丸高興業にランサムウェアによるサイバー攻撃、VPN経由で侵入し1.5GBの情報漏えいのおそれ

丸高興業株式会社は2026年7月29日、同年3月11日に発生したランサムウェア攻撃について、VPN機器を経由した社内ネットワークへの侵入と、不正な管理者アカウントを使った複数サーバーへのアクセスが確認されたと公表しました。攻撃者はサーバー内のデータを暗号化し、システムログの一部を削除していました。外部専門会社によるフォレンジック調査では、少なくとも1.5GBのデータが漏えいしたおそれがあると判断されています。対象サーバーには、取引先の会社名、担当者名、住所、電話番号、メールアドレス、受発注履歴などが保存されていました。ただし、個人情報が実際に外部へ持ち出された事実や不正利用は確認されておらず、対象人数も公表されていません。

丸高興業のランサムウェア攻撃と個人情報漏えい可能性の概要サマリー

• 丸高興業は2026年7月29日、ランサムウェア被害に関する調査結果を公表しました
• ランサムウェア感染を確認したのは2026年3月11日です
• 攻撃者はVPN機器を経由して社内ネットワークへ侵入しました
• 侵入後、不正な管理者アカウントを作成して複数のサーバーへアクセスしました
• サーバー内のデータが暗号化され、システムログの一部も削除されました
• フォレンジック調査では、少なくとも1.5GBのデータが漏えいしたおそれがあると判断されています
• 実際の情報閲覧、取得、外部持ち出しの全容はログ削除のため確認できていません
• 漏えいの可能性がある情報は、会社名、部署名、担当者名、住所、電話番号、メールアドレス、受発注履歴などです
• クレジットカード情報と金融機関口座情報は対象サーバーに保存されていません
• 個人情報の実流出や不正利用は現時点で確認されていません
• 対象となる個人情報の件数や人数は公表されていません
• VPN機器の製品名、脆弱性、認証情報の悪用有無は公表されていません
• 攻撃グループ名、身代金要求、リークサイトへの掲載、サンプルデータの公開についても公表されていません
• 丸高興業はVPN機器と社内パソコンを入れ替え、社内ネットワークを全面再構築しました
• 社内設置サーバーを廃止し、販売管理システムとデータをクラウドへ全面移行しました
• 関係機関への報告と連携は公表されていますが、個人情報保護委員会への報告は明記されていません

項目	内容
公表日	2026年7月29日
被害企業	丸高興業株式会社
事案発生日	2026年3月11日
攻撃の種類	不正アクセス、ランサムウェア攻撃
侵入経路	VPN機器を経由して社内ネットワークへ侵入
侵入後の活動	不正管理者アカウント作成、複数サーバーへのアクセス、データ暗号化、ログ削除
漏えいしたおそれのあるデータ量	少なくとも1.5GB
漏えい情報の内容	会社名、部署名、担当者名、住所、納品先・直送先住所、電話番号、FAX番号、メールアドレス、受発注履歴など
対象人数・件数	未公表
クレジットカード情報	対象サーバーに保存なし
金融機関口座情報	対象サーバーに保存なし
実際の外部持ち出し	完全には確認できず
個人情報の実流出	現時点で未確認
不正利用	現時点で未確認
攻撃グループ	未公表
身代金要求	未公表
リークサイト掲載・サンプル公開	公表資料に記載なし
初動対応	被害サーバー隔離、フォレンジック調査
復旧・再発防止	VPN機器更新、ネットワーク再構築、オンプレミスサーバー廃止、クラウド移行、全PC交換、全アカウント再設定
個人情報保護委員会への報告	公表資料では明記されず
関係機関への報告	実施済み

VPN機器を経由して社内ネットワークへ侵入

外部の情報セキュリティ専門会社による調査では、第三者がVPN機器を経由して丸高興業の社内ネットワークへ侵入したことが確認されました。

侵入後、攻撃者は不正な管理者アカウントを作成し、そのアカウントを使って複数のサーバーへアクセスしています。

不正管理者アカウントを作成できる状態になると、攻撃者は正規の管理者に近い権限で、サーバーへの接続、データへのアクセス、設定変更、セキュリティ機能の無効化などを行える可能性があります。

今回の公表では、VPN機器のメーカーや製品名、ファームウェアのバージョン、悪用された脆弱性、盗まれた認証情報の有無、多要素認証の利用状況は明らかにされていません。

