精電舎電子工業、ランサムウェア被害の最終調査報告を公表|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月22日更新日時: 2026年07月22日

超音波溶着機などの各種溶着・接合装置を手がける精電舎電子工業株式会社は2026年7月21日、同年4月に発生したサイバー攻撃について、外部専門機関による調査が完了したとして最終報告を公表しました。調査の結果、システム障害の原因はランサムウェア攻撃であったことが確認されています。攻撃者は2026年4月8日にVPNを経由して社内ネットワークへ侵入し、Active Directoryサーバーへログインして社員の認証情報を窃取したうえで、ネットワークスキャンによって複数のサーバーへ侵入、最終的に4月22日にサーバーのほとんどと複数のパソコンを暗号化していました。当サイトでも繰り返し取り上げてきた、VPN経由の侵入からActive Directory侵害を経て全社的な暗号化に至るという、近年の国内製造業で最も多く報告されている攻撃パターンをなぞる事例です。

サマリー

精電舎電子工業は2026年7月21日、4月に発生したサイバー攻撃の最終調査報告を公表し、原因がランサムウェア攻撃であったことを確認しました
攻撃者は2026年4月8日、VPNから社内ネットワークに侵入し、その後Active Directoryサーバーにログインして社員の認証情報を窃取したとみられます
続いて社内ネットワークに対するスキャンが実行され、複数のサーバーへログインされたうえで、4月22日にサーバーのほとんどと複数のパソコンが暗号化されました
情報漏洩については、Active Directoryサーバー上のデータが外部へ転送されたと判断されており、その他の機器に対する攻撃者の行動は暗号化のみで、データが社外へ転送された形跡はないとしています
顧客・取引先から受領している情報が社外へ転送された形跡はなく、本稿執筆時点でダークウェブへの掲載も確認されていないとしています
同社は攻撃確認直後の4月22日に全社ネットワークを遮断し、緊急対策本部を設置、感染が確認されなかったPCへのEDR導入と外部専門企業による24時間監視(SOC)を開始しました
Microsoft365、Kintone、勘定系などのクラウドサービスやメールは被害を受けておらず、これらを活用した暫定運用を経て、基幹システムは5月18日から見積・受発注・生産・出荷を再開しています

1 整理表
2 攻撃の経緯-VPNからActive Directory侵害、そして全社暗号化へ
3 情報漏洩の範囲-AD上のデータは外部転送、顧客情報の転送形跡はなし
4 迅速な封じ込めとEDR/SOCの導入
5 VPN経由の侵入という繰り返される攻撃パターン
6 情報システム部門への示唆
7 出典

整理表

項目	内容
公表企業	精電舎電子工業株式会社
第1報	2026年5月7日(サイバー攻撃の可能性があるシステム障害)
最終報	2026年7月21日(ランサムウェア被害の調査完了報告)
侵入日	2026年4月8日
侵入経路	VPN
侵害された基盤	Active Directoryサーバー(社員の認証情報を窃取)
暗号化実行日	2026年4月22日
被害範囲	サーバーのほとんど、および複数のパソコン
情報漏洩	Active Directoryサーバー上のデータが外部転送されたと判断、顧客・取引先情報の転送形跡はなし
ダークウェブ掲載	本稿執筆時点で確認されず(監視継続)
被害を免れたもの	Microsoft365、Kintone、勘定系クラウド、外部メールサービス
関係当局への報告	4月22日荒川警察署、4月24日個人情報保護委員会
業務再開	基幹システムを暫定復旧、5月18日から見積・受発注・生産・出荷を再開

攻撃の経緯-VPNからActive Directory侵害、そして全社暗号化へ

精電舎電子工業の最終報告によれば、今回の攻撃は数段階を経て全社的な被害へと拡大していきました。

まず2026年4月8日、第三者がVPNから社内ネットワークへ侵入しました。その後、攻撃者はActive Directoryサーバーへログインし、この際に社員の認証情報が取得されたものとみられています。Active Directoryは、組織内のユーザーアカウントやアクセス権限を一元管理する認証基盤であり、ここが侵害されると、攻撃者は正規の社員になりすまして社内の様々なシステムへアクセスできるようになります。認証情報を手にした攻撃者は、社内ネットワークに対してスキャンを実行し、複数のサーバーへ次々とログインしていきました。

そして侵入から2週間後の4月22日、攻撃者は複数の機器(サーバー、パソコン)にログインして暗号化を実施しました。被害範囲はサーバーのほとんど、および複数のパソコンに及んでいます。同社が異常を検知したのも同じ4月22日午前7時50分で、マルウェアによる不正アクセスを確認した直後に全社ネットワークを遮断し、午前10時には緊急対策本部を設置して、外部セキュリティ専門企業と連携した原因究明・封じ込め対応を開始しています。

情報漏洩の範囲-AD上のデータは外部転送、顧客情報の転送形跡はなし

情報漏洩については、精査の結果、影響範囲が具体的に切り分けられています。同社は、Active Directoryサーバー上のデータが外部へ転送されたと判断しています。一方、その他の機器に対する攻撃者の行動は暗号化のみであると特定されており、それらの機器からデータが社外へ転送された形跡はないとしています。

