ランサムウェアグループ RansomHouse(ランサムハウス)がREXT Holdingsへのサイバー攻撃を主張 8月のランサムウェア被害との関連は公式未確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月02日更新日時: 2026年09月02日

ランサムウェアグループ「RansomHouse（ランサムハウス）」が、REXT Holdings株式会社を被害組織としてダークウェブのリークサイトに掲載し、同社へのサイバー攻撃を行ったと主張していることを、セキュリティ対策Labが2026年9月1日に独自に確認しました。

セキュリティ対策Labが独自に取得・確認したRansomHouseのリークサイト画面では、「REXT Holdings Co., Ltd.」の名称と同社Webサイトが掲載され、「Encrypted（暗号化済み）」「Status: EVIDENCE」などと表示されています。また、「Evidence packs」とするデータへのダウンロード導線も掲載されています。

REXT Holdingsは8月10日、子会社REXT株式会社の一部社内ネットワークシステムでランサムウェアによる不正アクセス被害が発生したと公表しています。8月9日に被害を確認し、WonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEなどで休業や決済・ポイント・買い取りサービスの制限、EC商品の発送遅延などが発生しました。

ただし、REXT Holdingsは8月31日までの公式発表でRansomHouseを攻撃主体として認定していません。RansomHouseによる「暗号化」「証拠データ保有」などの記載も攻撃者側の一方的な主張であり、データ窃取や公開の事実をREXT Holdingsが確認したものではありません。

REXT Holdingsでは、今回とは別に2026年6月、連結子会社D&MがVPN機器経由の不正アクセスを受け、ランサムウェア感染と633件の個人情報流出の可能性が公表されています。この6月の事案と8月のREXT株式会社への攻撃が同一の攻撃者や侵入経路によるものかは確認されていません。

RansomHouseによるREXT Holdings犯行声明のサマリー

RansomHouseがREXT Holdingsを被害組織としてリークサイトへ掲載しました。
セキュリティ対策Labが取得した画面には「REXT Holdings Co., Ltd.」の名称、REXTのWebサイト、事業概要などが表示されています。
RansomHouse側は「Encrypted」と表示し、データを暗号化したと主張しています。
「Status: EVIDENCE」と表示し、「Evidence packs」とするデータへのダウンロード導線も掲載しています。
RansomHouse側はWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEなどの店舗数も記載していますが、これらは攻撃者側の記載であり正確性は確認されていません。
REXT Holdingsは8月10日、子会社REXT株式会社がランサムウェアによる不正アクセスを受けたと公式発表しています。
被害は8月9日に確認され、店舗営業、キャッシュレス決済、買い取り、ポイント、EC・オンラインサービスなどに影響しました。
8月14日時点でREXT Holdingsは、顧客の個人情報や取引先情報の外部漏えい可能性を「極めて低い」と推定しつつ、完全には否定できないとしていました。
8月31日時点でも原因と影響範囲の調査は継続しています。
REXT HoldingsはRansomHouseを攻撃主体として公式には認定していません。
RansomHouseが保有を主張する「Evidence packs」の真正性や、REXT Holdings由来のデータかどうかについて公式な確認はありません。
REXT Holdingsでは2026年6月にも、別の連結子会社D&Mでランサムウェア被害が発生しています。
D&M事案ではVPN機器経由の侵入が確認され、FAX受注データ633件に個人情報流出の可能性があると公表されました。
6月のD&M事案と8月のREXT株式会社への攻撃の関連は確認されていません。
RansomHouseは2025年のアスクル、2026年7月のニチレイへの攻撃についても犯行声明を出しています。ただし、各被害企業による公式な帰属確認とは区別する必要があります。

項目	内容
攻撃者側の掲載確認	2026年9月1日までに確認
被害組織として掲載された名称	REXT Holdings Co., Ltd.
攻撃者側の主張	暗号化、証拠データ保有
リークサイト上の表示	Encrypted、Status: EVIDENCE、Evidence packs
REXT側のランサムウェア確認	2026年8月9日
REXT Holdingsの第1報	2026年8月10日
対象	子会社REXT株式会社の一部社内ネットワーク
業務影響	一部店舗休業、決済・買い取り・ポイント等の制限、EC発送遅延
個人情報・取引先情報	8月14日時点で外部漏えい可能性は極めて低いと推定。ただし完全には否定できず
原因・影響範囲	8月31日時点で調査中
RansomHouseへの帰属	REXT Holdingsによる公式確認なし
データ窃取	RansomHouseが保有を示唆。REXT Holdingsによる公式確認なし
警察	8月14日までに報告
個人情報保護委員会	8月14日までに報告

