丸高興業、ファイルサーバがランサムウェアで暗号化——VPN機器経由の侵入と1.5Gバイトのデータ漏えいのおそれが判明
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年3月11日未明 |
| 対象組織・業界 | 丸高興業株式会社（産業用ホースの販売／商社・卸） |
| 影響件数 | 件数は公表されていない。被害サーバには顧客の会社名・部署名・住所・電話番号・ファックス番号・メールアドレス・担当者氏名、納品先や直送先の住所、受発注履歴、販売管理システムの登録情報が保存されていた。少なくとも1.5Gバイトのデータが漏えいしたおそれ |
| 攻撃手法 | VPN機器経由でネットワークに侵入され、攻撃者が不正な管理者アカウントを作成して複数のサーバにアクセス。サーバ内データが暗号化された |
| 情報源 | Security NEXT（2026年3月17日・初報）、Security NEXT（2026年8月13日・続報） |
産業用ホース販売の丸高興業は、社内のファイルサーバがランサムウェアに感染し、データが暗号化されアクセスできない状態になったと公表しました。攻撃を受けたのは2026年3月11日です。
その後の調査で、VPN機器経由でネットワークに侵入されていたことが判明しました。攻撃者は不正な管理者アカウントを作成し、複数のサーバにアクセスしたうえでサーバ内のデータを暗号化しています。少なくとも1.5Gバイトのデータが漏えいしたおそれがあるとされています。
被害を受けたサーバには、顧客の会社名や部署名、住所、電話番号、ファックス番号、メールアドレス、担当者氏名、納品先や直送先の住所、受発注履歴、他販売管理システムの登録情報が保存されていました。件数は公表されていません。
同社は対策として、VPN機器の入れ替え、社内ネットワーク環境の再構築、サーバの廃止とクラウド環境への移行、社内端末の入れ替え、ユーザーアカウント・アクセス権限・認証方式の見直しを実施しました。あわせて全従業員のメールアドレスについても変更しています。情報の外部流通や不正利用などは確認されていないとしています。
- 2026年3月11日未明: サーバがランサムウェアによる攻撃を受け、データが暗号化されアクセス不能となる
- その後: 当該サーバおよび関連機器をネットワークから遮断。外部協力のもと調査を開始
- 2026年3月17日: 初報が報じられる。個人情報流出の有無は調査中とされる
- 調査により判明: VPN機器経由での侵入、不正な管理者アカウントの作成、複数サーバへのアクセス、少なくとも1.5Gバイトのデータ漏えいのおそれ
- 対策の実施: VPN機器の入れ替え、社内ネットワーク環境の再構築、サーバ廃止とクラウド環境への移行、社内端末の入れ替え、アカウント・権限・認証方式の見直し、全従業員のメールアドレス変更
- 2026年8月13日: 続報が報じられる。情報の外部流通や不正利用は確認されていないとする
判明している事実: VPN機器経由でネットワークに侵入され、攻撃者が不正な管理者アカウントを作成して複数のサーバにアクセスしたことが公表されています。悪用されたVPN機器の製品名、脆弱性の内容、認証情報がどのように取得されたかは公表されていません。侵入から暗号化までの滞留期間も示されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”VPN機器が起点であったことは判明しましたが、その機器がどう突破されたかは公表されていません。境界に置かれるVPN機器では、公開された脆弱性の悪用と、窃取・推測された認証情報による正規ログインの双方があり得ます。同社が対策として認証方式の見直しを挙げていることから、認証の強度に課題があった可能性も考えられます。
不正な管理者アカウントが作成されたという点は、攻撃者が侵入後に管理者権限を得ていたことを示します。この状態に達すると、以降の操作は正規の管理作業として記録されるため、通常の監視では異常と見分けにくくなります。複数サーバへのアクセスが可能になったのも、この権限取得が前提にあったと考えられます。
