大阪の物流会社エスケーロジにランサムウェア 社内情報の一部が漏えい

2026年9月20日、日曜日の午前2時ごろ。大阪市の物流会社エスケーロジの社内システムが、外部からの不正アクセスによるサイバー攻撃を受けました。同社は対象のシステムをネットワークから切り離しましたが、受注システムが使えなくなり、出荷の指示と在庫の確認にも影響が出ました。

同社は10月3日の第2報で、攻撃がランサムウェアによるものだったと明らかにし、一部の社内情報の漏えいを確認したとしています。この記事は、同社が9月24日と10月3日に出した2つのお知らせをもとにまとめました。10月26日の時点で、同社のWebサイトに第3報は出ていません(当社調べ)。

エスケーロジは、倉庫での保管や出荷などを請け負う物流会社です。Webサイトでは、荷主向けの在庫の問い合わせのシステムも案内しています。

第1報(9月24日): 受注システムが止まった

第1報によると、同社は被害の拡大を防ぐことを最優先にして、対象システムのネットワークの遮断などの緊急対応をとりました。専門会社と一緒に、原因と影響の範囲を調べ始めています。

この時点で、受注システムは利用停止、出荷指示は一部の対応に制限があり、在庫情報はシステムで確認するのが難しい状態でした。復旧の見込みと、情報漏えいの有無は「調査中」としています。当面の受注や出荷の連絡は、電話かFAXでするよう取引先に求めていました。

第2報(10月3日): ランサムウェアと、社内情報の漏えい

第2報で、同社は攻撃をランサムウェアによるものと書きました。攻撃に気づいたあと、すぐに対象の機器を社内ネットワークとインターネットから遮断し、システムの安全確認を続けています。調査の結果、一部の社内情報の漏えいを確認したとしています。どんな情報が漏れたかは書かれていません。

原因や侵入経路、不正アクセスの有無は、外部の専門会社と調べ続けています。関係当局への報告も進めているとしています。

止めていたネットワークを使った受注業務は、再開できる見込みが立ったとしています。専門会社と復旧を進め、セキュリティの強化策として、ウイルス対策ソフト(EDR)の導入とウイルススキャンを9月30日に全社で終えたためです。EDRは、端末やサーバーの不審な動きを見つけて止める仕組みです。

荷主から見ると、在庫と出荷が見えなくなった

物流会社のシステムが止まると、荷主の側では、注文を受けても出荷を頼めない、倉庫に在庫がいくつあるかが分からない、という状態になります(当社の見立て)。同社は第1報で、受注と出荷の連絡を電話かFAXに切り替えるよう求めました。システムで送っていた出荷の指示を、人の手によるやり取りに戻した形です。

第2報で再開の見込みが立ったのは「ネットワークを利用した受注業務」です。出荷指示や在庫情報のシステムがすべて元に戻ったかは、書かれていません。

まだ分からないこと

• 漏えいした「社内情報」の中身。荷主から預かった配送先や、取引先の情報が含まれるか。
• 侵入経路と、使われたランサムウェアの種類。
• 出荷指示と在庫情報のシステムが元に戻ったか。
• 報告した「関係当局」がどこか。
• 調査の結果をいつ公表するか。

影響する人・会社、しない人・会社

• 影響する: エスケーロジに保管や出荷を任せている荷主です。9月20日から、受注や出荷の指示、在庫の確認に影響が出ました。漏えいした社内情報に荷主の情報が含まれるかは、分かっていません。荷主から預かった配送先の情報が含まれていれば、荷主の顧客にも影響が及びます(当社の見立て)。
• 影響する: 同社と取引のある会社です。取引先の担当者の名前やメールアドレスが社内情報に含まれていれば、同社や取引先を名乗る偽のメールに使われることがありえます(当社の見立て)。
• 影響しない: 同社と取引のない会社です。ただし、自社が任せている物流会社が、同社に作業を再委託していることもありえます。物流の担当に確認しておくと確実です(当社の見立て)。

会社・情シスが今日やること

1. エスケーロジとの取引があるか、物流と購買の担当に聞きます。 倉庫での保管、出荷、配送のどれかを任せていないか。ほかの物流会社やグループ会社からの再委託も含めて洗い出します。
2. 取引があれば、漏えいした情報に自社の分が入っているかを問い合わせます。 第2報は中身を書いていません。荷主として渡した配送先や顧客の名簿、担当者の連絡先が含まれるかを、文書で回答してもらいます。
3. 個人データが含まれていたら、委託元としての対応を決めます。 委託先で起きた漏えいでも、委託元の会社に、個人情報保護委員会への報告と本人への通知の義務がかかることがあります。個人情報保護委員会の「漏えい等の対応」の案内を、法務や総務と一緒に読みます。
4. 振込先の変更や急ぎの請求は、電話で折り返して確認します。 漏れた社内情報が、取引先になりすました請求のメールに使われることがあります(当社の見立て)。経理にも同じことを伝えます。
5. 物流が止まったときの連絡手段を決めておきます。 同社は、受注と出荷の連絡を電話とFAXに切り替えました。自社でも、委託先のシステムが止まったとき、誰がどの番号に、どんな様式で出荷を頼むかを決めておきます(当社の見立て)。
6. 自社のEDRの入り方を見直します。 同社は復旧の途中で、EDRの導入を全社で終えました。自社でも、EDRが入っていない端末やサーバーが残っていないか、EDRの管理画面の台数と資産台帳の台数を照らし合わせます。