ハンズ ホールディングス、6月のランサムウェアによるサイバー攻撃により従業員等の個人情報漏えいの恐れ、マイナンバーは「閲覧のおそれ」

ハンズホールディングス株式会社は2026年8月25日、6月に発生した社内システムへの不正アクセスについて第2報を公表し、外部からの不正アクセスとランサムウェアによる侵害が発生していたことを明らかにしました。

6月22日の第一報では、一部社内システムで「ウイルス感染の疑い」を検知したとして、感染の疑いがあるサーバーとユーザーPCを外部から遮断し、外部専門家と調査を進めていました。当時、個人情報や機密情報の外部流出は確認されていませんでした。

今回の第2報では、従業員等の氏名、従業員番号、住所、生年月日、入社年月日、メールアドレス、電話番号などについて漏えいのおそれがあると公表しました。また、退職者や扶養者を含む従業員のマイナンバーについて「閲覧のおそれがあった」としています。

重要なのは、マイナンバーの漏えいが確認されたと公表したわけではない点です。同社も「現在、漏洩の事実は確認されておりません」と明記しています。8月25日時点で個人情報の不正利用や二次被害も確認されていません。

ハンズホールディングスのランサムウェア被害のサマリー

• 【確認済み】2026年6月19日8時50分ごろ、一部社内システムでウイルス感染の疑いを検知しました。
• 【確認済み】6月22日の第一報では、不正アクセス・ウイルス感染の疑いとして公表し、感染の疑いがあるサーバーとユーザーPCを外部から遮断しました。
• 【確認済み】8月25日の第2報で、外部からの不正アクセスおよびランサムウェアによる侵害が発生していたと公表しました。
• 【確認済み】従業員等について、氏名、従業員番号、住所、生年月日、入社年月日、メールアドレス、電話番号、その他人事・労務管理情報に漏えいのおそれがあります。
• 【確認済み】対象には退職者と扶養者も含まれます。
• 【確認済み】従業員、退職者、扶養者のマイナンバーについて「閲覧のおそれがあった」としています。
• 【重要】マイナンバーの漏えい事実は確認されていません。
• 【確認済み】8月25日時点で、不正利用や二次被害は確認されていません。
• 【確認済み】外部セキュリティ専門企業と引き続き調査し、セキュリティ体制を強化しています。
• 【未確認】対象となる人数・件数は公表されていません。
• 【未確認】侵入経路、悪用された脆弱性、ランサムウェアの種類、攻撃主体は公表されていません。
• 【未確認】暗号化されたシステムや業務影響の詳細、身代金要求・支払いの有無は公表されていません。
• 【未確認】個人情報保護委員会や警察への報告状況は、第2報では確認できませんでした。

項目	内容
第2報公表日	2026年8月25日
第一報公表日	2026年6月22日
検知日時	2026年6月19日 8時50分ごろ
対象組織	ハンズホールディングス株式会社
インシデント	外部からの不正アクセス、ランサムウェアによる侵害
個人情報への影響	従業員等の一部情報に漏えいのおそれ
マイナンバー	閲覧のおそれ。漏えい事実は未確認
対象者	従業員、退職者、扶養者
対象件数	公表されていません
二次被害	8月25日時点で確認されず
侵入経路	公表されていません
ランサムウェアの種類	公表されていません
攻撃主体	公表されていません
調査	外部セキュリティ専門企業と継続中
個人情報保護委員会への報告	公表情報では確認できず

