行政や企業向けにITサービスを提供する両毛システムズが、社内システムへの不正アクセスについて、ランサムウェア攻撃だったと公表しました。外部の第三者がVPN(社外から社内につなぐ仕組み)のアカウントを悪用して侵入したもので、営業情報・取引情報・個人情報が漏えいしたおそれがあるとしています。
両毛システムズは、行政・水道・文教・医療・製造・流通などの分野向けのサービスや、データセンター、クラウド、運用・保守などを手がける会社です。ITサービスの提供側で起きた事故として、取引先や委託元にも関わる内容です。
何が起きたのか(経緯)
両毛システムズの公表(第3報)によると、経緯は次のとおりです。
- 2026年8月12日: 外部の第三者が、VPNのアカウントを悪用して社内ネットワークへ侵入
- 2026年8月14日未明: 社内の死活監視で異常を検知し、不正アクセスを確認。ネットワークを遮断するなどして被害の拡大を防止
- 2026年8月15日: 外部専門機関によるフォレンジック調査を開始。その結果、本件がランサムウェア攻撃であることを確認
会社は、8月15日と8月19日に経過を公表し、9月に第3報として現時点の調査結果を公表しています。一部のサーバーで不正アクセスの痕跡が確認されたとしています。
両毛システムズが公表した「社内システムへの不正アクセスに関するお知らせ(第3報)」出典: 両毛システムズ(引用)
漏えいのおそれがある情報
第3報では、漏えいのおそれがある情報として、営業情報、取引情報、個人情報が挙げられています。個人情報には、取引先のお客さま、同社に問い合わせをした事業者、個人のお客さま、同社の従業員に関する情報が含まれる可能性があるとしています。
漏えいのおそれがある件数や項目は精査中で、詳細が確認でき次第、改めて報告するとしています。対象者を特定したうえで、順次、個別に連絡するとしており、現時点で二次被害は確認されていないとしています。
影響を受けるのはどんな組織・人か
直接の影響を受けるおそれがあるのは、両毛システムズと取引のある企業・団体、同社に問い合わせをした事業者、個人のお客さま、そして同社の従業員です。ITサービスやデータセンター、クラウドなどを同社に委託している組織では、自組織のデータが預けた先で巻き込まれていないか、という視点での確認が必要になります。
これは、「ITの委託先・サービス提供側で起きた事故が、委託元にも影響しうる」という形です。自組織が外部に預けているデータや、使っているサービスについて、同じことが起きたらどう動くかを考える材料になります。
情シスが今日やること
- VPNのアカウントを点検する: 今回の入り口はVPNのアカウントの悪用でした。自社のVPNで、退職者や使っていないアカウントが残っていないか、多要素認証(MFA)が有効か、機器のパッチが当たっているかを確認します
- ログイン情報の守りを固める: VPNや管理者のアカウントは、推測されにくいパスワードと多要素認証を基本にします。使い回しや、どこかで漏れたパスワードの再利用がないかも見直します
- バックアップと復旧を確かめる: ランサムウェアへの最後の備えはバックアップです。オフライン(切り離した)保管があるか、実際に戻せるかの復旧試験をしているかを確認します
- 委託先の体制を確認する: ITサービスやデータセンター、クラウドの委託先について、インシデント時の連絡体制、影響範囲の特定の進め方、復旧までの代替手段を確認します
- 両毛システムズと取引がある場合: 公式発表(第3報)を一次情報として確認し、届く個別の連絡を待ちます。漏えいの有無や範囲は精査中のため、確定していない内容で判断せず、発表された事実と調査中の事項を分けて扱います
ITサービスの提供側で起きた事故は、委託元の努力だけでは防げません。だからこそ、自社の入り口(VPN・アカウント)の守りと、バックアップからの復旧の備えを固めつつ、委託先の事故が起きたときの段取りを持っておくことが、情シスの実務になります。
