精電舎電子工業、ランサムウェア被害の最終調査報告を公表

超音波溶着機などの各種溶着・接合装置を手がける精電舎電子工業株式会社は2026年7月21日、同年4月に発生したサイバー攻撃について、外部専門機関による調査が完了したとして最終報告を公表しました。調査の結果、システム障害の原因はランサムウェア攻撃であったことが確認されています。攻撃者は2026年4月8日にVPNを経由して社内ネットワークへ侵入し、Active Directoryサーバーへログインして社員の認証情報を窃取したうえで、ネットワークスキャンによって複数のサーバーへ侵入、最終的に4月22日にサーバーのほとんどと複数のパソコンを暗号化していました。当サイトでも繰り返し取り上げてきた、VPN経由の侵入からActive Directory侵害を経て全社的な暗号化に至るという、近年の国内製造業で最も多く報告されている攻撃パターンをなぞる事例です。

サマリー

• 精電舎電子工業は2026年7月21日、4月に発生したサイバー攻撃の最終調査報告を公表し、原因がランサムウェア攻撃であったことを確認しました
• 攻撃者は2026年4月8日、VPNから社内ネットワークに侵入し、その後Active Directoryサーバーにログインして社員の認証情報を窃取したとみられます
• 続いて社内ネットワークに対するスキャンが実行され、複数のサーバーへログインされたうえで、4月22日にサーバーのほとんどと複数のパソコンが暗号化されました
• 情報漏洩については、Active Directoryサーバー上のデータが外部へ転送されたと判断されており、その他の機器に対する攻撃者の行動は暗号化のみで、データが社外へ転送された形跡はないとしています
• 顧客・取引先から受領している情報が社外へ転送された形跡はなく、本稿執筆時点でダークウェブへの掲載も確認されていないとしています
• 同社は攻撃確認直後の4月22日に全社ネットワークを遮断し、緊急対策本部を設置、感染が確認されなかったPCへのEDR導入と外部専門企業による24時間監視(SOC)を開始しました
• Microsoft365、Kintone、勘定系などのクラウドサービスやメールは被害を受けておらず、これらを活用した暫定運用を経て、基幹システムは5月18日から見積・受発注・生産・出荷を再開しています

整理表

攻撃の経緯-VPNからActive Directory侵害、そして全社暗号化へ

精電舎電子工業の最終報告によれば、今回の攻撃は数段階を経て全社的な被害へと拡大していきました。

まず2026年4月8日、第三者がVPNから社内ネットワークへ侵入しました。その後、攻撃者はActive Directoryサーバーへログインし、この際に社員の認証情報が取得されたものとみられています。Active Directoryは、組織内のユーザーアカウントやアクセス権限を一元管理する認証基盤であり、ここが侵害されると、攻撃者は正規の社員になりすまして社内の様々なシステムへアクセスできるようになります。認証情報を手にした攻撃者は、社内ネットワークに対してスキャンを実行し、複数のサーバーへ次々とログインしていきました。

そして侵入から2週間後の4月22日、攻撃者は複数の機器(サーバー、パソコン)にログインして暗号化を実施しました。被害範囲はサーバーのほとんど、および複数のパソコンに及んでいます。同社が異常を検知したのも同じ4月22日午前7時50分で、マルウェアによる不正アクセスを確認した直後に全社ネットワークを遮断し、午前10時には緊急対策本部を設置して、外部セキュリティ専門企業と連携した原因究明・封じ込め対応を開始しています。

情報漏洩の範囲-AD上のデータは外部転送、顧客情報の転送形跡はなし

情報漏洩については、精査の結果、影響範囲が具体的に切り分けられています。同社は、Active Directoryサーバー上のデータが外部へ転送されたと判断しています。一方、その他の機器に対する攻撃者の行動は暗号化のみであると特定されており、それらの機器からデータが社外へ転送された形跡はないとしています。

重要な点として、顧客や取引先から受領している情報については、社外へ転送された形跡がないと明言されています。また、本稿執筆時点でダークウェブへの掲載も見つかっておらず、引き続き監視を継続するとしています。Active Directoryサーバーには通常、ユーザーアカウント情報やアクセス権限に関する情報が含まれるため、その内容が外部転送されたと判断されたことは、今後、窃取された認証情報を悪用した二次的な攻撃(なりすましログインや、認証情報の使い回しを突いた他システムへの侵入試行等)への警戒が必要であることを意味します。同社が全社的な認証情報の見直しを行ったかどうかについては、今回の報告では明示されていませんが、一般論として、AD侵害が確認された場合には、ドメイン全体のパスワードリセットを含む対応が推奨されます。

迅速な封じ込めとEDR/SOCの導入

今回の対応で評価できるのは、異常検知後の初動の速さと、封じ込め後のセキュリティ体制の強化です。同社は4月22日の検知直後に全社ネットワークを遮断し、被害拡大を防いでいます。あわせて、外部専門機関の指導のもと、感染が確認されなかったパソコンにEDR(エンドポイントでの検知・対応製品)を導入し、外部専門企業による24時間監視(SOC)を同時に開始しました。万が一マルウェアを検知した場合には、当該パソコンを隔離してネットワークを即時遮断する仕組みも導入したとしています。

被害を受けなかったシステムの存在も、業務の早期再開を支えました。同社によれば、Microsoft365、Kintone、勘定系などのクラウドサービスは被害を受けておらず、メールも攻撃を受ける前から外部のメールサービスを利用していたため無事でした。これらのツールを活用して暫定運用を行い、基幹システムについても暫定システムを復旧させて、5月18日から見積・受発注・生産・出荷を再開しています。オンプレミスの社内ネットワークが広範に暗号化される中でも、業務の中核をなす一部のシステムがクラウドや外部サービス上にあったことが、事業継続の面で結果的に有利に働いた形です。