重要な点として、顧客や取引先から受領している情報については、社外へ転送された形跡がないと明言されています。また、本稿執筆時点でダークウェブへの掲載も見つかっておらず、引き続き監視を継続するとしています。Active Directoryサーバーには通常、ユーザーアカウント情報やアクセス権限に関する情報が含まれるため、その内容が外部転送されたと判断されたことは、今後、窃取された認証情報を悪用した二次的な攻撃(なりすましログインや、認証情報の使い回しを突いた他システムへの侵入試行等)への警戒が必要であることを意味します。同社が全社的な認証情報の見直しを行ったかどうかについては、今回の報告では明示されていませんが、一般論として、AD侵害が確認された場合には、ドメイン全体のパスワードリセットを含む対応が推奨されます。

迅速な封じ込めとEDR/SOCの導入

今回の対応で評価できるのは、異常検知後の初動の速さと、封じ込め後のセキュリティ体制の強化です。同社は4月22日の検知直後に全社ネットワークを遮断し、被害拡大を防いでいます。あわせて、外部専門機関の指導のもと、感染が確認されなかったパソコンにEDR(エンドポイントでの検知・対応製品)を導入し、外部専門企業による24時間監視(SOC)を同時に開始しました。万が一マルウェアを検知した場合には、当該パソコンを隔離してネットワークを即時遮断する仕組みも導入したとしています。

被害を受けなかったシステムの存在も、業務の早期再開を支えました。同社によれば、Microsoft365、Kintone、勘定系などのクラウドサービスは被害を受けておらず、メールも攻撃を受ける前から外部のメールサービスを利用していたため無事でした。これらのツールを活用して暫定運用を行い、基幹システムについても暫定システムを復旧させて、5月18日から見積・受発注・生産・出荷を再開しています。オンプレミスの社内ネットワークが広範に暗号化される中でも、業務の中核をなす一部のシステムがクラウドや外部サービス上にあったことが、事業継続の面で結果的に有利に働いた形です。

VPN経由の侵入という繰り返される攻撃パターン

今回の精電舎電子工業の事案で示された、VPNを起点とした侵入からActive Directoryの侵害、認証情報の窃取、そしてランサムウェアによる暗号化という一連の流れは、近年の国内製造業で最も多く報告されている攻撃パターンの典型です。

当サイトでは、同様の攻撃パターンを繰り返し取り上げてきました。第一工業がランサムウェアによるサイバー攻撃を受け従業員・取引先の情報漏洩の恐れが生じた事案、REXT Holdings連結子会社D&MがVPN経由のランサムウェアで個人情報流出の恐れが生じた事案、オーミケンシがVPN経由の侵入でThe Gentlemenランサムウェアの犯行声明を受けた事案など、いずれもVPN機器が初期侵入経路となっています。さらに、直前に当サイトで報じたPAN-OS GlobalProtectの脆弱性CVE-2026-0257がQilinランサムウェアの侵入経路として悪用された事案でも、VPN境界の突破からLSASSやNTDSによる認証情報窃取、そして横展開という、今回の精電舎電子工業の事案と酷似した攻撃連鎖が確認されています。

VPNは、社外から社内ネットワークへの安全なリモートアクセスを実現する仕組みですが、インターネットに常時公開されているため、脆弱性を持つ機器が自動スキャンで発見されやすく、認証情報の漏洩や多要素認証の未設定を突かれてログインを突破されるリスクを常に抱えています。今回の精電舎電子工業の事案では、VPNからの侵入の具体的な原因(機器の脆弱性か、認証情報の漏洩か)までは公表されていませんが、いずれにせよVPN機器が組織全体の安全性を左右する重要な防衛線であることを、改めて示す事例だといえます。

情報システム部門への示唆

今回の事案から、情報システム部門が押さえておくべき教訓は複数あります。

第一に、VPN機器のセキュリティ対策の徹底です。VPN機器のファームウェアを最新の状態に保ち、既知の脆弱性を放置しないことに加え、VPNログインへの多要素認証(MFA)の導入が、パスワード漏洩を突いた侵入を防ぐうえで極めて重要です。当サイトで既報のVPN経由の侵入事案の多くで、MFAの未設定が被害を招いた要因として指摘されています。

第二に、Active Directoryの保護と監視です。今回の事案では、AD侵害が認証情報窃取と横展開の起点になりました。ADへの異常なログインや、短時間での大量のアカウント情報へのアクセス、ネットワークスキャンといった挙動を検知できる仕組みを整えること、そして万が一AD侵害が確認された場合には、ドメイン全体のパスワードリセットを含む徹底した認証情報のローテーションを実施することが求められます。

第三に、重要システムのクラウド化・分散配置が事業継続に寄与しうるという点です。今回、基幹業務の一部を担うMicrosoft365やKintone、勘定系クラウド、外部メールサービスが被害を免れたことが、暫定運用と早期の業務再開を可能にしました。オンプレミスの社内ネットワークが全面的に暗号化される事態を想定し、事業継続に不可欠な機能を、被害の波及しにくい形で分散させておくことは、ランサムウェア被害時のレジリエンスを高める有効な備えになります。あわせて、EDRの導入とSOCによる24時間監視という、今回同社が事後的に導入した体制は、本来であれば被害を受ける前から整えておくことが望ましいものであり、同様の攻撃パターンが頻発している現状を踏まえれば、製造業を含む幅広い組織が平時から検討すべき対策だといえます。