フェースグループ、ランサムウェアの侵入経路はVPN機器　顧客のID・パスワード含む個人情報流出は否定できず

フェースグループは2026年8月21日、6月に発生したランサムウェアによるサイバー攻撃について、外部専門機関による調査結果と再発防止策を公表しました。

調査の結果、6月18日22時46分頃、外部との通信に使用するVPN機器を経由して第三者が同社システムへ不正侵入したことが判明しました。侵入後、一部のサーバーやパソコンが不正に操作され、データの暗号化や消去が行われています。

不正アクセスを受けたサーバーには、顧客の氏名、生年月日、性別、住所、電話番号、メールアドレス、ログインID、パスワードが保存されていました。

現時点で、これらの個人情報が外部へ持ち出されたことを示す具体的な痕跡や、不正利用による被害は確認されていません。一方、調査では外部流出を完全に否定するまでには至らなかったとしており、フェースグループは継続的な監視と確認を続けています。

フェースグループのランサムウェア攻撃 続報のサマリー

• 【確認済み】2026年8月21日、フェースグループがランサムウェア攻撃の調査結果と再発防止策を公表しました。
• 【確認済み】第三者による最初の侵入は、6月18日22時46分頃だったことが判明しました。
• 【確認済み】第三者は、外部との通信に使用するVPN機器を経由してフェースグループのシステムへ侵入しました。
• 【確認済み】侵入後、一部のサーバーおよびパソコンが不正に操作され、データの暗号化や消去が行われました。
• 【確認済み】不正アクセスを受けたサーバーには、氏名、生年月日、性別、住所、電話番号、メールアドレス、ログインID、パスワードが保存されていました。
• 【確認済み】個人情報が外部へ持ち出されたことを示す具体的な痕跡は確認されていません。
• 【確認済み】一方、個人情報の外部流出を完全に否定するまでには至っていません。
• 【確認済み】ECサイト自体への不正侵入は確認されていません。
• 【確認済み】フェースグループはECサイト利用者にパスワード変更を求め、同じID・パスワードを他サービスで使っている場合も変更するよう案内しています。
• 【確認済み】社内PCは安全性を確認した端末への切り替えを完了しています。
• 【確認済み】システム全体の復旧は2026年10月末頃を見込んでいます。
• 【確認済み】個人情報保護委員会へ法令に基づく報告を実施しています。
• 【確認できず】対象となる顧客の人数・件数は公表されていません。
• 【確認できず】VPN機器を経由した具体的な侵入手法、悪用された脆弱性、認証情報の悪用有無は公表されていません。
• 【確認できず】保存されていたパスワードが平文、ハッシュ化、その他どの形式だったかは公表されていません。
• 【確認できず】攻撃者・ランサムウェアグループ、ランサムウェアの種類、身代金要求の有無は公表されていません。

項目	内容
最新公表日	2026年8月21日
不正侵入時刻	2026年6月18日22時46分頃
システム障害発生日	2026年6月19日
対象組織	フェースグループ
インシデント	外部からの不正アクセス、ランサムウェア攻撃
侵入経路	外部との通信に使用するVPN機器を経由
侵害対象	一部のサーバー、パソコン
確認された被害	データの暗号化、消去
サーバーに保存されていた個人情報	氏名、生年月日、性別、住所、電話番号、メールアドレス、ログインID、パスワード
個人情報流出	外部持ち出しを示す具体的痕跡は確認されず。ただし外部流出を完全には否定できず
対象件数	公表されていません
ECサイト自体への侵入	確認されていません
パスワード保存形式	確認できませんでした
全面復旧見込み	2026年10月末頃
個人情報保護委員会への報告	実施済み
警察への相談・申告	公表資料では確認できませんでした

6月18日22時46分頃、VPN機器を経由して不正侵入

8月21日の調査結果で、これまで明らかになっていなかった侵入経路と時刻が公表されました。

フェースグループによると、2026年6月18日22時46分頃、第三者が「外部との通信に使用するVPN機器」を経由して同社システムへ不正に侵入しました。

その後、一部のサーバーとパソコンが不正に操作され、データの暗号化や消去が行われたことが確認されています。

これまでの公表では、6月19日にシステム障害が発生したことが案内されていました。今回の調査によって、実際の不正侵入はシステム障害が表面化する前日の夜に始まっていたことが判明した形です。

ただし、VPN機器に存在した脆弱性が悪用されたのか、認証情報が不正利用されたのか、設定不備が関係したのかなど、VPN機器を突破した具体的な手法は公表されていません。

そのため、「VPNの脆弱性が原因」「VPNアカウントが窃取された」と断定することはできません。

セキュリティ対策Labでは、6月26日の第三報について、フェースグループ、ランサムウェアによるサイバー攻撃を正式確認-第三報でID・パスワード漏えいの調査継続を公表で取り上げています。

