ランサムウェア グループ SafePayが両毛システムズへの不正アクセスで窃取したデータを公開

株式会社両毛システムズへの不正アクセスをめぐり、ランサムウェアグループ「SafePay」が2026年9月15日、同社のドメイン「ryomo.co.jp」を犯行声明サイトに掲載しました。

セキュリティ対策Labが9月20日にSafePay側で公開されているデータを確認したところ、SQLデータベース関連とみられる多数のディレクトリやユーザー別とみられるフォルダに加え、アカウント名とパスワードとみられる文字列を一覧化した表計算ファイル、「二要素認証のバックアップコード」と表示された画面などを確認しました。

公開されたデータには、両毛システムズが公式サイトで公表している事業領域や社内制度と整合する名称も複数含まれています。一方、公開ファイルのすべてが同社から窃取された真正なデータであることや、確認した認証情報が現在も有効であることまでは独立して確認できていません。

セキュリティ対策Labでは、公開されたパスワードとみられる文字列や二要素認証のバックアップコードを利用したログイン検証は行っていません。また、不正利用につながる可能性があるため、認証情報そのものやユーザー名、ダークウェブ上の配布先URLは掲載しません。

この記事のサマリー

• 両毛システムズは2026年8月15日、前日の8月14日に社内システムへの不正アクセスを確認したと公表しました。
• 同社の公表では、原因、侵入経路、被害範囲、情報流出の有無を調査中としていました。
• SafePayは2026年9月15日、「ryomo.co.jp」を犯行声明サイトに掲載しました。
• セキュリティ対策Labが9月20日に公開データを確認したところ、「SQL_DB」「Users」「data」「public」などのディレクトリを確認しました。
• SQL_DB 配下には、契約管理、予算管理、フォーム管理、見積管理などを示唆する名称を含む多数のディレクトリが存在しています。
• 公開データには、アカウント名とパスワードとみられる文字列を対にした表計算ファイルが含まれ、確認できた範囲で約190行のデータが記載されていました。
• 別のファイルでは、「二要素認証のバックアップコード」と表示された画面と複数のコードを確認しました。
• バックアップコードの画面には「2025/03/21 18:14」と生成日時が表示されていました。
• これらの認証情報が現在も有効か、本番環境で利用されていたものかは確認できていません。
• SafePayによる犯行声明やデータ公開について、9月20日時点で両毛システムズから公式な説明は確認できていません。

両毛システムズとSafePayをめぐる時系列

日付	内容
2026年8月14日	両毛システムズが社内システムへの不正アクセスを確認
2026年8月15日	両毛システムズが不正アクセスを公表。原因・侵入経路・被害範囲、情報流出等の影響は確認中と説明
2026年9月15日	SafePayが「ryomo.co.jp」を犯行声明サイトに掲載
2026年9月15日	各種ダークウェブ監視サイトでもSafePayによる掲載を記録
2026年9月20日	セキュリティ対策LabがSafePay側の公開データを確認。認証情報とみられる一覧や2FAバックアップコードとみられる情報を確認

不正アクセス発覚時の詳細は、以下の記事で整理しています。

両毛システムズ、社内システムへの不正アクセスを確認　情報流出や侵入経路は調査中

SafePayが9月15日に「ryomo.co.jp」を掲載

ランサムウェアグループ「SafePay」は2026年9月15日、犯行声明サイトに両毛システムズのドメインである「ryomo.co.jp」を掲載しました。

ただし、ランサムウェアグループによる犯行声明は攻撃者側の主張です。掲載されたことだけで、SafePayが最初の侵入から情報窃取まで実行したことや、掲載内容のすべてが正しいことを確定することはできません。

両毛システムズが8月15日に公表した内容では、「社内システムに対する不正アクセス」を確認したと説明しており、原因、侵入経路、被害範囲について調査を進めているとしていました。

