ノストラム、VPN経由で侵入されランサム被害——学習支援サービス停止、システム再構築中

項目	内容
発生日	2026年4月19日にランサムウェア攻撃を検知
対象組織・業界	株式会社ノストラム（スマートフォンアプリ・ウェブシステム開発／学習支援サービス提供）
攻撃手法	VPN経由の不正侵入 → ランサムウェア展開
情報源	Security NEXT（2026年5月20日）

概要

スマートフォンアプリおよびウェブシステムの開発を行う株式会社ノストラムが、VPN経由で第三者にネットワークを侵害され、ランサムウェアが展開されたと2026年5月20日に公表しました。サーバ内の一部データが暗号化され、サーバが起動できない状態となり、同社が提供する学習支援サービスが停止しています。脆弱性の修正を完了した上で、新環境を構築してシステムを再構築中です。

経緯

• 2026年4月19日: ランサムウェア攻撃を検知
• （時期非公表）: VPNの脆弱性修正を完了、新環境構築を開始
• 2026年5月20日: 事案を公表。警察および個人情報保護委員会に報告済み

原因

同社の公表によれば、VPN経由で第三者にネットワークを侵害され、その後ランサムウェアが展開されたとされています。VPN機器の具体的な脆弱性や、侵害から暗号化までの経過時間などの詳細は現時点で公表されていません。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. VPN機器の既知の脆弱性が悪用された可能性: 「脆弱性の修正を完了」と発表していることから、パッチ未適用または設定不備によるVPN側の弱点が侵入起点となった可能性が考えられます
2. VPN経由の初期侵入から横展開してのランサム実行: サーバ内データが暗号化される段階まで達していることから、VPN到達後にドメイン内へ横展開して権限昇格・ランサムウェア展開が行われた可能性が考えられます
3. リークサイト監視を続けている点: 「リークサイト監視を継続」と明言していることから、暗号化型に加えデータ窃取（二重恐喝）の可能性も想定されていると考えられます

対策

組織が学ぶべきこと

1. VPNは「境界」ではなく「攻撃面」として扱う: VPN機器は多くの組織で外部からのアクセスを受ける入り口であり、脆弱性が公開された瞬間から攻撃者の探索対象になります。パッチ適用の遅延・多要素認証の未適用・ID/パスワードの使い回しといった要因が重なると、VPNは容易に突破口になります。

2. VPN到達後の「内部の見えない領域」を可視化する: VPN経由の攻撃は境界通過後に横展開されるため、内部ネットワーク側のログ（ドメイン認証・特権ID使用・大量ファイルアクセス・外部通信）で異常を検知する必要があります。境界を突破された後にどれだけ早く気づけるかが被害規模を決めます。

3. リークサイト監視を運用に組み込む: 二重恐喝型のランサムは、暗号化に加えてデータ窃取を伴います。自組織のデータがリークサイトに掲載されるかどうかは、暗号化被害だけでは判定できない部分の情報源になります。

ヤグラの視点 — VPNという「見えていた入口」

VPN経由の侵害は、境界セキュリティが「守り切れていない典型」を体現します。VPNは業務のために外部に露出させる必要がある一方、脆弱性が発見された瞬間に世界中の攻撃者から探索されるサービスでもあります。本件でも脆弱性の修正が事後に必要となっている以上、入り口が突破された後の内部側の可視化と検知が、被害規模を分ける論点になります。単純にVPNを堅く守ろうとするのではなく、突破された前提で内部ログを横断的にAIで監視し、権限昇格・大量ファイル暗号化・外部通信の異常を早く掴む設計が現実解です。境界の外側にある脆弱性を全部潰し切るのは不可能ですが、境界の内側で起きる連鎖に対しては、ログ監視と自動封じ込めで介入余地が残ります。

境界侵入後の横展開・暗号化を早期に掴むには、ログを集約しAIが調査推論に活用する体制が有効です。人手で全ログを見切るのは現実的でなく、AIによる24時間365日の横断監視と自動封じ込め（検知から初動まで平均数分）が現実解になりつつあります。→ ヤグラ AI SOC

今後の対応

システム再構築の進捗、リークサイトへの掲載有無、影響範囲（個人情報の流出可能性）の判明を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-05-20	第一報を公開