第三報の時点では侵入経路は開示されておらず、ID・パスワードの漏えい範囲について調査中とされていました。今回の続報で、VPN機器経由の侵入と、対象サーバーに保存されていた情報の種類が新たに明らかになりました。

氏名・住所・ログインID・パスワードが侵害サーバーに保存

不正アクセスを受けたサーバーには、顧客に関する次の情報が保存されていました。

• 氏名
• 生年月日
• 性別
• 住所
• 電話番号
• メールアドレス
• ログインID
• パスワード

フェースグループは、これらの個人情報が外部に持ち出されたことを示す具体的な痕跡は確認されていないとしています。

一方、外部専門機関による調査を経ても「個人情報の外部流出を完全に否定するまでには至らなかった」としています。

したがって現時点では、

「顧客情報が流出したことが確認された」

とも、

「情報流出はなかった」

とも断定できません。

正確には、不正アクセスを受けたサーバーに個人情報が保存されており、外部持ち出しの具体的痕跡は確認されていないものの、流出の可能性を完全には否定できない状態です。

対象人数・件数は公表されず

8月21日の公表では、影響を受ける可能性がある顧客の人数やレコード件数は明らかにされていません。

また、どの期間にECサイトを利用した顧客が対象になるのかも公表されていません。

第三報ではID・パスワードの漏えい範囲を調査していると説明していましたが、今回の調査結果でも対象件数は示されていません。

「保存されていた情報の種類」が明らかになった一方で、「誰の情報が何件存在したのか」という規模については、引き続き公開情報から確認できません。

パスワードの保存形式は明らかにされていない

今回、対象サーバーに「パスワード」が保存されていたことが明記されました。

一方、フェースグループはパスワードがどのような形式で保存されていたかを公表していません。

平文で保存されていたのか、ハッシュ化されていたのか、ソルトなどを用いた処理が行われていたのかは確認できません。

したがって、「攻撃者がそのまま利用できるパスワードを取得した」と断定することもできません。

フェースグループは安全確保のため、ECサイト利用者に対してパスワード変更を求めています。

また、同じID・パスワードを他のサービスでも使用している場合には、それらのサービスでも異なるパスワードへ変更するよう案内しています。

この対応は、仮に認証情報が第三者に取得されていた場合のパスワードリスト攻撃やアカウント不正利用に備える措置といえます。

ECサイト自体への不正侵入は確認されず

今回の続報では、ECサイト自体への不正侵入は確認されていないことも明記されました。

不正アクセスを受けたのは、ECサイト利用者のログインIDとパスワードを保存していた「社内のサーバー」です。

このため、

「ECサイトが直接侵害された」

という説明は正確ではありません。

一方で、ECサイトの認証情報を保存する社内サーバーが不正アクセスを受けたため、ECサイト利用者にはパスワード変更が求められています。

システムの侵害箇所と、影響する可能性のあるサービスを分けて把握する必要があります。

クレジットカード情報は第三報で「漏えい確認なし」

6月26日の第三報では、クレジットカード情報について「現時点において、クレジットカード情報の漏えいは確認されておりません」と公表されていました。

8月21日の調査結果では、侵害サーバーに保存されていた顧客情報として氏名、住所、電話番号、メールアドレス、ログインID、パスワードなどが列挙されていますが、クレジットカード情報について新たな説明はありません。

そのため、本記事では「8月21日時点でクレジットカード情報の安全が改めて確認された」とは表現せず、第三報で確認されていた内容として整理します。

受注・出荷は通常水準へ、全面復旧は10月末を予定

業務復旧も段階的に進んでいます。

6月19日の障害発生後、ECサイトの注文商品の発送手続きが停止しましたが、6月24日に発送手配を再開しました。

8月7日の第四報では、受注・出荷業務について障害発生前に近い仮稼働体制を構築し、注文から出荷までのリードタイムが通常の状態へ戻ったと公表しています。

一方、その時点では障害期間中の売上計上、納品書、請求書等の発行処理は継続していました。

8月21日の続報では、社内で使用するパソコンについて安全性を確認した端末への切り替えを完了したとしています。

システム全体の復旧は2026年10月末頃を見込んでおり、インシデント発生から全面復旧まで4カ月超を要する見込みです。

再発防止で認証・VPN周辺・監視・バックアップを見直し

フェースグループは外部専門機関の協力のもと、以下の再発防止策を進めています。

• 不正侵入の経路となった機器およびネットワーク環境の見直し
• 認証方式の強化
• 端末およびサーバーのセキュリティ対策強化
• ネットワーク監視体制の強化
• バックアップ環境および復旧体制の再整備

