ネクサスエナジー（ガソリンスタンド運営）ランサム被害、車両番号を含む顧客情報が流出可能性

項目	内容
発生日	2025年4月14日にデータ暗号化を確認
対象組織・業界	ネクサスエナジー（ガソリンスタンド運営）
攻撃手法	ランサムウェアによるデータ暗号化
情報源	Security NEXT（2026年3月30日）

概要

情報漏えいの二次リスクを考えるとき、単に「何件」ではなく「どの組み合わせで漏れたか」が重要になります。氏名・住所・電話に加えて車両番号まで揃った情報は、通常のフィッシング以上に精巧ななりすまし——「あなたの車両で当社ガソリンスタンドをご利用の件で」といった業務文脈を装った詐欺——を可能にします。

2026年3月30日、ガソリンスタンド運営のネクサスエナジーは、2025年4月14日にデータ暗号化を確認するランサムウェア被害を受け、顧客情報が流出した可能性があると公表しました。

経緯

• 2025年4月14日: データ暗号化を確認
• その後: 外部協力のもと原因特定と復旧作業を実施
• 2026年3月30日: 公表、対象顧客への書面連絡を順次実施

暗号化確認から公表まで約11カ月と長期間を要しています。

原因

侵入経路・原因の詳細は公表されていません。調査結果を後日公表予定としています。

考えられる原因（推測）: 小売業のランサム被害では、(a) 会員管理システム・POSシステムへの侵入、(b) 従業員端末経由のフィッシング、(c) VPN・リモート保守経路の悪用が典型です。データ暗号化の被害から情報流出可能性の判定に約1年かかっていることから、影響範囲の特定調査が困難な状況が推察されます。

影響を受けた情報

• 氏名、住所、電話番号、携帯電話番号
• 生年月日、性別、年齢
• メールアドレス
• 車両番号

車両番号を含む顧客情報という粒度は、ガソリンスタンド固有の会員データベースが直接侵害されたことを示唆します。

対策

組織が学ぶべきこと

1. 「業種特有の情報」が二次リスクを増幅する

ガソリンスタンドが持つ「車両番号」、医療機関の「診療内容」、宿泊業の「宿泊履歴」——業種特有の情報は、なりすまし攻撃の説得力を大きく上げます。汎用の氏名・電話だけよりも、業種特有情報を含む漏えいは、対象顧客への注意喚起の粒度も業種文脈に沿った内容にする必要があります。

2. 対象顧客への「書面での個別連絡」の意味

本件では顧客への連絡が書面で行われます。メール一括配信より工数がかかりますが、「メールアドレスが流出可能性」がある事案で電子的な連絡をすると、攻撃者がその通知を装った二次フィッシングを送りやすくなります。書面での連絡は、この構造的問題を避ける選択です。

3. 「11カ月の調査期間」の重み

発生から公表まで約1年。この間、対象顧客は自分の情報が漏れた可能性を知りません。もし攻撃者が既にデータを持っていた場合、二次被害はこの期間に発生し得ます。調査を丁寧にすることと、対象者への予備的な注意喚起のバランスが問われる期間です。

ヤグラの視点 — 車両番号を含む顧客情報の二次攻撃を想定する

車両番号・給油履歴を装ったフィッシング（「先月のご利用に関して確認事項がございます」「未払いのご利用料金が」等）は、対象顧客にとって「実際に自分が利用したガソリンスタンドからの連絡」として信憑性を持ちます。汎用のフィッシングフィルタでは弾けない、業種特有の詐欺への備えが必要です。

ヤグラの PhishAI は、業種文脈を踏まえたメール・SMS・電話のなりすまし検知に対応します。「ガソリンスタンドを装う偽メッセージ」を、報告→AI分析→影響範囲把握のサイクルで数分内に処理する体制が、二次攻撃の連鎖を短時間で断つ鍵です。

今後の対応

同社は調査結果を後日公表予定としています。続報を注視します。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）