ガーラ湯沢、リフト券発券システムにランサム被害——ルータ設定不備が根因、最大1518人のシーズンパスポート購入者情報が流出可能性

項目	内容
発生日	2026年2月5日にシステム障害が発生
対象組織・業界	株式会社ガーラ湯沢（スキー場運営）
攻撃手法	ランサムウェア／業務用システムの外部アクセス用ルータの設定不備が根因
情報源	Security NEXT（2026年2月13日）

概要

スキー場を運営する株式会社ガーラ湯沢は、リフト券発券システムの一部サーバがランサムウェアに感染し、最大1518人のシーズンパスポート購入顧客の個人情報が流出した可能性があることを公表しました。障害発生は2026年2月5日、公表は2月13日で同日Security NEXTが報じました。同社は根本原因として「業務用システムにおいて外部からアクセスするために設置していたルータの設定に不備があった」ことを明らかにしています。

対象は2020年12月16日～2026年2月1日にシーズンパスポートを購入した顧客で、流出した可能性のある情報には氏名・住所・電話番号・顔写真が含まれます。同社は個人情報保護委員会に報告し、対象顧客に個別連絡するとしています。

経緯

• 2026年2月5日: リフト券発券システムで障害が発生。システム管理会社が調査を開始
• 2026年2月7日: セキュリティ対策を実施したうえで一部機能を除きシステムを再開
• 調査進展: 被害を受けたサーバ内に個人情報が保存されていたことが判明
• 2026年2月13日: 個人情報保護委員会へ報告。対象顧客に個別連絡。Security NEXTが報道

原因

同社は業務用システムに外部からアクセスするために設置していたルータの設定不備が根因と説明しています。設定不備を突かれて侵入されたリフト券発券システムの一部サーバがランサムウェアに感染し、保存されていた個人情報が流出した可能性が生じたとされています。

考えられる原因（推測）

以下は公表事実の解釈で、ガーラ湯沢が公表したものではありません。

1. ルータ設定不備の典型パターン: 「外部からアクセスするために設置していた」ルータの設定不備は、管理画面がインターネットから到達可能・デフォルト認証情報のまま・不要ポートが公開・アクセス元IP制限なしのいずれか（または複数）である可能性が考えられます
2. 業務用サーバに個人情報が保管されていた事実: リフト券発券というオペレーション系のサーバに、シーズンパスポート購入者の顔写真を含む個人情報が保存されていた点は、業務システムとデータストアの設計上の分離が甘かった可能性を示唆します
3. 公表と再開のスピード: 2月5日障害発生→2月7日一部再開→2月13日詳細公表という時系列は、初動対応が比較的機能していた事案と評価できます

対策

組織が学ぶべきこと

1. 「攻撃者以前」の露出をなくす: 本件の根因は攻撃の巧妙さではなく、ルータの設定不備という守り側の運用ミスです。「設定を正しくする」だけで防げた事案が、リフト券発券システムのランサム感染と1518人の顔写真流出可能性にまで発展しました。運用ミスは業界内で頻発しますが、それを組織として発見できる仕組みがあるかが問われます。

2. 業務システムに保管する個人情報の棚卸し: リフト券発券システムに顔写真を含む個人情報が保管されていた事実は、業務システム設計時に「このサーバに何を保管するか」を意識的に決めていなかった可能性を示唆します。個人情報を保管するシステムは分離・暗号化・アクセス制御の水準を明確に上げるという設計原則があります。

3. 「一部機能除き2日で再開」の初動評価: 障害検知（2/5）から一部再開（2/7）までの2日間は、リフト券発券というスキー場ピーク期の重要オペレーションを短期間で戻せた点で評価できます。事業影響を最小化する初動が機能した事案と言えます。

ヤグラの視点 — 攻撃者のいないインシデント。設定不備は「守り側の見落とし」

本件は「ランサムウェア被害」として報じられますが、その根因は外部アクセス用に設置したルータの設定不備——攻撃者が高度なテクニックを用いたのではなく、守り側が本来閉じておくべき経路を開いたままにしていた「守り側の見落とし」です。この種の露出は、月次スキャンや年次監査では発見が遅れます。ネットワーク設定は変更が入るたびに露出面が変わり、意図しない到達経路が発生し得るためです。「攻撃者が本当に到達できる経路がどこにあるか」を継続的に監視し、設定変更が新たな到達経路を生んだ瞬間に検知できる仕組みが、この種の事案を「設定ミスで顔写真1518人分流出」まで悪化させないための現実解です。攻撃者が来る前に、自分たちの露出を自分たちで見つけられる組織になれるか——それが本件が業界に問いかけている課題です。

今後の対応

流出可能性がある個人情報の詳細確認、二次被害の有無、ルータ設定不備の再発防止策の詳細に関する続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-02-13	第一報を公開