VPN機器を経由したという事実だけでは、機器の脆弱性が悪用されたのか、VPNアカウントのパスワードが窃取されたのか、設定不備があったのかを断定できません。

情報システム部門は、今回の事案を特定メーカーのVPN製品だけに起因する問題として捉えず、インターネットへ公開されたすべてのリモートアクセス機器と認証情報を確認する必要があります。

不正な管理者アカウントを使って複数サーバーへアクセス

攻撃者は社内ネットワークへ侵入した後、不正な管理者アカウントを作成しました。

外部から取得した一般利用者の認証情報だけでなく、侵入後に管理者権限を獲得し、継続的なアクセスに使うアカウントを新たに追加したとみられます。

攻撃者が作成したアカウントは、正規アカウントのパスワードを変更しても残る可能性があります。

ランサムウェア対応では、侵害が疑われるアカウントのパスワード変更だけでは不十分です。不明なローカル管理者、ドメイン管理者、サービスアカウント、APIキー、証明書、アクセストークン、リモート管理ツールなどを横断的に調べる必要があります。

丸高興業は対応として、全ユーザーアカウントとパスワードを再設定し、アクセス権限と認証方式を見直しました。

これは侵害後の資格情報を一度リセットする対応ですが、再発防止には、不正なアカウント作成や権限昇格をリアルタイムで検知する監視も必要です。

サーバー内データを暗号化しログの一部を削除

攻撃者は複数のサーバーへアクセスし、保存されていたデータを暗号化しました。

ランサムウェアによる暗号化に加え、システムログの一部が削除されていたことも確認されています。

ログ削除は、侵入経路、実行したコマンド、アクセスしたファイル、外部へ送信したデータなど、攻撃者の行動を隠す目的で行われることがあります。

今回の調査では、ログの一部が失われたため、不正アクセス後の詳細な活動、情報の閲覧・取得・外部持ち出しの有無を完全には確認できませんでした。

「流出を確認できなかった」ことと「流出していないことを確認した」ことは異なります。

丸高興業は、少なくとも1.5GBのデータが漏えいしたおそれがあると説明しています。これは外部持ち出しが確定した容量ではなく、調査結果から漏えい可能性を否定できないデータ量です。

少なくとも1.5GBのデータ漏えいのおそれ

丸高興業の公表で最も重要な更新点は、少なくとも1.5GBのデータについて漏えいしたおそれが示されたことです。

2026年3月13日の初回公表では、ファイルサーバー内のデータが暗号化され、受発注や問い合わせ対応に遅延が生じる可能性がある一方、情報の外部流出は確認されていないと説明されていました。

セキュリティ対策Labでは、この初回公表を丸高興業が不正アクセスとランサムウェア感染でファイルサーバーを遮断した事案として報じています。

その後のフォレンジック調査により、VPN経由の侵入、不正管理者アカウント、複数サーバーへのアクセス、ログ削除、データ漏えいの可能性が判明しました。

初動段階で外部流出を確認できなくても、詳細調査によって漏えい可能性が明らかになることがあります。

ランサムウェア被害では、暗号化による業務停止だけでなく、暗号化前のデータ窃取を前提として調査する必要があります。

会社名・担当者名・受発注履歴などが対象

不正アクセスを受けたサーバーには、次の情報が保存されていました。

• 会社名
• 部署名
• 担当者名
• 住所
• 納品先・直送先住所
• 電話番号
• FAX番号
• メールアドレス
• 受発注履歴
• その他、販売管理システムに登録されていた情報

公表資料では、対象となる顧客や取引先の人数・件数、保存期間、対象となる取引年度は明らかにされていません。

受発注履歴には、商品名、数量、納期、取引日、担当者、納品先などが含まれる可能性があります。ただし、丸高興業は具体的な項目を公表していないため、契約金額や価格情報まで含まれていたと断定することはできません。

クレジットカード情報と金融機関口座情報は、対象サーバーに保存されていませんでした。

直接的なカード不正利用や口座からの出金につながる情報は対象外ですが、会社名、担当者名、受発注履歴、納品先を組み合わせたビジネスメール詐欺には注意が必要です。

取引内容を知る攻撃者によるなりすましに注意

取引先情報が実際に取得されていた場合、丸高興業や取引先担当者を装ったメールや電話に悪用される可能性があります。

特に注意が必要な連絡には次のようなものがあります。

• 発注内容や納品先の変更を求める
• 請求書の再発行を装って振込先を変更する
• 納期確認を理由に添付ファイルを開かせる
• 販売管理システムの更新としてパスワード入力を求める
• 不正アクセス調査を装って個人情報の再登録を求める
• 丸高興業の担当者を名乗って不審なURLへ誘導する
• 既存の受発注履歴を引用し、追加注文やキャンセルを指示する
• 配送事業者を装い、直送先住所の確認を求める

