シーイーシー、ランサムウェア攻撃の最終報　情報漏えい「なし」を確認、社内調査を完了

株式会社シーイーシーは2026年9月3日、東京第二データセンターで発生したランサムウェア攻撃について最終報を公表しました。

同社は、調査委員会および第三者専門機関による調査を進めた結果、社内調査を完了し、サービスの安全性を確認したとしています。

今回の最終報で最も大きな更新点は、情報漏えいに関する判断です。8月21日の続報では、顧客から預かっているシステムやデータ、個人情報、同社の機密情報について「外部へ流出した事実は現時点で確認されていない」としていました。

9月3日の最終報では、攻撃を受けた領域の外部通信記録やトラフィックデータ、復元したデータ、各種ログを解析した結果、「攻撃により情報漏えいが発生していないことを確認」としています。

また、攻撃を受けた領域は顧客から預かっているシステムやデータとは別領域であり、関連システムについても影響および情報漏えいがないと判断しました。

ランサムウェアの種別と侵入経路は特定済みですが、具体的な名称や侵入方法についてはセキュリティ上の理由から公表していません。

シーイーシーのランサムウェア攻撃 最終報のサマリー

• 【確認済み】シーイーシーは2026年9月3日、データセンターサービス障害に関する最終報を公表しました。
• 【確認済み】社内調査は完了し、サービスの安全性を確認したとしています。
• 【確認済み】ランサムウェアの種別と侵入経路は特定済みです。
• 【確認済み】具体的なランサムウェア名や侵入経路は、セキュリティ上の理由から非公表です。
• 【確認済み】攻撃を受けた時期から障害発生日までの外部通信記録・トラフィックデータに異常な通信は確認されませんでした。
• 【確認済み】攻撃対象領域のデータを復元し、ログ解析を行った結果、攻撃による情報漏えいが発生していないことを確認しました。
• 【確認済み】攻撃対象領域は、顧客から預かっているシステムやデータとは別領域でした。
• 【確認済み】関連システムについても影響および情報漏えいがないと判断しています。
• 【確認済み】不正アクセスを受けた領域は隔離・再構築済みです。
• 【確認済み】復旧したサービスは安全な環境で提供を継続しています。
• 【確認済み】警察および個人情報保護委員会へ調査結果を報告しました。
• 【確認済み】再発防止として、インターネット接続機器・通信経路の再評価、総点検、ネットワーク防衛・監視体制の増強を進めます。
• 【確認できず】ランサムウェアの具体的なファミリー名、悪用された脆弱性、認証情報悪用の有無などは公表されていません。
• 【確認できず】攻撃者やランサムウェアグループ、身代金要求の有無は公表されていません。

項目	内容
最終報公表日	2026年9月3日
障害発生日	2026年8月5日11時頃
対象組織	株式会社シーイーシー
対象拠点	東京第二データセンター
インシデント	不正アクセスに起因するランサムウェア攻撃
ランサムウェア種別	特定済み、詳細非公表
侵入経路	特定済み、詳細非公表
情報漏えい	発生していないことを確認
顧客システム・データへの影響	攻撃対象とは別領域。関連システムへの影響なしと判断
外部への異常通信	攻撃時期から障害発生日までの記録で確認されず
サービス状況	安全な環境で復旧・提供継続
不正アクセス領域	隔離・再構築済み
警察への報告	実施済み、調査結果も報告
個人情報保護委員会への報告	必要な報告を実施、調査結果も報告
調査状況	社内調査完了
未公表事項	ランサムウェア名、具体的侵入経路、攻撃者、身代金要求の有無

