ジェックス、ランサムウェアによるサイバー攻撃で顧客情報7万7,619件などが一時閲覧可能に　外部流出・不正利用は確認されず

ジェックス株式会社は2026年8月19日、同年2月に発生したランサムウェアによるサイバー攻撃について、外部のセキュリティ専門機関による調査結果と再発防止策を公表しました。

調査の結果、不正アクセスを受けたサーバーに保存されていた顧客の個人情報が、一時的に侵入者から閲覧可能な状態にあったことが判明しました。

対象は、氏名、住所、電話番号、メールアドレスなどを含むデータ7万7,619件と、氏名のみのデータ1,360件です。

一方、ジェックスは専門機関による調査の結果、これらの個人情報が外部へ流出した事実や、不正利用された事実は確認されていないとしています。

本件は個人情報保護法上の「個人情報の漏えい等のおそれ」が生じた事案として個人情報保護委員会への報告を完了しており、管轄の警察署にも相談・届出を行っています。

ジェックスのランサムウェア被害 続報のサマリー

• 【確認済み】ジェックスは2026年8月19日、2月に発生したランサムウェア攻撃の調査結果を公表しました。
• 【確認済み】2026年2月、個人情報を管理するサーバーに対する外部からの不正アクセスを確認しました。
• 【確認済み】不正アクセスを受けたサーバーでは、顧客の個人情報が一時的に侵入者から閲覧可能な状態にありました。
• 【確認済み】氏名、住所、電話番号、メールアドレスなどを含むデータは77,619件です。
• 【確認済み】氏名のみのデータは1,360件です。
• 【確認済み】対象情報は、ジェックスへ問い合わせを行った顧客の情報です。
• 【確認済み】専門機関の調査では、個人情報が外部へ流出した事実は確認されていません。
• 【確認済み】個人情報の不正利用も8月19日時点で確認されていません。
• 【確認済み】個人情報保護委員会への報告を完了しています。
• 【確認済み】管轄警察署への相談・届出を実施しています。
• 【確認済み】再発防止として、新たな管理・セキュリティシステムの導入、管理サーバーへの移管、情報管理体制の見直しなどを実施します。
• 【確認できず】ランサムウェアの侵入経路、悪用された脆弱性、認証情報の悪用有無は公表されていません。
• 【確認できず】ランサムウェアの種類、攻撃者・ランサムウェアグループ、身代金要求の有無は公表されていません。
• 【確認できず】侵入者が個々の顧客情報を実際に閲覧したかどうかは公表資料から確認できません。

項目	内容
公表日	2026年8月19日
発生・確認時期	2026年2月
対象組織	ジェックス株式会社
インシデント	個人情報を管理するサーバーへの不正アクセス、ランサムウェア被害
侵入経路	確認できませんでした
対象情報	ジェックスへ問い合わせを行った顧客の個人情報
氏名・住所・電話番号・メールアドレス等を含むデータ	77,619件
氏名のみのデータ	1,360件
個人情報の状態	一時的に侵入者から閲覧可能な状態だったことを確認
外部流出	専門機関の調査では確認されず
不正利用	8月19日時点で確認されず
個人情報保護委員会への報告	完了
警察への対応	管轄警察署へ相談・届出
再発防止	管理・セキュリティシステム導入、管理サーバー移管、管理体制見直し、従業員教育

