ENEOSグローブエナジー、LPガス配送委託先経由でランサム被害 — 約1300件流出

2026/01/15 続報を注視中中程度公共・非営利 #ランサムウェア #サプライチェーン

項目	内容
発生日	2025年10月21日（委託先での被害発生）
対象組織・業界	ENEOSグローブエナジー（ENEOSホールディングスのグループ会社）
攻撃手法	委託先経由のランサムウェア攻撃
情報源	Security NEXT（2026年1月15日）

概要

ENEOSホールディングスのグループ会社であるENEOSグローブエナジーは、LPガス配送を委託していたエネサンスホールディングス（およびエネサンス北海道・エネサンス関東）が2025年10月21日にランサムウェア被害を受けた影響で、北海道および神奈川県の一部顧客約1300件の氏名・住所・電話番号が流出したことを2026年1月15日に公表しました。

情報流出は2025年11月30日にダークウェブ上での公開を確認したことから判明。委託先ネットワークが同一ネットワークで接続されていたため被害が波及した構造です。

経緯

2025年10月21日: エネサンスホールディングスがランサムウェア被害を受ける
2025年11月30日: ダークウェブ上で情報公開を確認（流出が確定した日）
2026年1月15日: ENEOSグローブエナジーが公表。Security NEXTが報道
委託先はシステムを再構築し、強化した監視体制のもとで順次再開中
外部での情報流通・二次被害は現時点で未確認

原因

初期侵入経路は公表されていません。エネサンスホールディングス側での侵入後、委託先ネットワークが同一で接続されていたことがENEOSグローブエナジー側への波及要因になっています。

考えられる原因（推測）: LPガス配送のような現場業務系の委託関係では、配送指示・請求・顧客情報のやり取りのために委託元と委託先のシステムがネットワーク接続されていることが多く、その接続経路は「業務効率化」の裏返しで攻撃者にとっての横展開経路にもなり得ます。委託先の侵入後、共有ネットワーク経由で顧客データベースが到達可能な状態になっていた可能性が考えられます。初期侵入手口としては、VPN機器・リモートアクセス機器の脆弱性悪用、フィッシングによる認証情報窃取が典型です。

対策

組織が学ぶべきこと

1. 「委託先＝別会社」だがネットワーク的には別会社ではない

本件の本質は、契約上の別会社が、ネットワーク上は同一境界内にあったという構造です。委託契約書には「情報管理を適切に」等の一般条項があっても、実態としては委託先侵入がそのまま自社顧客データへ到達する経路になっていました。契約と実装の乖離は、サプライチェーンリスクの典型パターンです。

2. ダークウェブでの公開が「情報流出が確定した日」

被害発生（10月21日）から約40日後（11月30日）にダークウェブでの公開を確認したことで、ようやく流出の事実が確定しました。攻撃者側のリークサイト運用（数週間〜数ヶ月遅らせて公開する交渉圧力戦術）を踏まえると、被害発生時点で「流出は確認されていない」は暫定的な表現にすぎず、継続的なダークウェブ監視が必要になります。

3. グループ会社と委託先の複雑な階層構造

本件では、ENEOSホールディングス > ENEOSグローブエナジー > 委託先（エネサンス）と多層構造になっており、被害を受けたのは末端の委託先ですが、影響を受けた顧客は上位のグループ会社の顧客です。顧客への説明責任は上位のブランドが負う一方、実際の情報管理は末端の委託先が行っているこの非対称は、大手企業グループにとって共通の課題です。

ヤグラの視点 — 攻撃面の拡張：委託先が「同じネットワーク」にあることの意味

本件のようなサプライチェーン起点の侵害は、「攻撃面が委託先まで拡張されている」という認識を、契約書レベルではなくネットワーク図・接続レベルで持てているかが問われます。委託先の情報セキュリティ体制を評価する際、多くの組織では「委託先のISMS認証の有無」「セキュリティチェックシート回答」を確認しますが、これは「委託先が対策を実施している」という宣言の確認にすぎません。

本当に確認すべきは、「委託先のネットワークから、自社顧客データまでの経路が到達可能か」です。到達可能な経路が可視化できれば、パッチ・分離・監視のどの手段で経路を遮断するかを判断できます。

ヤグラの AI SOC は、100以上の連携先ログを集約し、委託先接続・第三者API連携も含めた横断的なログ監視で、「委託先起点の異常が自社の顧客データベースへ到達しつつある」段階での検知を可能にします。契約と実装の乖離を、ログという実データで埋める仕組みです。

今後の対応

委託先はシステムを再構築のうえ強化した監視体制で順次再開中。ダークウェブ上での二次的な情報流通の監視と、対象約1300件の顧客への継続対応が焦点です。

更新履歴

日時	内容
2026-07-30	初稿公開（1月15日公表時点）