精電舎電子工業、7月続報でVPN経由のランサム攻撃と判明——ADサーバ上のデータが外部転送、顧客・取引先データの流出は否定

項目	内容
発生日	侵入: 2026年4月8日、検知: 2026年4月22日、初報: 2026年5月7日、続報: 2026年7月21日
対象組織・業界	精電舎電子工業株式会社（超音波を応用した金属接合装置の製造・販売）
攻撃手法	VPN経由で社内ネットワーク侵入 → ADサーバで認証情報を取得 → 横展開の末にランサムウェアで暗号化
情報源	精電舎電子工業 続報（2026年7月21日）、Security NEXT（2026年5月26日）、ScanNetSecurity（2026年8月7日）

概要

超音波の技術を応用した金属接合装置を製造・販売する精電舎電子工業株式会社は、2026年4月22日にシステム障害を検知、5月7日に「サイバー攻撃の可能性」として第一報を公表しました。その後 7月21日の続報で、2026年4月8日にVPN経由で第三者が社内ネットワークに侵入し、アクティブディレクトリ（AD）サーバにログイン、ランサムウェアによる攻撃を受けていたと確認しました。サーバのほとんどとパソコン複数台が被害を受けた一方、Microsoft 365・Kintone等のクラウドサービスは被害を免れ、顧客・取引先から受領している情報が社外へ転送された形跡はないと明記しています。

侵入から暗号化までは14日間空いています。この間に攻撃者はADサーバで認証情報を取得し、社内ネットワークをスキャンして複数のサーバへログインしたとされます。障害として表面化したのは4月22日の業務時間外で、同社は同日午前10時に緊急対策本部を設置しました。

同社は5月18日から見積・受発注・生産・出荷を段階的に再開し、EDR導入と外部SOCによる24時間監視を再発防止策として実装しました。

経緯

• 2026年4月8日: 第三者がVPNから社内ネットワークに侵入、その後ADサーバにログイン（続報で判明）
• 4月8日〜22日: ADサーバで認証情報を取得し、ネットワークスキャンを経て複数サーバへログイン（続報で判明）
• 2026年4月22日: 業務時間外にシステム障害を確認。同日午前10時に緊急対策本部を設置し、警察へ通報。同日、複数の機器が暗号化される
• 2026年4月24日: 個人情報保護委員会へ報告
• 検知後: ネットワーク遮断・VPN装置遮断で被害拡大を防止
• 2026年5月7日: 第一報を公表（「サイバー攻撃の可能性」）
• 2026年5月18日: 見積・受発注・生産・出荷を暫定運用で再開
• 2026年7月21日: 続報を公表（ランサムウェア攻撃と確認、VPN侵入経路・AD経由の侵害・データ外部転送を明記）

原因

判明している事実（7月21日続報より）:

• 侵入経路: VPN経由で社内ネットワークに侵入
• 侵害範囲: ADサーバへのログイン → 認証情報の取得 → ネットワークスキャン → 複数サーバへのログイン → ランサムウェア展開
• 被害範囲: サーバのほとんど、パソコン複数台
• クラウド被害: Microsoft 365・Kintone等は被害なし
• データ転送: ADサーバ上のデータが外部へ転送されたと判断（AD配下の情報が対象）
• その他の機器: 攻撃者の行動は暗号化のみと特定。データの社外転送の形跡なし
• 顧客・取引先データ: 社外への転送形跡なし
• ダークウェブ掲載: 現時点で未確認

「転送されたのはADサーバ上のデータに限る」という限定は、機器ごとに攻撃者の挙動を切り分けられたからこそ書けています。

個人情報の件数・種類は公表されておらず、AD配下にあった従業員・利用者情報等の詳細は不明です。

対策

組織が学ぶべきこと

1. VPN + AD の組み合わせは「ランサム攻撃の王道ルート」として設計する: 本件は「VPN 経由の侵入 → AD 侵害 → ランサムウェア展開」という近年多発する典型パターンをそのままなぞっています。VPN 装置の脆弱性・認証情報流用対策（多要素認証・IP制限・接続元制限）と、AD 管理者権限の分離・ログ監視・特権アカウントの棚卸しを、ペア対策として同時整備する必要があります。片方だけでは同種攻撃の再発を防げません。

2. 「顧客データは無事」を証明できるログ設計: 続報で「お客様・お取引先から受領している情報が社外へ転送された形跡はない」と断言できたのは、AD サーバとその他サーバのデータフロー・アクセスログを追跡できる状態だったからです。もしログが十分でなければ、「わからない」までしか言えず、取引先への説明責任が果たせません。平時から、顧客データが保存されているサーバへの外部通信ログを一定期間保持することが、有事の説明能力を決めます。

3. 段階的な業務再開の順序をあらかじめ決めておく: 4月22日の検知から5月18日の暫定運用再開まで約4週間を要しました。「見積・受発注・生産・出荷」の順に再開する判断は、有事に考え始めると時間を失います。どの業務から戻すかを平時に決めておくことが復旧期間を左右します。

ヤグラの視点 — VPN + AD 侵害は「ログの網羅性」で明暗が分かれる

VPN 経由でランサムウェアを受けた製造業のインシデントは近年頻発しています。明暗を分けるのは「攻撃者が触れた範囲を証跡で説明できるか」の一点です。精電舎電子工業は続報で「AD 上のデータは外部転送されたが、顧客・取引先データは無事」と切り分けて説明できました——これは、AD サーバとその他サーバのアクセスログ・外部通信ログが追跡可能な状態だったことを示しています。EDR と 24 時間 SOC 監視の後付け導入は、再発防止としては正解ですが、平時から入れておけば「侵入から検知まで14日」というギャップ自体を短縮できたはずです。（関連: ヤグラ AI SOC）

今後の対応

続報で攻撃経路・被害範囲・データ転送有無・復旧状況・再発防止策まで開示されており、事案としての情報は概ね明らかになっています。ダークウェブでのデータ掲載が確認された場合など、新たな事実判明時に追記します。

更新履歴

日時	内容
2026-07-28	第一報を公開（アーカイブキュレーション）
2026-07-30	7月21日付続報を反映：VPN経由のランサムウェア攻撃と確認、ADサーバ経由の侵害・外部データ転送を追記、顧客データ流出否定・再発防止策（EDR・SOC）を反映
2026-08-11	報道（ScanNetSecurity 8月7日）をもとに追記・訂正：第一報の公表日を5月26日から5月7日に訂正。4月8日から22日までの攻撃連鎖、緊急対策本部の設置、その他の機器の挙動が暗号化のみと特定された点を追記