侵入経路となったVPN機器だけでなく、認証、エンドポイント、サーバー、監視、バックアップまで複数層を対象としています。

ただし、具体的に多要素認証を導入するのか、VPN機器を置き換えるのか、EDR・MDR等を導入するのかといった製品・技術レベルの詳細は公表されていません。

個人情報保護委員会へ法令に基づき報告

フェースグループは本件の発覚後、速やかに個人情報保護委員会へ法令に基づく報告を実施したとしています。

現在も同委員会の指示や助言を踏まえ、必要な対応を続けています。

今後の監視や調査によって、新たに公表すべき事実や個人情報の流出が確認された場合には、対象顧客へ速やかに案内する方針です。

一方、警察への相談や被害申告については、今回確認したフェースグループの公式発表には記載がありません。

第一報から続報までの情報推移

今回のインシデントは、公表が進むごとに確認事項が増えています。

公表日	主な内容
6月22日・第一報	外部からの不正アクセスに起因するランサムウェア被害の可能性を公表。個人情報・取引情報への影響を調査
6月25日・第二報	6月24日から商品発送を再開
6月26日・第三報	ランサムウェア攻撃を正式確認。クレジットカード情報の漏えいは確認されず。ID・パスワードの漏えい範囲を調査
8月7日・第四報	受注・出荷のリードタイムが通常水準へ回復。売上計上・請求書等は継続対応
8月21日・調査結果	6月18日22時46分頃、VPN機器経由で侵入したことが判明。個人情報の外部持ち出し痕跡は確認されず、流出を完全には否定できず。全面復旧は10月末見込み

セキュリティ対策Labでは第一報についても、フェースグループでシステム障害、ランサムウェア被害の恐れ-個人情報・取引情報への影響を調査中で取り上げています。

第一報で不明だった侵入経路、侵害端末、保存情報、関係機関への報告などが、約2カ月後の調査結果で具体化したことになります。

情報システム部門への示唆

今回の続報で最も重要なのは、外部接続用のVPN機器が侵入経路になったことです。

VPN、ファイアウォール、リモートアクセスゲートウェイなどの境界機器は、社内ネットワークの入口に位置するため、侵害されると内部サーバーや端末への横展開につながる可能性があります。

ただし、今回のフェースグループの事案では、VPN機器をどのように突破されたかは公表されていません。

そのため、個別の原因を推測するのではなく、自社では以下を点検することが重要です。

• インターネット公開しているVPN・リモートアクセス機器の一覧を把握しているか
• ファームウェアやOSをサポート対象バージョンへ更新しているか
• ベンダーのセキュリティアドバイザリを継続的に確認しているか
• VPNの認証に多要素認証を適用しているか
• 管理画面を必要以上にインターネットへ公開していないか
• 不要なアカウント、退職者アカウント、ベンダー保守アカウントを無効化しているか
• VPNログと認証ログを十分な期間保存しているか
• VPN接続後のネットワーク権限を必要最小限にしているか
• 内部サーバーへの横展開を検知する仕組みがあるか
• バックアップを本番ネットワークから分離し、実際に復元できるか

また、本件ではランサムウェアによる暗号化だけでなく、データの消去も確認されています。

バックアップ対策では「バックアップを取得しているか」だけでなく、攻撃者から削除・暗号化されない場所へ保管し、復元手順と復旧時間を実際に検証しているかが重要です。

もう一つの論点が、認証情報を保有するサーバーの侵害です。

フェースグループでは、ECサイトそのものへの不正侵入は確認されていない一方、ECサイト利用者のログインIDとパスワードを保存する社内サーバーが侵害対象となりました。

Webサービスのセキュリティ評価では、公開されているWebサーバーだけを見るのではなく、その裏側で認証情報、顧客情報、注文情報を保持する社内システムまで含めて攻撃経路を考える必要があります。

今回、外部持ち出しの具体的痕跡が確認されなかった一方で、個人情報流出を完全に否定できなかった点も重要です。

侵入後の通信ログ、ファイルアクセスログ、EDRテレメトリなどが十分に残っていなければ、「持ち出されていない」ことを後から証明するのは難しくなります。

ランサムウェア対策は侵入防止だけでなく、侵害後に何が起きたかを追跡できるログ設計まで含めて準備する必要があります。

出典

• 【重要】弊社システムへのランサムウェア攻撃に関する調査結果および再発防止策のご報告 – フェースグループ
• 【重要】弊社システム障害発生に関するご案内（第四報） – フェースグループ
• 【重要】弊社システム障害発生に関するご案内（第三報） – フェースグループ
• 【重要】弊社システム障害発生に関するご案内（第二報） – フェースグループ
• 【重要】弊社システム障害発生に関するご案内（第一報） – フェースグループ
• フェースグループ、ランサムウェアによるサイバー攻撃を正式確認-第三報でID・パスワード漏えいの調査継続を公表 – セキュリティ対策Lab
• フェースグループでシステム障害、ランサムウェア被害の恐れ-個人情報・取引情報への影響を調査中 – セキュリティ対策Lab