キャンディルパートナーズ、一部サーバでランサム被害——顧客・取引先・従業員の4,100件が影響対象、外部流出の痕跡は「見つかっていない」

項目	内容
発生日	検知: 2026年3月11日、公表: 2026年5月25日
対象組織・業界	株式会社キャンディルパートナーズ（住宅のメンテナンスサービス関連）
攻撃手法	一部サーバへのランサムウェア攻撃
情報源	Security NEXT（2026年5月25日）、キャンディルパートナーズ 公式

概要

住宅のメンテナンスサービス関連事業を手掛ける株式会社キャンディルパートナーズは、一部サーバがランサムウェアによる攻撃を受け、顧客・取引先・従業員の個人情報4,100件が影響対象となったことを公表しました。検知は2026年3月11日、公表は5月25日で、両者の間には約2ヶ月半の期間があります。

対象データは顧客・取引先・従業員の氏名や会社名、住所、電話番号、メールアドレスで、同社は「個人情報が流出した痕跡などは見つかっておらず」としています。警察への相談、個人情報保護委員会への報告を行い、外部協力のもと影響範囲を調査。業務への影響は限定的で大きな支障はなく、平常どおり運営しているとされています。

経緯

• 2026年3月11日: 一部サーバへのランサムウェア攻撃を検知
• 検知後: 警察へ相談、個人情報保護委員会へ報告、外部協力のもと影響範囲を調査
• 2026年5月25日: 事案を公表、Security NEXTが報道
• 公表時点: 業務は平常運営を継続、流出痕跡は確認されていない

原因

具体的な侵入経路・初期アクセス手段は公表されていません。同社は外部協力のもと影響範囲の調査を継続中としています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、キャンディルパートナーズが公表したものではありません。

1. 業務系サーバへの直接侵害と限定的な範囲: 「一部サーバ」に留まったことから、ネットワーク分離やアクセス制御が一定機能した可能性が考えられます
2. 顧客・取引先・従業員が混在する管理系DB: 影響対象が3属性の混在した個人情報である点から、社内の管理系DB（統合顧客／取引先／人事）が対象になったと考えられます
3. 「流出痕跡なし」の判断基盤: 攻撃者による外部通信・データ持ち出しの痕跡がログに現れなかったことを、影響範囲確定の根拠としていると推測されます

対策

組織が学ぶべきこと

1. 「流出痕跡なし」を裏付けるログ基盤: 「痕跡が見つかっていない」と公表する場合、それを裏付けるログの取得範囲・保存期間・分析能力が問われます。ネットワーク外部への通信ログ・データ持ち出しの検知ログが十分に保全され、分析されていることが、この表現の根拠になります。

2. 検知から公表までの約2ヶ月半の使い方: 検知（3/11）から公表（5/25）までの期間は、影響範囲の確定と対象者への個別対応を優先した判断と見られます。件数（4,100件）が確定してからの公表は、対象者への通知の完成度と、公表内容の正確性を担保するうえで妥当です。

3. 「業務への影響は限定的」を可能にする分離設計: ランサム被害を受けながら業務は平常運営を継続できたことは、被害範囲が「一部サーバ」に留まったことと、それを支える平時からのシステム分離の成果です。基幹業務系と管理系DB系の独立運用が事業継続を支えます。

ヤグラの視点 — 説明責任のログ、「流出していない」の根拠を持つ

ランサム被害の公表で「流出の痕跡は見つかっていない」と述べる組織は多いですが、その根拠となるログを提示できる組織はさらに少ないです。キャンディルパートナーズの発表では、影響対象を4,100件と具体的に確定させ、流出痕跡なしを併記しています——この「痕跡なし」の判断は、外部通信ログ・データ持ち出し検知・アクセスログの分析があって初めて成立します。個人情報保護法・サプライチェーンリスク評価制度・監督官庁への報告徴求命令など、事故時に説明責任を求められる場面で問われるのは「どこまで見えていたか、それをどう記録し分析できたか」です。人手で全ログを追い切れない前提でAIによる横断監視と対応履歴の蓄積を平時に整えておくことは、事故時の説明責任を果たす基盤となります。（関連: ヤグラ AI SOC）

今後の対応

侵入経路の判明、対象者への個別通知の進捗、追加対策の実施状況に関する続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-07-28	第一報を公開（アーカイブキュレーション）