漏えいのおそれが「少なくとも1.5Gバイト」というデータ量で示され、件数が出ていない点にも注意が必要です。持ち出された総量は外向き通信の記録などから推定できますが、その中に何人分の情報が含まれるかを確定するには、対象データを特定して数える作業が要ります。量は言えるが件数は言えない状態は、持ち出しの事実を通信の側から捉えている一方、中身の突き合わせが済んでいないことを示すと考えられます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. VPN機器は「外部から到達できる機器」の筆頭として管理する
Section titled “1. VPN機器は「外部から到達できる機器」の筆頭として管理する”本件の起点はVPN機器でした。この層は設置目的からして外部に開かれており、攻撃者が最初に探す対象です。外部から到達できる機器の一覧と、それぞれのバージョン・更新責任者・認証方式を常に答えられる状態にしておくことが、この層の防御の前提になります。同社が対策の第一にVPN機器の入れ替えを挙げているのは、その位置づけを反映したものです。
2. 管理者アカウントの「作成」を検知対象にする
Section titled “2. 管理者アカウントの「作成」を検知対象にする”攻撃者は既存アカウントを乗っ取るのではなく、新しい管理者アカウントを作成しています。正規の管理操作と同じ形をとるため、マルウェアの検知では捉えられません。一方で、管理者アカウントの新規作成は本来まれな事象であり、発生したこと自体を通知する対象にできます。認証サーバやディレクトリの記録を監視対象に含めるかどうかが、この手口への備えを分けます。
3. 復旧ではなく再構築を選ぶ判断を持つ
Section titled “3. 復旧ではなく再構築を選ぶ判断を持つ”同社はサーバを廃止してクラウド環境へ移行し、社内端末も入れ替え、全従業員のメールアドレスまで変更しています。汚染がどこまで及んだかを確定できない環境を直して使い続けるより、作り直すという判断です。管理者権限まで奪われた事案では、残存物を見落とさずに除去しきったことを証明するのは困難であり、この選択には合理性があります。
ヤグラの視点 — 復旧できるか、を平時から言えるようにする
Section titled “ヤグラの視点 — 復旧できるか、を平時から言えるようにする”ランサムウェア被害の事業影響は、暗号化された瞬間ではなく、「どこまで元に戻せるか」を言える状態が組織にあるかによって変わってきます。本件のようにファイルサーバの暗号化として現れた事案でも、復旧の速さと確からしさを説明できなければ、取引先・顧客・監督当局への説明は長引きます。バックアップの世代・保管の隔離・復旧テストの直近実施日を平時から数値で語れる組織は、被害公表時の対応幅が広がります。
同時に、暗号化前の「侵入から発症までの潜伏期間」で何が動いていたかを事後に追える形で残しておくことも、復旧の質と説明の質を両立させる条件になります。本件では、初報の時点で「調査中」だった侵入経路が、その後VPN機器経由と特定され、不正な管理者アカウントの作成まで判明しました。記録が残っていたからこそ、5か月後にここまで説明できたと考えられます。一方で、漏えいの量は言えても件数が示されていない点には、突き合わせの難しさが表れています。
ログ監視と自動封じ込めは、被害後の復旧可能性と説明能力を最大化するための、平時の投資と位置づけられます。→ ヤグラ AI SOC
- 悪用されたVPN機器と、突破された手口の特定
- 漏えいしたおそれのある情報の件数と対象者の確定
- 対象者への通知状況
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-07-29 | 初報を公開（Security NEXT 2026-03-17報道ベース） |
| 2026-08-14 | 続報を反映（Security NEXT 2026-08-13報道）。VPN機器経由の侵入、不正な管理者アカウントの作成、少なくとも1.5Gバイトのデータ漏えいのおそれ、被害サーバに保存されていた情報の項目、実施した対策（VPN機器の入れ替え・ネットワーク再構築・クラウド移行・端末入れ替え・認証方式の見直し・全従業員のメールアドレス変更）を追記。status を investigating から monitoring に変更。industry を 製造 から 商社・卸 に修正 |