シーイーシー、データセンターへのランサムウェア侵入経路と種別を特定　顧客システム・個人情報の流出は確認されず

株式会社シーイーシーは2026年8月21日、東京第二データセンターで発生したランサムウェア攻撃について、ランサムウェアの種別と侵入経路を特定したと公表しました。

同社はセキュリティ上の理由から具体的なランサムウェア名や侵入経路の詳細を明らかにしていませんが、当該経路の遮断は完了しています。

攻撃を受けた領域はすでに隔離・遮断され、影響を受けたサービスは別環境で復旧済みです。8月21日時点で新たなサービス停止や二次被害は発生していません。

また、顧客から預かっているシステムやデータ、個人情報、シーイーシーの機密情報が外部へ流出した事実は、現時点で確認されていません。

一方で、同社は暗号化された領域のデータ復元、ログ解析、外部通信記録やトラフィックデータの精査、複数の外部専門機関によるフォレンジック調査を継続しています。

シーイーシーのランサムウェア被害 続報のサマリー

• 【確認済み】シーイーシーは2026年8月21日、東京第二データセンターで発生したランサムウェア攻撃の続報を公表しました。
• 【確認済み】障害は8月5日11時頃に東京第二データセンターで発生しました。
• 【確認済み】8月7日までの調査で、不正アクセスに起因する障害がランサムウェア攻撃によるものと確認されました。
• 【確認済み】8月21日までにランサムウェアの種別と侵入経路を特定しました。
• 【確認済み】ランサムウェア名や侵入経路の具体的な内容は、セキュリティ上の理由から公表されていません。
• 【確認済み】特定した侵入経路はすでに遮断されています。
• 【確認済み】攻撃を受けた領域は顧客から預かっているシステムやデータとは別領域でした。
• 【確認済み】影響を受けたサービスは別環境で復旧済みです。
• 【確認済み】8月21日時点で新たなサービス停止や二次被害は発生していません。
• 【確認済み】顧客システム・データ、個人情報、同社機密情報の外部流出は現時点で確認されていません。
• 【確認済み】警察および個人情報保護委員会への報告は完了しています。
• 【確認済み】一時的なサービス停止の影響を受けた顧客への個別連絡は完了しています。
• 【確認できず】ランサムウェアの具体的なファミリー名は公表されていません。
• 【確認できず】悪用された脆弱性、認証情報の悪用有無、具体的な侵入手法は公表されていません。
• 【確認できず】攻撃者・ランサムウェアグループ、身代金要求の有無は公表されていません。

項目	内容
最新公表日	2026年8月21日
障害発生	2026年8月5日11時頃
対象組織	株式会社シーイーシー
対象拠点	東京第二データセンター
インシデント	不正アクセスに起因するランサムウェア攻撃
ランサムウェア種別	特定済み、詳細非公表
侵入経路	特定済み、詳細非公表
侵入経路への対応	遮断済み
顧客システム・データとの関係	攻撃対象は別領域
情報流出	顧客データ、個人情報、同社機密情報の外部流出は現時点で確認されず
サービス状況	影響サービスは別環境で復旧済み
新たな停止・二次被害	8月21日時点で発生なし
個人情報保護委員会への報告	完了
警察への報告	完了
フォレンジック調査	継続中

8月5日、東京第二データセンターで障害

シーイーシーは8月6日の第一報で、8月5日11時頃、東京第二データセンターにおいて不正アクセスに起因する障害が発生したと公表しました。

第一報の時点ではサービスは復旧していましたが、サイバー攻撃の影響を受けた可能性があるとして原因調査を進めていました。

翌8月7日の続報で、不正アクセスに起因する障害がランサムウェアによる攻撃だったことを正式に確認しました。

この時点で警察へ被害を報告するとともに、個人情報保護委員会には「情報漏えいの可能性がある事案」として第一報を入れていました。

一方、8月7日までの調査では情報漏えいは確認されておらず、攻撃対象となった領域についても、顧客から預かっているシステムやデータとは別領域であることが判明していました。

8月21日、ランサムウェア種別と侵入経路を特定

8月21日の続報では、調査の進展によってランサムウェアの種別と侵入経路を特定したことが新たに明らかになりました。

ただし、シーイーシーはセキュリティ上の観点から詳細の公表を差し控えています。

そのため現時点では、

• どのランサムウェアファミリーだったのか
• VPNやリモートアクセス機器が関係したのか
• 認証情報が悪用されたのか
• 既知の脆弱性が悪用されたのか
• フィッシングや端末侵害が起点だったのか