6月19日に検知、第一報では「ウイルス感染の疑い」

ハンズホールディングスは6月22日、一部社内システムにおいて外部からの不正アクセスとウイルス感染の疑いがある事象を確認したと公表しました。

検知したのは6月19日8時50分ごろです。

同社は被害拡大を防ぐため、ウイルス感染の疑いがあるサーバーとユーザーPCを外部から遮断しました。この措置によって一部システムが停止していました。

第一報では、個人情報や機密情報の外部流出は確認されていないとしつつ、外部専門機関と流出の有無を含めて調査するとしていました。

セキュリティ対策Labでも6月25日、第一報を基に「総合建築事業のハンズホールディングスで不正アクセス・ウイルス感染の疑い」として記事化しています。

今回の第2報では、当時「疑い」とされていたインシデントについて、ランサムウェアによる侵害だったことが新たに確認されました。

第2報で「ランサムウェアによる侵害」を明示

8月25日の第2報で、ハンズホールディングスは発生した内容を「外部から当社社内システムへの不正アクセスおよびランサムウェアによる侵害」と明記しました。

第一報の「ウイルス感染の疑い」から、インシデントの性質が具体化した形です。

ただし、ランサムウェアの名称、攻撃グループ、暗号化された端末・サーバーの範囲は公表されていません。

侵入経路についても、VPNやリモートアクセス機器、認証情報、脆弱性などのどれが悪用されたのかは明らかになっていません。

身代金要求の有無や支払いの有無も確認できません。

そのため、特定のランサムウェアグループとの関連を推測することは避ける必要があります。

従業員・退職者・扶養者の個人情報に漏えいのおそれ

今回、新たに影響が明らかになったのが人事・労務関連情報です。

ハンズホールディングスは、従業員等について次の情報に漏えいのおそれがあるとしています。

• 氏名
• 従業員番号
• 住所
• 生年月日
• 入社年月日
• メールアドレス
• 電話番号
• その他、人事・労務管理に関する情報

対象には現役従業員だけでなく、退職者と扶養者も含まれます。

一方、対象人数や、どの対象者についてどの情報項目が影響したのかは公表されていません。

また、「漏えいのおそれ」としており、これらすべての情報について攻撃者による外部取得が確認されたと公表したものではありません。

したがって、今後対象人数が公表された場合でも、それをそのまま「漏えい件数」と表現できるかは調査結果を確認する必要があります。

マイナンバーは「閲覧のおそれ」、漏えい確認ではない

第2報では、従業員、退職者、扶養者のマイナンバーについて「閲覧のおそれがあった」としています。

一般の個人情報については「漏洩のおそれがある」と表現する一方、マイナンバーについては「閲覧のおそれ」と表現を分けています。

さらに同社は、マイナンバーについて「現在、漏洩の事実は確認されておりません」と明記しています。

このため、本件を「マイナンバーが流出」「マイナンバー漏えい」と断定するのは適切ではありません。

現時点で確認されているのは、ランサムウェアによる侵害の中でマイナンバーを第三者が閲覧できた可能性がある、という段階です。

今後の調査では、対象システムへのアクセスログ、ファイルアクセス、外部転送などの痕跡から、実際の閲覧・取得の有無がどこまで確認できるかが重要になります。

マイナンバーは条件を満たせば変更請求が可能

ハンズホールディングスは対象者に対し、マイナンバーについて不安がある場合は、住民票のある市区町村で変更手続きを行うよう案内しています。

デジタル庁によると、マイナンバーは原則として生涯同じ番号を使用し、自由に変更することはできません。

ただし、マイナンバーが漏えいし、不正に用いられるおそれがあると認められる場合には、本人の申請または市区町村長の職権によって変更できます。

個人情報保護委員会も、個人番号が漏えいして不正利用されるおそれがある場合、本人が市区町村へ変更を請求できることを案内しています。

今回、ハンズホールディングスはマイナンバーの漏えい自体は確認していません。変更が認められるかどうかは、個別に市区町村で確認することになります。

不正利用・二次被害は現時点で確認されず

同社は8月25日時点で、漏えいのおそれがある個人情報について不正利用や二次被害の事実は確認していないとしています。

一方、対象者に対し、身に覚えのない電話、メール、郵便物などの不審な連絡が入る可能性があるとして注意を呼びかけています。

今回の情報には氏名、住所、生年月日、メールアドレス、電話番号、人事・労務情報などが含まれる可能性があります。

