ハンズホールディングス、社内システムでウイルス感染の疑い — 8時50分の検知から即時遮断

項目	内容
発生日	2026年6月19日 8時50分ごろ（検知）
対象組織・業界	ハンズホールディングス株式会社（総合建築事業・人材サービス事業）
攻撃手法	外部からの侵害によるマルウェア感染の疑い（原因は調査中）
情報源	Security NEXT（2026年7月7日） / ハンズホールディングス 公式（2026年6月22日）

概要

総合建築事業と人材サービス事業を展開するハンズホールディングス株式会社は、社内の一部システムが外部から侵害され、マルウェアに感染した可能性があることを明らかにしました。

同社が異常を検知したのは2026年6月19日8時50分ごろ。感染拡大を防ぐため、感染の疑いがあるサーバおよびユーザーPCを外部から遮断し、その影響で一部システムが停止しました。同社は「現在のところ、個人情報や機密情報の外部流出は確認されておりません」としつつ、外部のセキュリティ専門機関と連携して、流出の有無を含めた影響と原因の特定を進めているとしています。

経緯

• 2026年6月19日 8時50分ごろ: 一部社内システムでウイルス感染の疑いを検知
• 同日、感染の疑いがあるサーバとユーザーPCを外部から遮断。一部システムが停止
• 外部専門家を交えた事実関係の調査を開始
• 2026年6月22日: 「当社システムへの不正アクセス（ウイルス感染）の疑いに関するお知らせ」として自社サイトで公表
• 2026年7月7日: Security NEXTが報道。調査・復旧作業が継続中
• 現時点で個人情報・機密情報の外部流出は確認されていない

原因

侵入経路・初期アクセスの手法は公表されていません。同社は「詳細を調べている」「原因の特定なども進め」ているとしており、マルウェアの種別や感染範囲にも触れていません。

考えられる原因（推測）: 社内システムがマルウェアに感染するまでの典型的な経路は、(a) メール添付ファイル・リンク経由の実行、(b) VPN・リモートアクセス機器の脆弱性悪用や認証情報の窃取、(c) 公開サーバの脆弱性悪用からの横展開、です。本件では「サーバおよびユーザーPC」の双方が遮断対象となっている点から、端末側の感染とサーバ側の異常のどちらが起点かを切り分ける段階にあったことがうかがえます。ただし同社は経路を明らかにしておらず、以上は公表事実からの推測です。

対策

組織が学ぶべきこと

1. 検知時刻を分単位で持てているかどうか

同社の公表で目を引くのは「6月19日8時50分ごろ」という分単位の検知時刻です。これは何らかの検知の仕組みが働き、その時点が記録されていたことを意味します。インシデント公表で「◯月ごろ」「◯月下旬」といった粒度になる組織は少なくなく、その差はそのまま「どこから調査を始めればよいか」の差になります。検知時刻が特定できていれば、その前後のログに調査を集中できます。

2. 「遮断でシステムが止まる」を事前に決めておく

同社は感染拡大防止のためにサーバとPCを外部から遮断し、結果として一部システムを停止させています。この判断は事業を一時的に止める判断であり、インシデント発生後にゼロから合意を取るのは困難です。「どの条件を満たしたら誰の判断で何を止めるか」を平時に決めておけるかが、初動の速度を決めます。

3. ウイルス対策ソフトだけでは足りない

マルウェア感染の疑いが検知されたということは、少なくとも何らかの防御・検知の仕組みが機能したことを示します。一方で近年は、マルウェアを使わずID・認証情報を奪って正規の操作として侵入する「マルウェアフリー」型の攻撃も増えています。ウイルス対策ソフトの導入で完結する話ではなく、認証ログ・通信ログを含めた横断的な監視が必要になります。

ヤグラの視点 — 復旧可能性という指標：この事案が「勝ちパターン」になるための条件

インシデントは、起きてしまった時点で失敗が確定するわけではありません。被害をどこで止められたかで結果は大きく分かれます。本件は現時点で「外部流出は確認されていない」「一部システムの停止にとどまっている」という状態にあり、もしこのまま流出なしで復旧できるのであれば、対応としては成功例に分類されうる事案です。

その分かれ目になる条件は、おおむね次の3つに整理できます。第一に検知の速さ。8時50分ごろという時刻が記録されていること自体が、この条件を満たしていた証拠です。第二に遮断の権限が現場にあること。検知から遮断までの間に稟議が挟まれば、その時間だけ横展開が進みます。第三に「流出していない」を言い切れるログがあること。アウトバウンド通信のログが残っていなければ、「持ち出しの痕跡が見つからない」までしか言えず、「持ち出されていない」とは言えません。この3つ目が、公表後に「実は流出していた」と続報が出る事案との分岐点になります。

裏を返せば、これらは平時のログ設計と権限設計で決まる話です。人手で全ログを常時監視するのは現実的でないため、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が現実的な選択肢になりつつあります。ヤグラの AI SOC は、100を超える製品のログを集約・相関し、「どこまで到達され、何が外に出たか」を短時間で説明可能な状態にすることを狙った基盤です。

今後の対応

同社は外部セキュリティ専門機関と連携して原因特定とシステムの安全な復旧を進めており、進展に応じて自社サイトで情報を更新するとしています。流出の有無に関する最終判断、停止システムの復旧完了時期が続報の焦点です。マルウェア感染事案では初期の「流出未確認」が調査の進捗で更新されることがあるため、続報を注視する必要があります。

更新履歴

日時	内容
2026-08-03	初稿公開（アーカイブ整備。2026年7月7日報道時点の情報にもとづく）