攻撃者が過去の注文内容や担当者名を知っている場合、一般的なフィッシングよりも本物らしい連絡を作ることができます。

受発注、振込先、納品先、担当者の変更依頼は、メールへの返信だけで確認せず、従来から把握している電話番号や別の連絡経路で確認してください。

丸高興業も、同社を装ったパスワード変更要求、個人情報入力要求、不審な添付ファイル、URLへのアクセス依頼に注意するよう呼びかけています。

個人情報の実流出と不正利用は未確認

2026年7月29日時点で、丸高興業は顧客の個人情報が実際に外部へ漏えいした事実や、不正利用された事実を確認していません。

一方、ログ削除によって攻撃後の活動を完全に追跡できず、少なくとも1.5GBのデータについて漏えい可能性を否定できないとしています。

対象者への個別通知をどの範囲で実施したか、公表文では明らかにされていません。

漏えいした可能性がある個人情報の件数も未公表です。

個人情報保護法上は、不正アクセスによる個人データの漏えいまたは漏えいのおそれがある場合、個人情報保護委員会への報告と本人への通知が必要になる可能性があります。

丸高興業は関係機関への報告と連携を実施したと説明していますが、個人情報保護委員会へ報告したかは明記していません。

続報では、対象件数、本人通知、個人情報保護委員会への報告、調査結果の更新が確認点になります。

VPN機器を最新機種へ入れ替え

丸高興業は、被害サーバーの隔離とフォレンジック調査に加え、侵入経路となったVPN機器を最新機種へ入れ替えました。

VPN機器は社外から社内ネットワークへ接続する境界にあり、脆弱性や認証情報の侵害があると、攻撃者が内部へ入る足掛かりになります。

IPAはVPN機器に対する攻撃への対策として、ベンダーが提供する修正済みパッチの適用、サポート終了機器の更新・廃棄、多層防御、事業継続体制の整備を挙げています。

機器の入れ替えだけでなく、不要なリモートアクセスアカウントの削除、多要素認証、接続元制限、管理画面の非公開化、認証ログの監視が必要です。

新しい機器へ移行する際に、旧機器の設定や認証情報をそのまま引き継ぐと、脆弱な運用が残る可能性があります。

移行時には、設定を新規に見直し、すべての資格情報を再発行する必要があります。

社内ネットワークと端末を全面再構築

丸高興業が公表した対応は広範囲です。

• 社内ネットワーク環境の全面再構築
• 社内設置サーバーの廃止
• 販売管理システムとデータのクラウド環境への全面移行
• 社内パソコンの全台入れ替え
• 全ユーザーアカウントとパスワードの再設定
• アクセス権限と認証方式の見直し
• セキュリティ監視体制の強化

ネットワークや端末を全面的に再構築する対応は、侵害範囲が広い場合や、攻撃者の残存を完全に排除できない場合に行われます。

全PCの入れ替えは、端末内に残るマルウェア、認証情報、リモート管理ツールなどを排除する目的が考えられます。

ただし、クラウドへ移行すればランサムウェアの危険がなくなるわけではありません。

クラウド上でも、管理者アカウントの侵害、過剰な権限、同期されたファイルの暗号化、不正なAPI操作、バックアップ削除などは発生します。

移行後は、クラウドの監査ログ、多要素認証、条件付きアクセス、変更不能バックアップ、権限分離、データ損失防止を設計する必要があります。

オンプレミス廃止だけでは再発防止にならない

丸高興業は社内設置サーバーを廃止し、販売管理システムとデータをクラウドへ全面移行しました。

オンプレミス環境を廃止することで、ハードウェア保守、パッチ適用、バックアップ運用の一部をクラウド事業者へ移せる場合があります。

一方、クラウドの設定とアカウント管理は利用企業側の責任として残ります。

次のような問題があると、クラウド移行後も侵害される可能性があります。

• 管理者アカウントでMFAを使用していない
• 全利用者へ広い権限を付与している
• 外部共有リンクを無期限で有効にしている
• バックアップと本番環境が同じ認証情報で管理されている
• ログの保存期間が短い
• APIキーやサービスアカウントを定期更新していない
• 退職者や委託先のアカウントが残っている
• 端末の安全性を確認せずクラウドへ接続できる
• データの大量取得や削除を監視していない