RansomHouseがREXT Holdingsをリークサイトへ掲載

RansomHouseのリークサイトに掲載された画面では、被害組織として「REXT Holdings Co., Ltd.」が表示されています。

同ページにはREXTの公式Webサイトや「東京を拠点とする小売・持株会社」とする企業説明が掲載され、右側には鍵のアイコンとともに「Encrypted」と表示されています。

また、「Status: EVIDENCE」とする表示に加え、「Evidence packs」のダウンロード導線も掲載されています。

RansomHouse側は、REXTグループの店舗としてWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEなどを列挙し、それぞれの店舗数と称する数字も記載しています。

ただし、この店舗数はRansomHouse側が掲載した情報です。REXT株式会社が8月31日に公表している営業状況ページでは、対象を「116店舗（直営店）」としており、集計対象も異なるため、攻撃者側の157店舗という主張と直接比較して正否を判断することはできません。

リークサイトに企業情報が掲載されていること自体は、RansomHouseが犯行を主張している証拠にはなりますが、記載された企業情報や被害内容がすべて正しいことを意味しません。

REXTは8月9日にランサムウェア被害を確認

REXT Holdingsは8月10日、子会社であるREXT株式会社の一部社内ネットワークシステムにおいて、ランサムウェアによる不正アクセス被害が発生していることを確認したと公表しました。

被害を確認したのは8月9日です。

REXT株式会社はWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEなどを展開しており、ランサムウェア被害によって店舗とオンラインサービスに広範な影響が発生しました。

8月10日時点で公表された主な影響は、一部店舗の臨時休業、店舗内での部分営業、営業時間の変更、一部キャッシュレス決済の利用制限、買い取り受付・査定の停止、ポイントサービスの休止、EC・オンラインサービスの商品発送遅延、一部サービスの受付停止です。

この時点でREXT Holdingsは、顧客の個人情報や取引先情報などについて、外部漏えいの可能性を完全には否定できないとしていました。

8月14日には「情報漏えい可能性は極めて低い」と説明

REXT Holdingsは8月14日に第2報を公表し、外部専門機関による詳細調査を8月12日以降に開始したと説明しました。

警察と個人情報保護委員会にも本件を報告しています。

この時点の調査では、REXT株式会社が保有する顧客の個人情報や取引先情報などについて、「外部漏えいの可能性は極めて低いと推定」していました。

ただし、漏えい可能性を完全には否定できないとも明記しています。

したがって、RansomHouseが今回「Evidence packs」と称するデータを掲載していることだけを理由に、REXTから情報が流出したと断定することはできません。

8月31日までに全店舗が営業再開、原因と影響範囲は調査中

8月31日の第3報によると、被害によって休業していた店舗は8月16日までにすべて営業を再開しました。

営業再開後も店舗によって一部サービスや決済方法に制限が残っていましたが、REXT Holdingsは9月上旬をめどに全店で制限が解消される見込みとしています。

一方、原因と影響範囲については8月31日時点でも調査を継続しています。

つまり、店舗運営の復旧が進んでいることと、サイバー攻撃の調査が完了していることは別です。

REXT Holdingsでは6月にも子会社D&Mがランサムウェア被害

REXT Holdingsでは、今回の8月の事案より前にも、2026年6月に連結子会社でランサムウェア被害を公表しています。

6月12日の発表によると、連結子会社の株式会社D&Mで、FAXデータ保存用のファイル共有サーバーがランサムウェアに感染しました。

発覚は6月1日です。

調査では、第三者がVPN機器を経由してD&Mのサーバーへ不正アクセスしたことが判明しました。

サーバーには2024年8月1日から2026年6月1日までに受信したFAX受注データが保存されており、取引先や顧客の氏名、住所、電話番号など633件について外部に流出した可能性が高いと説明しています。

クレジットカード情報や銀行口座などの財産的情報は確認されていませんでした。

6月のD&M事案と8月のREXT攻撃は関連未確認

2026年の短期間に同じREXT Holdings傘下で2件のランサムウェア被害が公表されていますが、両事案を同じ攻撃者によるものと断定することはできません。

6月のD&M事案ではVPN機器経由の侵入が確認されています。

一方、8月のREXT株式会社への攻撃については、8月31日時点でも原因や侵入経路が調査中です。

また、RansomHouseが6月のD&M事案に関与したとの公式情報も確認されていません。

RansomHouseとは

RansomHouseは、2021年末から2022年頃に活動が知られるようになったランサムウェア・恐喝グループです。

Palo Alto Networks Unit 42は、RansomHouseを「Jolly Scorpius」として追跡するグループが運営するRansomware-as-a-Service（RaaS）オペレーションと分析しています。