同日時点では「情報流出等の影響については確認中」とされており、ランサムウェアによる攻撃やSafePayとの関係については公表されていません。

SafePayの特徴や過去の国内被害については、以下の記事で解説しています。

ランサムウェア グループ SafePayとは　非RaaS型で急成長した二重恐喝集団の手口と国内被害事例

公開領域にはSQLデータベースやユーザー別とみられるフォルダ

セキュリティ対策Labが9月20日にSafePay側の公開データを確認したところ、最上位のディレクトリには少なくとも以下の名称が存在していました。

• BAK_DB
• Disk_Check
• SQL_DB
• Users
• data
• public

さらに、SQL_DB 配下には多数のディレクトリが存在し、契約管理、予算管理、フォーム管理、見積管理など、企業内部の業務システムを示唆する名称が確認されました。

確認できた名称には、開発・検証環境を示唆するものや、eラーニング、サポートリクエストなどを想起させるものも含まれていました。

また、data 配下には個人名を思わせる名称のフォルダが多数存在しています。

これらの名称だけで、公開データが両毛システムズから取得されたものと断定することはできません。ただし、一般公開情報だけでは把握しづらい社内システムらしき構造が確認できることは、公開データの真正性を検討する材料の一つになります。

「文教」「OJT」「EMS」「ISMS」など公開情報と整合する名称

公開データには、両毛システムズが公式サイトで公表している事業領域や制度と整合する名称も確認されました。

一部のディレクトリ階層では、「文教」「OJT」「レビュー」「外部審査」に関連するとみられる名称が確認できます。

両毛システムズは公式サイトで文教分野向けのソリューションを提供していることを公表しており、採用サイトでも新入社員向けの「OJT制度」を設けていることを説明しています。

また、公開された文書の一部では、文字コードの違いによって全文を正常に表示できなかったものの、「EMS」「ISMS」と読める文字列が確認されました。

ただし、これは各ファイルの真正性や非改変性を証明するものではありません。

約190行のパスワード一覧とみられるファイルを確認

今回確認した公開データの中には、表計算形式でアカウント名とパスワードとみられる文字列を対にした一覧も含まれていました。

セキュリティ対策Labが確認した範囲では、約190行にわたってアカウント情報とみられるデータが記載されています。

一覧には、管理者やサポート用途を示唆する名称のほか、業務や拠点などに関連するとみられる複数のアカウント名が存在していました。また、複数のアカウントで同一の文字列が記載されている箇所も確認しています。

表示されている文字列は一般的なハッシュ値の形式には見えず、平文のパスワード、初期パスワード、仮パスワードなどである可能性があります。

一方、現時点では次の点は確認できません。

• 実際の本番システムで利用されていた認証情報か
• 初期設定用やテスト用の認証情報ではないか
• どのシステムに対応するアカウントか
• パスワードがすでに変更されていないか
• アカウント自体が現在も有効か

そのため、「現在利用できる両毛システムズのID・パスワードが漏えいした」と断定することはできません。

セキュリティ対策Labでは、確認した認証情報を利用して実際にログインできるかどうかの検証は行っていません。

二要素認証のバックアップコードとみられる情報も公開

別のファイルでは、「二要素認証のバックアップコード」と表示された画面を確認しました。

画面には複数のコードが表示され、二要素認証アプリを利用できない場合に認証コードの代わりとして使用できること、それぞれのコードが1回限り利用できることを説明する文章も確認できます。

画面上では、バックアップコードの生成日時として「2025/03/21 18:14」と表示されていました。

二要素認証のバックアップコードは、スマートフォンの紛失や認証アプリが利用できなくなった場合などに、通常の認証コードの代替として使用するための情報です。

仮にバックアップコードが現在も有効であり、対応するアカウントのパスワードなど別の認証情報も取得されていた場合、多要素認証を回避した不正ログインに悪用される可能性があります。

