AGS、再委託先（YCC情報システム）へのランサム攻撃で情報流出のおそれ——AGS本体は被害なし、後の調査で漏えい痕跡は確認されず

項目	内容
発生日	2026年4月22日公表（AGS本体は被害なし。再委託先で発生）
対象組織・業界	ＡＧＳ株式会社（システム開発）／被害を受けたのは再委託先の株式会社YCC情報システム（山形市）
攻撃手法	ランサムウェアを用いたサイバー攻撃
情報源	Security NEXT（2026年4月22日）、AGS公式 第2報（2026年5月25日）

概要

ＡＧＳ株式会社は、同社が受託している一部業務の再委託先である株式会社YCC情報システムがランサムウェア攻撃を受け、AGSが預けていた情報が外部に流出したおそれがあると2026年4月22日に公表しました。AGS本体が直接攻撃を受けたわけではなく、サプライチェーン上流に位置する再委託先が被害を受けた構図です。

AGSは再委託先と連携し、事実関係の確認・影響範囲の特定を実施。影響を受ける可能性のある顧客に対しては個別に連絡・状況説明を行っています。2026年5月25日の第2報時点で、情報漏えいの痕跡は確認されていないと報告されています。

経緯

• 2026年4月22日: 再委託先（YCC情報システム）へのランサムウェア被害と情報流出のおそれを一報として公表
• 発生後: 再委託先と連携し、影響範囲を調査／影響を受ける可能性のある顧客へ個別連絡
• 2026年5月25日: 第2報を公表、外部専門機関による調査で情報漏えいの痕跡は確認されずと結論

原因

公式発表では、再委託先で発生したランサムウェア攻撃の具体的な感染経路・攻撃者グループは公表されていません。AGS側は「業務の再委託に関する管理体制の見直し」を明言しており、サプライチェーン管理の側面から再発防止に取り組む姿勢を示しています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、AGSが公表したものではありません。

1. 再委託先のセキュリティ水準: 委託元（AGS）が把握・管理している委託先（一次委託先）だけでなく、その先の再委託先まで含めたセキュリティ水準の統一は難しく、末端の組織が攻撃の入口になるケースが繰り返し観測されています
2. 委託業務データの分散: 委託時に受託先へデータを渡した後、受託先の環境でどう保管・処理されているかを、委託元がリアルタイムに把握するのは実務上困難
3. 契約と実態のギャップ: セキュリティ要件は契約で担保されていても、その履行状況を委託元が継続監査する仕組みがなければ、実態は「性善説」に依存しやすい構造

対策

組織が学ぶべきこと

1. 「委託先」だけでなく「再委託先・再々委託先」まで見えているか: 業務の受発注構造は多段に及ぶことが一般的で、契約書上「再委託を認める」条項があるだけでは、下流のセキュリティは担保されません。委託先の再委託先まで含めた台帳整備・定期棚卸し・書面での状況確認を運用に組み込む必要があります。

2. 委託時のデータ持ち出しを最小化する設計: 受託先に大量データを渡してから作業させるのではなく、「必要最小限のデータ」「マスキング済みのデータ」「委託元環境で作業できる仮想デスクトップ経由」など、そもそも受託先環境にデータを残さない設計が、この種の事案の被害範囲を根本的に狭めます。

3. 「AGS本体は無事」の広報設計: 本件でAGSは、自社は直接被害を受けていないこと・被害は再委託先で発生したこと・影響顧客には個別連絡していることを、初期公表の段階で明確に伝えています。この情報の切り分けと迅速な対外コミュニケーションは、顧客・株主・従業員それぞれの動揺を抑え、二次被害（風評・混乱）を最小化する対応の教科書といえます。

ヤグラの視点 — 攻撃面の拡張、委託先の先まで自分たちの「攻撃面」だと認識する

近年のインシデントで繰り返し観測されるのは、「自社のセキュリティは万全」でも、委託先の先で発生した被害の影響を丸ごと引き受けるという構造です。攻撃者は当然、守りが厚い元請けを直接狙わず、末端の再委託先を突きます。ここで問われるのは、「自社の攻撃面がどこまで広がっているかを、リアルに認識しているか」です。契約書上の再委託許諾リストや委託先セキュリティチェックシートだけでは不十分で、実データを預けている全組織を『自分たちの攻撃面』として台帳化し、定期的にリスク再評価することが求められます。加えて、預けているデータが本当に必要か、匿名化・マスキングで縮小できないかを見直せば、たとえ末端で侵害が起きても被害範囲が自動的に限定されます。攻撃面を広げないための「データを渡さない設計」もまた、有効な予防策になります。（関連: ヤグラ AI SOC）

今後の対応

第2報以降の調査結果（漏えい痕跡なしの最終確認）、AGSの再委託管理体制の見直し内容、YCC情報システム側の再発防止策、他委託業務への影響有無に関する続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-04-22	第一報を公開（初報時点＋2026年5月25日の第2報時点の情報を統合して記述）