WonderGOO・WonderREX等のエンタメ小売店舗ブランドを傘下に持つRIZAPグループ完全子会社・REXT Holdings株式会社（代表取締役会長兼社長執行役員：塩田 徹）は2026年6月12日、同社の連結子会社である株式会社D&M（以下「D&M」）のファイル共有サーバーが第三者によるVPN機器経由の不正アクセスを受けランサムウェアに感染し、FAX受注データ（PDF）に含まれる取引先および顧客の個人情報が外部に流出した可能性が高いと発表しました。
発覚日は2026年6月1日、漏洩の可能性がある個人情報は2024年8月1日から2026年6月1日までの約2年分のFAX受注データ（PDF）に含まれる取引先・顧客の氏名・住所・電話番号等であり、対象件数は633件とされています。クレジットカード情報・銀行口座等の財産的情報は現時点では確認されていません。
攻撃経路はVPN機器を経由したサーバーへの不正アクセスであることが調査によって判明しており、発覚当日に安全を確認の上で通常業務を再開しています。
サマリー
- 発表日：2026年6月12日
- 発表元：REXT Holdings株式会社（RIZAPグループ完全子会社。WonderGOO・WonderREX等を傘下に持つ持株会社）
- 被害組織：連結子会社・株式会社D&M
- 発覚日：2026年6月1日（FAXデータ保存用ファイル共有サーバーのランサムウェア感染を確認）
- 攻撃経路：VPN機器を経由したサーバーへの不正アクセス → ランサムウェア感染
- 漏洩の対象データ：D&MのFAX番号に送信されたFAX受注データ（PDF形式）に記載された個人情報
- 漏洩対象期間：2024年8月1日〜2026年6月1日（約2年間）
- 漏洩した情報の種類：取引先および顧客の氏名・住所・電話番号等
- 対象件数：633件
- 財産的情報の状況：クレジットカード情報・銀行口座等の財産的情報は現時点で確認されていない
- 二次被害：現時点では未確認。なりすましメール・不審な電話・郵便物等が発生する可能性あり
- 現在の対応：発覚当日に安全確認後、通常業務を再開。該当ファイルサーバーのネットワーク切り離し完了。VPN機器のセキュリティ対策完了。公的機関への届出・報告を順次実施中
- 問い合わせ先：株式会社D&M セキュリティ事務局 [email protected]
目次
事案の詳細
攻撃の経緯
調査の結果、今回の攻撃経路は「第三者がVPN機器を経由してD&Mのサーバーに不正アクセスした」ことと判明しています。
不正アクセスを受けたのは、D&MがFAXデータを保存するために使用していたファイル共有サーバーです。攻撃者はこのサーバーにランサムウェアを感染させ、サーバー内に保存されていた約2年分のFAX受注データ（PDF）が外部に流出した可能性が高い状況となっています。
漏洩した可能性がある情報
| 項目 | 内容 |
|---|---|
| 対象データ | D&MのFAX番号に送信されたFAX受注データ（PDF形式） |
| 対象期間 | 2024年8月1日〜2026年6月1日（約2年間） |
| 情報の種類 | 取引先および顧客の氏名・住所・電話番号等 |
| 対象件数 | 633件 |
| 財産的情報 | クレジットカード情報・銀行口座等は現時点で確認されていない |
現在の対応状況
- 通常業務の再開：発覚当日（2026年6月1日）に安全を確認の上で通常業務を再開。日常業務への支障は軽微
- ファイルサーバーの切り離し：該当ファイルサーバーをネットワークから切り離し済み
- VPN機器のセキュリティ対策：完了済み
- 公的機関への届出：個人情報保護委員会等への届出・報告を順次実施中
- 監視体制の強化：今後のさらなる監視体制強化と再発防止の徹底を表明
REXT Holdings・D&Mの概要
REXT Holdings株式会社
REXT Holdings株式会社（rext.jp）は、書籍・ゲームソフト・CD・DVD等の販売・買い取りを行う専門店ブランド「WonderGOO」「WonderREX」等を傘下のREXT株式会社を通じて運営する持株会社です（Wikipedia・SalesNow確認）。RIZAPグループの完全子会社であり、グループには他にも株式会社Vidaway・株式会社音光・株式会社D&Mが含まれます。