VPN経由の侵入という繰り返される攻撃パターン

今回の精電舎電子工業の事案で示された、VPNを起点とした侵入からActive Directoryの侵害、認証情報の窃取、そしてランサムウェアによる暗号化という一連の流れは、近年の国内製造業で最も多く報告されている攻撃パターンの典型です。

当サイトでは、同様の攻撃パターンを繰り返し取り上げてきました。第一工業がランサムウェアによるサイバー攻撃を受け従業員・取引先の情報漏洩の恐れが生じた事案、REXT Holdings連結子会社D&MがVPN経由のランサムウェアで個人情報流出の恐れが生じた事案、オーミケンシがVPN経由の侵入でThe Gentlemenランサムウェアの犯行声明を受けた事案など、いずれもVPN機器が初期侵入経路となっています。さらに、直前に当サイトで報じたPAN-OS GlobalProtectの脆弱性CVE-2026-0257がQilinランサムウェアの侵入経路として悪用された事案でも、VPN境界の突破からLSASSやNTDSによる認証情報窃取、そして横展開という、今回の精電舎電子工業の事案と酷似した攻撃連鎖が確認されています。

VPNは、社外から社内ネットワークへの安全なリモートアクセスを実現する仕組みですが、インターネットに常時公開されているため、脆弱性を持つ機器が自動スキャンで発見されやすく、認証情報の漏洩や多要素認証の未設定を突かれてログインを突破されるリスクを常に抱えています。今回の精電舎電子工業の事案では、VPNからの侵入の具体的な原因(機器の脆弱性か、認証情報の漏洩か)までは公表されていませんが、いずれにせよVPN機器が組織全体の安全性を左右する重要な防衛線であることを、改めて示す事例だといえます。

情報システム部門への示唆

今回の事案から、情報システム部門が押さえておくべき教訓は複数あります。

第一に、VPN機器のセキュリティ対策の徹底です。VPN機器のファームウェアを最新の状態に保ち、既知の脆弱性を放置しないことに加え、VPNログインへの多要素認証(MFA)の導入が、パスワード漏洩を突いた侵入を防ぐうえで極めて重要です。当サイトで既報のVPN経由の侵入事案の多くで、MFAの未設定が被害を招いた要因として指摘されています。

第二に、Active Directoryの保護と監視です。今回の事案では、AD侵害が認証情報窃取と横展開の起点になりました。ADへの異常なログインや、短時間での大量のアカウント情報へのアクセス、ネットワークスキャンといった挙動を検知できる仕組みを整えること、そして万が一AD侵害が確認された場合には、ドメイン全体のパスワードリセットを含む徹底した認証情報のローテーションを実施することが求められます。

第三に、重要システムのクラウド化・分散配置が事業継続に寄与しうるという点です。今回、基幹業務の一部を担うMicrosoft365やKintone、勘定系クラウド、外部メールサービスが被害を免れたことが、暫定運用と早期の業務再開を可能にしました。オンプレミスの社内ネットワークが全面的に暗号化される事態を想定し、事業継続に不可欠な機能を、被害の波及しにくい形で分散させておくことは、ランサムウェア被害時のレジリエンスを高める有効な備えになります。あわせて、EDRの導入とSOCによる24時間監視という、今回同社が事後的に導入した体制は、本来であれば被害を受ける前から整えておくことが望ましいものであり、同様の攻撃パターンが頻発している現状を踏まえれば、製造業を含む幅広い組織が平時から検討すべき対策だといえます。

出典

• サイバー攻撃に関するお知らせ(最終報) – 精電舎電子工業株式会社
• サイバー攻撃の可能性があるシステム障害に関するお知らせ(第1報) – 精電舎電子工業株式会社
• 第一工業、ランサムウェアによるサイバー攻撃で従業員と取引先の情報漏洩の恐れ – セキュリティ対策Lab
• REXT Holdings連結子会社D&MがVPN経由のランサムウェアで個人情報流出の恐れ – セキュリティ対策Lab
• オーミケンシ、サイバー攻撃はVPN経由か-ランサムウェアグループが犯行声明 従業員の情報の漏えいの恐れも – セキュリティ対策Lab
• PAN-OS GlobalProtectの認証回避脆弱性CVE-2026-0257がQilinランサムウェアに悪用 – セキュリティ対策Lab

関連記事

REXT Holdings連結子会社D&MがVPN経由のランサムウェアで個人情報流出の恐れ 2026年6月 ランサムウェアの被害 事例 まとめ 松沢書店がランサムウェア被害を公表、「楽譜ナビ」「注文くん」停止で受発注・出荷業務に大きな影響 2026年6月 個人情報漏洩の事例 まとめ 精電舎電子工業でサイバー攻撃で一時的なシステム障害 イエローハット 子会社「２りんかんアプリ」へのサイバー攻撃、個人情報漏洩の件数は317万9,454名分に確定 中央紙器工業（MCパック）、ランサムウェアの被害で情報漏洩の恐れ フェースグループでシステム障害、ランサムウェア 被害の恐れ-個人情報・取引情報への影響を調査中 オーミケンシ、ランサムウェア被害の最終報を公表-実データの公開は未確認も「持っていないことの確定ではない」と慎重な評価

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)