移行自体を対策の完了点にせず、侵害を前提にしたクラウド運用へ切り替える必要があります。

ログ削除を前提とした証拠保全が必要

今回の調査では、攻撃者によるログ削除が影響範囲の特定を難しくしました。

ログを攻撃対象のサーバー内だけに保存していると、管理者権限を取得した攻撃者に削除・改ざんされる可能性があります。

重要なログは、対象サーバーとは異なる監視基盤やクラウドへリアルタイムに転送し、管理権限を分離する必要があります。

保存すべきログには次のようなものがあります。

• VPN接続ログ
• 認証成功・失敗ログ
• 管理者アカウントの作成・変更・削除
• 権限グループへの追加
• サーバーへのリモート接続
• ファイルへの大量アクセス
• 外部への大容量通信
• バックアップの削除・無効化
• セキュリティ製品の停止
• ログ消去や監査設定変更
• クラウド管理操作
• DNSとプロキシの通信履歴

攻撃対象と同じ認証基盤だけでログ閲覧権限を管理すると、攻撃者に監視基盤まで操作される可能性があります。

SOCや外部監視事業者への転送、変更不能ストレージ、別テナントでの保存などを検討してください。

情報システム部門への示唆

今回の事案は、VPN機器を更新するだけではなく、侵入後の権限昇格、横展開、データ窃取、ログ削除まで見据えた対策が必要であることを示しています。

情報システム部門は、インターネットへ公開しているVPN、ファイアウォール、リモートデスクトップ、保守用ゲートウェイを早急に棚卸ししてください。

実務上は次の対応が必要です。

• VPN機器の製品名、バージョン、サポート期限を台帳化する
• ベンダーのセキュリティ情報と既知の脆弱性を定期確認する
• サポート終了機器を更新または撤去する
• VPN利用者と管理者へ多要素認証を適用する
• 接続元の国、IPアドレス、端末を制限する
• 管理画面をインターネットへ公開しない
• 未使用アカウントと退職者アカウントを削除する
• ローカル管理者とドメイン管理者の利用を分離する
• 新規管理者アカウント作成を即時検知する
• 管理者グループの変更を定期監査する
• VPNからサーバーへ直接到達できる範囲を最小化する
• ネットワークを業務、サーバー、バックアップ、管理系に分離する
• 大量ファイルアクセスと外部転送を監視する
• 重要ログを外部の変更不能な保管先へ転送する
• バックアップを本番認証基盤から分離する
• 復旧訓練でサーバーだけでなく販売管理業務の再開まで確認する
• 侵害時に全トークン、セッション、証明書、APIキーを失効する手順を整備する

VPN機器の交換は有効な対策ですが、侵入経路の製品名や攻撃方法が確定していない場合は、認証情報が別経路で窃取されていた可能性も確認する必要があります。

全パスワードを再設定しても、攻撃者がアクセストークンや秘密鍵、セッション情報を取得していればアクセスを継続できる場合があります。

アカウント、トークン、証明書、APIキー、サービスアカウントを含む資格情報全体を更新してください。

丸高興業の事案では、攻撃発生から約4か月半後に、少なくとも1.5GBの漏えい可能性が公表されました。

フォレンジック調査に時間を要することを前提に、初回公表では確認済みの事実と調査中の事項を分け、調査の進展に応じて続報を出す体制が求められます。

今後は、対象となる個人情報の件数、本人通知の状況、個人情報保護委員会への報告、攻撃者の侵入方法、復旧後の監視結果が確認点になります。

出典

• ランサムウェア被害に伴う個人情報漏えいの可能性に関するお知らせとお詫び – 丸高興業株式会社
• ランサムウェア被害に伴う個人情報漏えいの可能性に関するお知らせとお詫び PDF版 – 丸高興業株式会社
• 弊社サーバーに対する不正アクセス発生のご報告とお詫び – 丸高興業株式会社
• システム障害からの復旧に関する進捗状況のご報告 – 丸高興業株式会社
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• VPN機器等に対するネットワーク貫通型攻撃のおそれについて – IPA
• ランサムウェア対策特設ページ – IPA
• 丸高興業が不正アクセスとランサムウェア感染でファイルサーバーを遮断、受発注や問い合わせ対応に一部遅延の可能性 – セキュリティ対策Lab
• 2026年3月 ランサムウェアの被害事例まとめ – セキュリティ対策Lab