株式会社D&M
株式会社D&M（dmsupporter.jp）はREXT Holdingsの連結子会社であり、FAX経由の受注業務を行う会社です。FAX受注データが長期間にわたってPDF形式でファイル共有サーバーに保存されていたことが今回の被害の背景にあります。
VPN経由のランサムウェア攻撃——2025〜2026年最多の攻撃経路
VPN機器は現在最も狙われる初期侵入口
今回D&Mが受けた「VPN機器を経由した不正アクセス → ランサムウェア感染」という攻撃パターンは、2025〜2026年において国内外で最も多く報告されている初期侵入経路の一つです。
VPNは本来、社外から社内ネットワークへの安全なリモートアクセスを可能にするための仕組みですが、以下のような理由から攻撃者に狙われやすい状況が続いています。
VPN機器が狙われる主な理由：
- VPN機器はインターネットに常時公開されており、脆弱性を持つ機器が自動スキャンで発見される
- パッチ適用が遅れると既知の脆弱性が長期間放置される
- 認証情報の漏洩（フィッシング・インフォスティーラー等による）でVPNログインが突破される
- 多要素認証（MFA）が設定されていないVPN環境では、パスワードのみでログインが可能
当サイトが報じたアサヒグループHDへのQilinランサムウェア攻撃でも同様に「グループ内拠点のネットワーク機器を経由した侵入」が確認されており、VPNおよびネットワーク機器の脆弱性が依然として主要な侵入経路となっていることが分かります。
FAXデータのPDF保存という運用上のリスク
今回の事案で注目すべきもう一つの点は、「FAXデータをPDF形式でファイル共有サーバーに保存していた」という運用です。
FAXで受信した注文書には氏名・住所・電話番号等の個人情報が含まれることが多く、これをPDFとしてファイル共有サーバーに保存し続けることで、約2年分（633件）のデータが一か所に集積されていました。ランサムウェア攻撃者にとって、こうした「個人情報の集積場所」は格好の標的となります。
対象の方への注意事項
REXT Holdingsのリリースは、漏洩した情報が悪用されて「なりすましメール」や「不審な電話・郵便物」等が発生する可能性を否定できないとしています。
2024年8月1日〜2026年6月1日の間にD&MへFAXを送信したことがある取引先・顧客の方は以下にご注意ください：
- 身に覚えのない連絡（電話・メール・郵便物）が届いた場合は安易に応答せず内容を確認してください
- 不審なメールの添付ファイルはクリックしないでください
- 不審な電話で個人情報・金融情報の提供を求められた場合は応じないでください
お問い合わせ先：
株式会社D&M セキュリティ事務局
メールアドレス：[email protected]
参考情報
- REXT Holdings株式会社「連結子会社におけるサーバーへの不正アクセスに関するお詫びとご報告」（2026年6月12日）
- 当サイト関連：アサヒグループHDのQilinランサムウェア攻撃——VPN機器経由の侵入という共通の攻撃経路
- 当サイト関連：2026年5月ランサムウェア事例まとめ
- 当サイト関連：サイバー攻撃・情報漏えい最新事例まとめ2026
関連記事
JR九州 グループ会社ネットワークへ不正アクセス-従業員1万4638人分の個人情報漏洩の恐れ
Microsoft、ゼロデイ脆弱性を公表した匿名セキュリティ研究者を「訴追しない」と方針転換-6月にもゼロデイ脆弱性公開 示唆
INCULSIVE Holdings、子会社の下鴨茶寮の不正アクセスで受取保険金を特別利益に計上
学習塾運営のCKCネットワーク・学参がランサムウェア 被害で個人情報漏洩の恐れ
旭精機工業（名証メイン：6111）ウェブサイト改ざん事案-不正アクセス 経路を特定し復旧
「韓国のAmazon」クーパン、3,367万件の個人情報漏洩に史上最大の課徴金6,247億ウォン（約660億円）を命令
LiteSpeed cPanel プラグインの脆弱性 CVE-2026-54420がKEVカタログに追加
アサヒグループHDがランサムウェアによるサイバー攻撃で業績を下方修正
NECが英セキュリティ大手と能動的サイバー防御強化に向けたMOUを締結