2月のランサムウェア被害、約半年後に調査結果を公表

ジェックスは2026年2月、同社サーバーに対する外部からの不正アクセスを確認しました。

同社は対象サーバーをネットワークから遮断するなどの初動対応を行い、外部のセキュリティ専門機関へ詳細調査を依頼しています。

2月6日の第一報では、同社サーバーの一部でランサムウェアによる障害が発生していることを公表し、影響範囲の調査、復旧作業、原因究明を進めていました。

セキュリティ対策Labでも第一報をアクアリウム、爬虫類用品開発のジェックス、ランサムウェアの被害を公表で取り上げています。

第一報の時点では、個人情報や機密情報が外部へ流出したかどうかは「調査中」でした。

今回の8月19日の続報によって、不正アクセスを受けたサーバー内の個人情報が侵入者から閲覧可能な状態にあったことと、対象となる情報の件数が明らかになりました。

7万7,619件の顧客情報が一時的に閲覧可能な状態

今回、影響対象として確認されたのは、ジェックスへ問い合わせを行った顧客の個人情報です。

同社が公表した対象情報は次の2区分です。

区分	件数
氏名、住所、電話番号、メールアドレスなどを含むデータ	77,619件
氏名のみのデータ	1,360件

ここで重要なのは、ジェックスが「侵入者に閲覧された」と断定しているのではなく、「一時的に侵入者に閲覧可能な状態にあった」と説明している点です。

つまり、不正アクセスを受けた環境から個人情報へ到達できる状態だったことは確認されていますが、攻撃者が7万7,619件すべてを実際に開いて閲覧したことが確認されたわけではありません。

また、2区分を単純に合算すると7万8,979件になりますが、ジェックス自身は合計件数として7万8,979件とは公表していません。

そのため、本記事でも公式発表どおり「7万7,619件」と「1,360件」を分けて記載します。

「閲覧可能」と「外部流出」は別

今回の調査結果では、個人情報が侵入者から閲覧可能な状態にあったことが判明しています。

一方、外部のセキュリティ専門機関による詳細調査では、個人情報を外部へ持ち出したことを示す事実は確認されませんでした。

ジェックスは「お客様の個人情報の外部への漏洩（流出）および不正利用の事実は確認されておりません」と説明しています。

そのため、本件について、

「7万7,619件の個人情報が漏えいした」

と断定するのは現時点では適切ではありません。

確認されている事実は、

「不正アクセスを受けたサーバーに個人情報が存在した」
「侵入者から一時的に閲覧可能な状態だった」
「外部への流出を示す事実は確認されていない」

という3点です。

ランサムウェア事案では、ファイル暗号化と同時にデータを外部へ窃取する二重恐喝型の攻撃もありますが、ジェックスの今回の調査では外部流出を確認したとの発表はありません。

対象は「問い合わせをした顧客」の個人情報

今回対象になったのは、ジェックスの商品を購入したすべての顧客や、オンラインショップ利用者全体と公表されているわけではありません。

公式発表では「当社にお問い合わせをいただいたお客様の個人情報」と説明されています。

したがって、GEX CLUB会員、オンラインショップ利用者、製品購入者などが一律に対象になったと解釈するのは適切ではありません。

一方、問い合わせ情報には氏名だけでなく、住所、電話番号、メールアドレスなど複数の連絡先情報が含まれるデータが多数存在していました。

問い合わせ管理システムやカスタマーサポート環境は、顧客対応のために複数の個人情報を集約するため、侵害された場合の影響範囲が大きくなりやすい領域です。

個人情報保護委員会へ報告、警察にも相談・届出

ジェックスは本件について、個人情報保護法に基づく「個人情報の漏えい等のおそれ」が生じた事案として、個人情報保護委員会への報告を完了しています。

また、管轄の警察署にも相談と届出を行っています。

連絡先となるメールアドレスを把握している対象者については、順次個別にメールで通知しています。

連絡先が不明な対象者については、8月19日の公式発表をもって報告に代えるとしています。

侵入経路・ランサムウェアの種類は公表されていない

8月19日の調査結果では、ランサムウェア攻撃が発生したことと、個人情報を管理するサーバーが侵害されたことは確認されています。

一方、攻撃の技術的な詳細は公表されていません。

現時点で確認できないのは、主に次の項目です。

• インターネットからの具体的な侵入経路
• VPNやリモートアクセス機器の関与
• 悪用された脆弱性
• 認証情報の窃取・不正利用
• フィッシングメールの関与
• ランサムウェアの種類・ファミリー
• 攻撃グループ・脅威アクター
• 身代金要求の有無
• データ窃取を示す具体的な通信・ログ