最終報で「情報漏えいが発生していないことを確認」

9月3日の最終報では、情報漏えいについて一段階踏み込んだ結論が示されました。

シーイーシーは、攻撃を受けた時期から障害発生日までの外部への通信記録とトラフィックデータを調査し、外部への異常な通信が発生していないことを確認しました。

さらに、攻撃を受けた領域のデータを復元し、ログ解析を実施した結果、攻撃により情報漏えいが発生していないことを確認したとしています。

顧客システム・データは攻撃対象と別領域

シーイーシーは一貫して、攻撃対象となった領域が顧客から預かっているシステムやデータとは別領域であると説明しています。

最終報では、ランサムウェアの攻撃経路も特定したことを踏まえ、関連システムへの影響および情報漏えいがないと判断しました。

したがって本件について、「データセンターに預けられていた顧客データが漏えいした」「顧客システムまでランサムウェアに侵害された」と表現する根拠はありません。

一方で、一時的なサービス停止の影響を受けた顧客は存在し、同社は対象顧客への個別連絡を実施しています。

「サービス停止による業務影響」と「顧客データやシステムへの侵害」は別の論点です。

外部通信記録とトラフィックデータを調査

今回の最終報では、情報漏えいがなかったと判断した根拠の一部も明らかにされています。

同社は、攻撃を受けた時期から障害発生日までの外部通信記録およびトラフィックデータを確認し、外部への異常な通信が発生していないことを確認しました。

さらに、攻撃を受けた領域のデータを復元し、ログ解析を実施しています。

ランサムウェア事案で情報窃取の有無を判断する際には、単に攻撃者の公開サイトに掲載されていないことだけでは不十分です。

今回の最終報では、外部通信・トラフィックと復元データ・ログ解析の結果を基に、情報漏えいなしという判断に至っています。

ランサムウェア名と具体的な侵入経路は非公表

ランサムウェアの種別と侵入経路については、8月21日までに特定されています。

ただし、具体的なランサムウェアファミリー名や侵入経路については、最終報でも公表されませんでした。

そのため、

• VPNやリモートアクセス機器の脆弱性が悪用されたのか
• 有効な認証情報が悪用されたのか
• フィッシングメールが起点だったのか
• 公開サーバーの脆弱性が悪用されたのか
• 既知CVEが関係したのか

といった具体的な侵入方法は確認できません。

攻撃者やランサムウェアグループ、身代金要求の有無についても公表されていません。

不正アクセス領域を隔離・再構築

シーイーシーは、不正アクセスを受けた領域を隔離したうえで再構築しています。

復旧したサービスについても、安全な環境で提供を継続しているとしています。

8月21日の続報では、影響を受けたサービスを別環境で復旧したことが明らかにされていました。

警察と個人情報保護委員会へ最終結果を報告

本件では、一時的なサービス停止の影響を受けた顧客への個別連絡に加え、警察への相談・報告、個人情報保護委員会への必要な報告が行われています。

9月3日の最終報では、今回の調査結果についても警察および個人情報保護委員会へ報告したとしています。

当初、個人情報保護委員会への報告が行われたことは「個人情報漏えいが確認された」ことを意味するものではありませんでした。

調査終了後は、情報漏えいが発生していないことを確認したという結果も報告されています。

再発防止はインターネット接続機器と通信経路の再評価

シーイーシーは再発防止策として、インターネットへ接続する機器と通信経路の再評価・総点検を実施するとしています。

さらに、ネットワーク防衛と監視体制の増強など、セキュリティ対策を強化する方針です。

今回の侵入経路そのものは公開されていません。

そのため、再発防止策でインターネット接続機器や通信経路が挙げられていることから、特定の製品や脆弱性を推測することはできません。

情報システム部門への示唆

今回の最終報で注目すべきなのは、ランサムウェア事案における「情報漏えいなし」の判断過程です。

ランサムウェア攻撃を受けた場合、暗号化の有無だけでなく、データ窃取が行われたかを別途確認する必要があります。

そのためには、外部通信ログ、トラフィックデータ、認証ログ、ファイルアクセスログ、EDRログ、プロキシ・ファイアウォールログなどを確保し、調査できる状態にしておくことが重要です。

特に、侵害発覚後にログが不足していると、「流出した事実は確認できない」という段階から「情報漏えいがなかった」と判断することが難しくなります。

また、データセンターやクラウド事業者を利用する企業では、委託先でランサムウェア攻撃が発生した場合に、自社システムが攻撃領域に含まれるか、データ領域が分離されているか、認証基盤が共通化されていないか、自社データへのアクセスログを確認できるか、といった点を確認する必要があります。

本件では最終的に顧客システムやデータへの影響はないと判断されましたが、サービス停止は実際に発生しています。

「情報漏えいがなかった」ことと「事業影響がなかった」ことは同義ではありません。委託先のサイバーインシデントに備える際は、機密性だけでなく可用性も含めたBCPを整備する必要があります。

出典

• 当社データセンターサービスの障害発生のお知らせ（最終報） – 株式会社シーイーシー
• 当社データセンターサービスの障害発生のお知らせ（続報） – 株式会社シーイーシー
• シーイーシー、データセンターへのランサムウェア侵入経路と種別を特定　顧客システム・個人情報の流出は確認されず – セキュリティ対策Lab
• シーイーシー、データセンターサービス障害はランサムウェア攻撃と確認　個人情報保護委員会へ報告 – セキュリティ対策Lab