフローを、時系列で相関する仕組みが必要です。「同じ初期侵入起点から広がった痕跡が、どの機器まで到達したか」を、人手で全機器のログを目視するのは非現実的で、AIによる横断分析が有効です。

ヤグラの AI SOC は、100+の連携先ログを集約・相関し、「攻撃者の水平展開ルート」を可視化する運用基盤を提供します。「複数感染」事案では、暗号化された機器の内訳だけでなく、感染していないように見えて実は権限窃取された機器を洗い出すことが、再侵入防止の要点になります。

今後の対応

同社は復旧作業と情報流出調査を継続しており、続報として (a) 感染範囲・機器数の確定、(b) 流出した可能性のある情報種別・件数、(c) 対象者・取引先への通知範囲、が示される見込みです。

更新履歴

日時	内容
2026-07-30	初稿公開（2025年12月16日公表・アーカイブ整理）