そのため、公開情報だけから侵入原因を推測することはできません。

再発防止策としてセキュリティシステムや管理サーバーを強化するとしていますが、これらの対策から今回の具体的な侵入手法を逆算することも避けるべきです。

二次被害は確認されず、フィッシングや不審な郵便物に注意

ジェックスは8月19日時点で、対象となる顧客情報の不正利用を確認していません。

一方、二次被害防止のため、不審な電話やメール、フィッシング、心当たりのない代引き郵便物などに注意するよう呼びかけています。

仮に氏名、住所、電話番号、メールアドレスなどが第三者へ取得されていた場合には、今後以下のような二次被害が想定されます。

• ジェックスを装ったフィッシングメール
• カスタマーサポートを装った電話
• 製品交換や返金を装った連絡
• 氏名や住所を利用した詐欺郵便
• 電話番号を使ったなりすましや詐欺電話
• 公開情報を組み合わせたソーシャルエンジニアリング

これらは8月19日時点で実際に発生した被害ではありません。

ジェックス自身も、現在まで外部流出や不正利用は確認されていないとしています。

再発防止で管理システムとサーバー環境を刷新

ジェックスは再発防止策として、情報セキュリティ体制を抜本的に強化するとしています。

公表された対策は次の3点です。

• 新たな管理システム・セキュリティシステムの導入
• より高い安全性を備えた管理サーバーへのシステム移管
• 社内の情報管理体制の見直しと従業員へのセキュリティ教育の再徹底

具体的な製品名、EDR・MDRなどの導入有無、ネットワーク構成、認証方式などは明らかにされていません。

また、ランサムウェアが侵入した直接原因と各再発防止策の対応関係についても公表されていません。

ジェックスはアクアリウム・ペット用品を開発・製造

ジェックスは大阪府東大阪市に本社を置き、アクアリウム、小動物、犬・猫、爬虫類向け用品の開発・製造を手がけています。

公式の企業情報によると、1977年設立で、2024年12月末時点の従業員数は役員を除き130人です。

今回のランサムウェア被害では、2月10日に商品出荷に関する第二報も公表されており、インシデント初期には業務面への影響も生じていました。

8月19日の調査結果は、主に個人情報への影響と再発防止策について整理したものです。

情報システム部門への示唆

今回の事案で最も重要なのは、「外部流出が確認されなかったから影響なし」とはならない点です。

侵入者が個人情報へアクセス可能な状態になった時点で、組織はどの情報がどこに保存されていたか、攻撃者がどこまで到達できたかを確認する必要があります。

特にカスタマーサポートや問い合わせ管理のシステムでは、氏名、メールアドレス、住所、電話番号などが一つのレコードに集約されやすく、侵害時の影響が大きくなります。

情報システム部門では、次の項目を確認したいところです。

• 問い合わせ管理システムに保存する個人情報を必要最小限にしているか
• 問い合わせ完了後の保存期間を定義しているか
• 古い問い合わせデータを定期的に削除・匿名化しているか
• カスタマーサポート用サーバーを他の業務システムから適切に分離しているか
• 管理者権限を必要最小限にしているか
• インターネットから到達可能な管理機能を把握しているか
• サーバー、VPN、リモートアクセス機器の脆弱性を継続的に管理しているか
• EDRやサーバーログで不審なファイルアクセスを追跡できるか
• 外部への大量通信やデータ持ち出しを検知できるか
• バックアップを攻撃者から変更・削除されにくい環境へ分離しているか

また、フォレンジック調査では「流出した証拠を見つける」だけでなく、「流出していないとどこまで判断できるか」が問題になります。

必要な通信ログやファイルアクセスログが短期間で消えてしまう環境では、侵入から数カ月後に外部流出の有無を検証することが難しくなります。

ランサムウェア対策では、侵入防止やバックアップだけでなく、インシデント発生後に攻撃者の行動を再現できるだけのログ保持も重要です。

今回のジェックスの事案では、不正アクセスを受けた顧客情報が侵入者から閲覧可能な状態だったことまで判明しましたが、外部への流出や不正利用は確認されませんでした。

第一報で「調査中」だった情報について、約半年後に対象範囲と調査結果を具体的に公表した点も、インシデント対応と対外説明を考えるうえで参考になる事例です。

出典

• 【重要】ランサムウェア攻撃による個人情報漏えいの調査結果および再発防止策について – ジェックス株式会社
• 企業情報 – ジェックス株式会社
• アクアリウム、爬虫類用品開発のジェックス、ランサムウェアの被害を公表 – セキュリティ対策Lab