Unit 42によると、RansomHouseはデータの窃取と暗号化を組み合わせ、窃取データを公開すると脅して支払いを迫る二重恐喝を行います。

2025年12月に公表されたUnit 42の調査では、2021年12月以降、少なくとも123組織がRansomHouseのリークサイトでデータ公開または販売対象として掲載されていたとされています。

同調査では、RansomHouseに関連する「MrAgent」と「Mario」と呼ばれるコンポーネントが仮想化環境、とりわけESXiを標的とするよう設計されていることも報告されています。

ただし、RansomHouseが利用する具体的な攻撃手法が今回のREXT事案で使用されたとの確認はありません。

RansomHouseはアスクルへの攻撃でも犯行声明

日本国内でRansomHouseの名前が大きく知られるきっかけの一つとなったのが、2025年10月に発生したアスクルへのランサムウェア攻撃です。

RansomHouseは同月30日、アスクルへの攻撃を行い、約1.1TBのデータを窃取したと主張しました。

その後アスクル側も情報流出を確認し、影響範囲や復旧状況について複数回の続報を公表しています。

ただし、アスクルが確認した情報流出と、RansomHouseが主張した窃取量・攻撃内容のすべてが一致すると確認されたわけではありません。

2026年7月にはニチレイへの攻撃も主張

RansomHouseは2026年7月、ニチレイグループで発生したサイバー攻撃についても犯行声明を出しました。

ニチレイでは7月13日にシステム障害が発生し、冷蔵倉庫の入出庫や冷凍食品の出荷に影響しました。

RansomHouseはリークサイトでニチレイを掲載し、暗号化と証拠データの保有を主張しました。

一方、ニチレイはRansomHouseが攻撃主体であることを公式には認定していません。

今回のREXT Holdingsについても同様に、今後被害企業側から情報漏えいが確認されたとしても、RansomHouseが主張する被害内容やデータ量のすべてが事実であるとは限らない点に注意が必要です。

RansomHouseのリークサイトにある「証拠データ」は検証に注意

セキュリティ対策Labが取得した今回の画面では、「Evidence packs」と称するデータへのダウンロード導線が表示されています。

しかし、攻撃者が公開するデータを直接取得して内容を確認する行為には、個人情報や機密情報の不必要な取得、マルウェア混入、法的・倫理的な問題などのリスクがあります。

企業のインシデント対応では、リークサイトへの掲載を脅威インテリジェンス上の手掛かりとして扱いつつ、攻撃者が公開したデータを安易にダウンロードするのではなく、必要に応じて専門のインシデントレスポンス事業者、法務、警察などと連携して確認することが重要です。

情報システム部門への示唆

REXT Holdingsの事案では、8月9日のランサムウェア被害確認から約3週間後の8月31日時点でも、原因と影響範囲の調査が続いています。

店舗営業は再開していますが、「事業復旧」と「侵害調査の完了」は別の段階です。

今回RansomHouseが犯行声明を出したことで、情報システム部門が優先して確認すべきなのは、攻撃者の主張そのものではなく、フォレンジック上の事実です。

具体的には、外部へのデータ転送、不審なアーカイブ生成や大量読み出し、認証情報やVPN・リモートアクセス機器の侵害、バックアップ環境や仮想化基盤への到達、グループ会社間の横展開、永続化手段、攻撃対象環境に保存されていた顧客・取引先・従業員データの範囲を確認する必要があります。

また、REXT Holdingsでは6月にもD&MでVPN機器を経由したランサムウェア被害が発生しています。

両事件の関連は確認されていませんが、グループ全体で短期間に複数のランサムウェア被害が発生した場合、個別システムの復旧だけでなく、共通の認証基盤、リモートアクセス、委託先管理、脆弱性管理、ログ監視、ネットワーク分離などを横断的に点検する必要があります。

攻撃者による犯行声明は最終的な事実認定ではありません。今後はREXT Holdingsが、情報流出の有無、侵入経路、暗号化された範囲、RansomHouseとの関連についてどのような調査結果を公表するかが重要な確認ポイントになります。

<!– SEOディスクリプション案: ランサムウェアグループRansomHouseがREXT Holdingsへのサイバー攻撃を主張しました。REXTは8月9日にランサムウェア被害を確認していますが、RansomHouseへの帰属やデータ窃取は公式未確認です。6月の子会社D&M被害、アスクル・ニチレイへの過去の犯行声明、RansomHouseの特徴も整理します。 –>