今後想定されるリスクとしては、会社や人事部門を装ったフィッシング、本人確認を装う連絡、退職者や家族を対象としたなりすましなどが考えられます。

ただし、現時点でこうした二次被害が実際に発生したとの公表はありません。

第一報では取引先へ「なりすましメール」に注意喚起

6月22日の第一報では、取引先に対して、同社従業員を装った不審メールが送信される可能性があるとして注意を呼びかけていました。

従業員からのメールで、身に覚えのない添付ファイルやURLが記載されている場合には開封せず削除するよう求めています。

今回の第2報では、漏えいのおそれがある情報として主に従業員等の人事・労務情報が公表されており、取引先情報の漏えいについては記載されていません。

したがって、第一報の取引先向け注意喚起をもって「取引先情報も漏えいした」と判断することはできません。

対象人数や具体的なデータ取得状況は未公表

第2報で影響する情報の種類は具体化しましたが、人数・件数は明らかにされていません。

また、「漏えいのおそれ」「閲覧のおそれ」という表現からは、フォレンジック調査で第三者が情報へアクセス可能だった範囲を確認した一方、実際の外部持ち出しを完全には確認できていない可能性があります。

ただし、同社は調査手法やログの状況を説明していないため、この点も推測はできません。

今後確認すべきなのは、対象人数、実際に閲覧された情報、外部取得された情報の有無、不正アクセス期間、侵入経路などです。

外部専門企業と調査継続、再発防止策の詳細は今後

ハンズホールディングスは、外部のセキュリティ専門企業と引き続き調査するとともに、セキュリティ体制を強化するとしています。

8月25日の第2報では、MFA導入やEDR導入、パスワードリセットなど具体的な再発防止策は記載していません。

そのため、特定のセキュリティ対策を実施済みと推測することはできません。

同社は、今後の調査で新たに公表すべき事項が確認された場合、ホームページで報告するとしています。

マイナンバーを含む事案では影響範囲の特定が重要

個人情報保護委員会は、マイナンバーを含む特定個人情報の漏えい等が発生した場合、事実関係の調査、原因究明、影響範囲の特定、再発防止、本人への通知などの対応を求めています。

また、漏えい等した情報にマイナンバーが含まれる場合、個人情報保護委員会への報告制度があります。

ただし、ハンズホールディングスが今回の事案について個人情報保護委員会へどのような報告を行ったかは、第2報では公表されていません。

そのため、「報告済み」「未報告」といずれも断定することはできません。

情報システム・人事部門への示唆

今回の事案では、人事・労務システムが保持する情報の重要性が改めて浮き彫りになっています。

従業員データには氏名や連絡先だけでなく、生年月日、入社年月日、家族・扶養情報、マイナンバーなど、外部へ公開されることを前提としない情報が集中しています。

まず確認したいのは、人事情報を保存するサーバーやシステムについて、アクセス権限が業務上必要な範囲に限定されているか、退職者データの保有期間が適切か、マイナンバーを一般の人事データと分離して管理しているかです。

マイナンバーは利用目的が法律で限定されているため、保管場所、アクセス可能者、ログ、削除方法などを通常の従業員情報以上に厳格に管理する必要があります。

また、ランサムウェア対策では、暗号化への備えだけでは不十分です。近年の攻撃では暗号化前にデータへアクセス・取得するケースもあるため、バックアップだけでなく、認証、権限管理、外部転送の監視、ログ保存を組み合わせる必要があります。

第2報で「漏えいのおそれ」「閲覧のおそれ」と判断されたような事案では、平時から詳細な監査ログを残しているかどうかが、実際の影響範囲を確定できるかに直結します。

今後の続報では、対象人数、マイナンバーを含むデータへの実アクセスの有無、侵入経路、ランサムウェアの種類、影響を受けたグループ会社やシステムの範囲、個人情報保護委員会への報告状況が確認ポイントになります。

出典

• 当社システムへの不正アクセスに関するお知らせ（第2報） – ハンズホールディングス
• 当社システムへの不正アクセス（ウイルス感染）の疑いに関するお知らせ – ハンズホールディングス
• よくある質問：マイナンバー（個人番号）について – デジタル庁
• 特定個人情報の漏えい等事案が発生した場合の対応について – 個人情報保護委員会
• 総合建築事業のハンズホールディングスで不正アクセス・ウイルス感染の疑い、一部社内システムを停止し調査中 – セキュリティ対策Lab