ただし、バックアップコードは利用済みであったり、その後に新しいコードが生成されていたりすれば無効になっている可能性があります。

今回確認したコードがどのサービスに対応するものなのか、現在も有効なのかは確認できていません。

パスワードと2FAの「復旧用情報」が同時に流出した場合のリスク

今回の公開データで注目すべき点は、パスワードとみられる情報だけでなく、二要素認証のバックアップコードとみられる情報も存在していることです。

多要素認証は、パスワードが攻撃者に知られた場合でも追加の認証要素で不正ログインを防ぐために有効な対策です。

しかし、バックアップコードはその多要素認証を復旧するための秘密情報であり、パスワードと同様に厳格な管理が必要です。

今回確認したパスワード一覧とバックアップコードが、同じシステムや同じアカウントに対応しているかは確認できません。

一方、インシデント発生時には「パスワードを変更したから安全」と考えず、次のような秘密情報も侵害されていないか確認する必要があります。

• 二要素認証のバックアップコード
• MFAの再設定情報
• APIキー
• アクセストークン
• VPN・リモートアクセス用認証情報
• サービスアカウント
• SSH秘密鍵
• クライアント証明書
• 顧客環境への保守・管理用アカウント
• パスワード管理ツール内の認証情報

侵害の可能性がある場合は、パスワード変更だけでなく、既存セッションの失効、APIキーやトークンのローテーション、バックアップコードの再生成、不要アカウントの無効化まで含めて対応する必要があります。

顧客システムや個人情報への影響はまだ確認できない

両毛システムズは、行政、水道、文教、エネルギー、医療、製造など幅広い分野にシステムやサービスを提供しています。

このため、今回公開されたデータに顧客企業や自治体、教育機関などに関係する情報が含まれているかは重要な確認ポイントになります。

一方、両毛システムズが8月15日に公表した内容で確認されているのは、同社の「社内システム」への不正アクセスです。

9月20日時点で、顧客向けシステムへの侵入や顧客情報の漏えいを両毛システムズが公式に認めた発表は確認できていません。

また、SafePay側の公開データに存在するファイル名やディレクトリ名だけから、顧客環境への侵害を判断することはできません。

したがって、今回確認した「SafePayによるデータ公開」と「顧客システムの侵害」は分けて扱う必要があります。

両毛システムズを利用する企業・自治体が確認したいこと

両毛システムズが提供するサービスを利用していることだけを理由に、自社や自組織が侵害されたと判断する必要はありません。

ただし、同社との間でリモート保守や管理者アカウント、VPN、専用線などを利用した接続がある場合は、今後の公式発表や個別通知を確認するとともに、自組織側でも接続関係を整理しておくことが重要です。

具体的には、次のような項目を確認します。

• 両毛システムズ側から自組織へ接続可能なアカウントの有無
• 当該アカウントの権限
• MFAの設定状況
• 接続元IPアドレスの制限
• 最近のログイン履歴や管理操作ログ
• 不要になった保守用アカウントが残っていないか
• 認証情報を変更・失効させる手順が準備されているか
• ベンダー側でインシデントが発生した場合の連絡窓口

現時点では顧客環境への侵害は確認されていないため、必要以上に被害範囲を広げて解釈するべきではありません。一方、ベンダーを経由して自組織へアクセスできる経路が存在する場合は、影響有無を確認できる状態にしておくことが重要です。

現時点で確認できていないこと

2026年9月20日時点で、以下については確認できていません。

• SafePayが両毛システムズへの最初の侵入を実行したこと
• ランサムウェアによるファイル暗号化の有無
• SafePayが公開したデータの総容量・全体量
• 公開されたすべてのファイルの真正性
• 公開された認証情報の現在の有効性
• 顧客・取引先・従業員等の個人情報の漏えい件数
• 顧客向けシステムへの侵害
• 最初の侵入経路
• 攻撃者の侵入開始時期
• 攻撃者のネットワーク内での滞在期間
• SafePayによる犯行声明・データ公開に対する両毛システムズの公式見解

新たな公式発表が確認された場合は、本記事を更新します。

関連記事

• 両毛システムズ、社内システムへの不正アクセスを確認　情報流出や侵入経路は調査中
• ランサムウェア グループ SafePayとは　非RaaS型で急成長した二重恐喝集団の手口と国内被害事例
• 2026年 ランサムウェアの事例－国内・海外の被害を解説
• ランサムウェアとは　感染経路や被害事例・対策を解説

出典

• 株式会社両毛システムズ
• 株式会社両毛システムズ「サービス・ソリューション」
• 株式会社両毛システムズ「教育・研修」
• 株式会社両毛システムズ「会社概要」