といった具体的な技術情報は確認できません。

特定された侵入経路については、すでに遮断を完了しています。

「侵入経路を特定した」という事実から、特定の脆弱性や製品を推測することは避けるべきです。

攻撃領域は顧客システム・データと別

今回の事案で重要なのは、攻撃を受けた領域と顧客環境の関係です。

シーイーシーは8月7日時点で、攻撃対象となった領域は「お客様からお預かりしているシステムやデータとは別領域」と説明しています。

8月21日の続報でも、顧客から預かっているシステムやデータ、個人情報、シーイーシーの機密情報が外部へ流出した事実は確認されていないとしています。

したがって現時点で、

「シーイーシーのデータセンター顧客データが流出した」

と表現する根拠はありません。

一方、ランサムウェア攻撃によるサービス停止は実際に発生しており、一時的なサービス停止の影響を受けた顧客への個別連絡は完了しています。

「顧客データが侵害されたか」と「顧客サービスに停止影響があったか」は分けて考える必要があります。

影響サービスは別環境で復旧

攻撃を受けた領域については速やかに隔離・遮断が行われました。

影響を受けたサービスについては、別環境を利用して復旧しています。

8月21日時点で新たなサービス停止や二次被害は発生していません。

これは攻撃を受けた環境をそのまま復旧させるのではなく、別環境を利用してサービスを再開したことを意味します。

ランサムウェア対応では、侵害された環境を十分に確認しないままオンラインへ戻すと、攻撃者の永続化手段や残存した認証情報を通じて再侵入される可能性があります。

今回の具体的な復旧設計は公表されていませんが、攻撃対象領域を隔離したうえで別環境からサービスを復旧したことは確認できます。

暗号化領域の復元とログ解析を継続

サービスは復旧していますが、フォレンジック調査そのものは終了していません。

シーイーシーは現在、以下の対応を続けています。

• 攻撃により暗号化された領域のデータ復元
• 各種ログの解析
• 外部との通信記録の精査
• トラフィックデータの精査
• 社内および複数の外部専門機関によるフォレンジック調査
• 関連システムの監視強化
• 外部サイトの監視

特に外部通信記録やトラフィックデータの精査は、攻撃者がデータを外部へ持ち出していないかを判断する重要な材料になります。

8月21日時点で外部流出は確認されていませんが、調査を継続していることから、今回の公表を「最終報」と位置付けるのは適切ではありません。

警察・個人情報保護委員会への報告を完了

本件について、シーイーシーは警察および個人情報保護委員会への報告を完了しています。

個人情報保護委員会については8月7日の時点で、情報漏えいの可能性がある事案として第一報を入れたことを公表していました。

8月21日の続報では、両機関への報告が完了したとしています。

ただし、個人情報が実際に流出したことが確認されたという意味ではありません。

8月21日時点でも、個人情報を含む対象情報の外部流出は確認されていません。

第一報から続報までの情報推移

今回の公表を時系列で整理すると、調査の進展が分かります。

公表日	主な内容
8月6日・第一報	8月5日11時頃、東京第二データセンターで不正アクセスに起因する障害。サービスは復旧済み。サイバー攻撃の可能性を調査
8月7日・続報	ランサムウェア攻撃と確認。攻撃対象領域は顧客システム・データとは別。情報漏えいは確認されず。警察・個人情報保護委員会へ報告
8月21日・続報	ランサムウェア種別と侵入経路を特定。経路は遮断済み。顧客データ、個人情報、同社機密情報の流出は確認されず。フォレンジック調査継続

8月21日の続報で大きく更新されたのは、「ランサムウェアによる攻撃」という確認からさらに進み、種別と侵入経路まで特定した点です。

一方、具体的な攻撃手法やランサムウェア名は非公表であり、攻撃者の帰属も明らかになっていません。

データセンター事業者で重要になる顧客環境との分離

今回のようなデータセンター事業者のインシデントでは、自社管理領域と顧客環境を分けて影響範囲を確認することが重要です。

同じデータセンター内であっても、

• 事業者自身の管理システム
• 運用監視環境
• 顧客向けサービス基盤
• 顧客が預けているシステム
• 顧客データ
• バックアップ環境

は、それぞれ異なるネットワークや権限で管理されている場合があります。

今回、シーイーシーは攻撃対象領域が顧客から預かっているシステムやデータとは別領域だったと説明しています。

この分離がどのような技術構成で実現されていたかは公表されていませんが、サービス事業者のインシデントでは「事業者が侵害された」という事実だけから、全顧客環境が侵害されたと解釈すべきではありません。

逆に、サービス停止が顧客へ波及した場合は、情報漏えいがなくても可用性の観点では影響が発生します。

情報システム部門への示唆

クラウドやデータセンター、マネージドサービスを利用する企業にとって、今回の事案は委託先・サービス提供者側のランサムウェア対策を確認する機会になります。

まず、自社が利用するサービスについて「どの領域まで事業者が管理しているか」を把握する必要があります。

障害発生時に、

• 顧客環境と事業者管理環境が分離されているか
• 別環境でサービスを復旧できるか
• バックアップが侵害領域と分離されているか
• 外部通信ログを十分な期間保持しているか
• フォレンジック調査に必要なログが残るか
• インシデント時の通知条件や連絡窓口が契約上定められているか

を確認しておくと、委託先で障害が発生した際の判断が早くなります。

また、「情報漏えいがないから影響なし」と考えないことも重要です。

今回のシーイーシーの事案では、現時点で顧客データ等の外部流出は確認されていない一方、一時的なサービス停止は発生しています。

企業のサプライチェーンリスク評価では、機密性だけでなく可用性も評価対象に含める必要があります。

特に基幹業務や顧客向けサービスをデータセンター・クラウド事業者へ依存している場合、サービス提供者が停止した際の代替手段、RTO、RPO、復旧時の接続先変更などを事前に確認しておくべきです。

シーイーシーは今後も外部専門機関と連携し、新たな情報が判明した場合には適宜開示するとしています。

今回の続報は侵入経路とランサムウェア種別の特定まで進んだ段階であり、フォレンジック調査が完了した最終報ではありません。今後、侵害期間やデータ持ち出しの有無、再発防止策などが追加公表されるかが確認ポイントになります。

出典

• 当社データセンターサービスの障害発生のお知らせ（続報） – 株式会社シーイーシー
• 当社データセンターサービスの障害発生のお知らせ（続報） – 株式会社シーイーシー
• 当社データセンターサービスの障害発生のお知らせ（第1報） – 株式会社シーイーシー