サイバー攻撃の事例から学ぶこと　公式発表で確かめた被害と原因を整理

公式発表で確かめられる事例を並べると、侵入のきっかけの多くは、保守や取引先とつなぐ外部接続でした。復旧を長引かせた原因には、バックアップとログの置き方が繰り返し出てきます。

今日やることは、社外とつながる機器と回線を紙に書き出し、それぞれの担当者の名前を横に書くことです。担当者を書けない行があれば、そこが最初に確かめる場所です。

この記事は、各社と公的機関が公開した資料を私たちが読んで整理したものです。私たちが調査や復旧に関わった事例ではありません。公表は各社が調査を進めて出した情報で、書かれた時点の内容です。ほかの基本は情報セキュリティの基礎のカテゴリ⁠にまとめています。

被害はどれくらい起きている？

警察庁の令和8年上半期の報告では、ランサムウェアの被害報告は123件でした。半期の件数としては、統計を取り始めた令和2年下半期以降で最多です。

被害組織の約6割⁠が中小企業で、業種別では製造業が約3割⁠を占めます。アンケートでは、復旧に総額1,000万円以上⁠を要した組織が全体の6割でした。1か月未満で復旧した組織は5割弱にとどまります。

令和7年⁠の年間の報告でも、被害報告226件⁠のうち中小企業が約6割⁠、製造業が約4割でした。IPAの情報セキュリティ10大脅威 2026でも、組織編の1位⁠はランサム攻撃、2位⁠はサプライチェーンや委託先を狙った攻撃です。

業種別に見ると、何が起きた？

自社に近い行から読めるように、公式資料で確かめた6件⁠を並べました。

製造業：仕入先の停止が取引先の工場を止める

小島プレス工業の調査報告書（第1報）⁠によると、子会社が特定の外部企業との専用通信に独自に使っていたリモート接続機器に脆弱性がありました。攻撃者はそこから子会社のネットワークに入り、本体のネットワークへ進んでいます。

影響は社外にも及びました。トヨタ自動車は2022年2月28日の発表で、仕入先のシステム障害を受け、3月1日⁠に国内全14工場28ラインを止めると公表しました。翌日の発表で、3月2日からの再開を決めています。

アサヒグループホールディングスの2025年11月27日の発表では、攻撃者はグループ内の拠点にあるネットワーク機器を経由し、データセンターのネットワークに侵入したとされています。障害は9月29日午前7時ごろに起き、同11時ごろにネットワークを遮断しました。表に挙げられた個人情報の件数を足すと191.4万件で、流出またはそのおそれがあるものとして公表されています。

物流と通販：止まるのは自社の業務だけではない

名古屋港の事案では、国土交通省の委員会の中間取りまとめ⁠が経緯を整理しています。約3日間、コンテナの搬入と搬出が止まりました。感染経路は断定できないとしたうえで、VPN機器からの侵入と見るのが適切としています。

同じ資料は、保守用VPNにIPアドレスの制限がなかったこと、公表済みの脆弱性に未対応だったことを確認しています。VPN機器のログを取得していなかった点、バックアップが直近3日分では不足していた点も課題に挙げました。

アスクルの第13報は、原因の完全な究明は困難としたうえで、確認できた事実を示しています。例外的に多要素認証を適用していなかった業務委託先の管理者アカウントで、不正アクセスがありました。侵害されたデータセンターのサーバーにはEDRが未導入で、24時間監視も行われていませんでした。バックアップの一部も暗号化され、復旧に時間を要しています。

医療とIT：入口は本体の外にも、ログの中にもある

大阪急性期・総合医療センターの報告書の概要は、給食事業者側のVPN機器から病院へ広がった経路を推定しています。VPN機器の保守や脆弱性管理の役割分担があいまいだったことを、発生要因に挙げました。全ユーザーへの管理者権限の付与と、共通のWindowsパスワードが、院内での広がりを許したとも書かれています。基幹システムの再稼働に43日⁠、全体の復旧に73日⁠を要しました。

フィーチャの最終報によると、不正アクセスが確認されたサーバー等は32台で、うち13台⁠が感染しました。最初の痕跡は2025年7月9日です。関連ログが暗号化されたことなどから、具体的な原因と手法は特定に至っていません。

共通して何を学べる？

業種は違っても、資料に繰り返し出てくる点は5つです。

警察庁の上半期の報告も、侵入経路は被害組織へのアンケートでVPN機器が約5割としています。添付ファイルによる感染は少なくなっているとも書かれています。社員の注意だけに頼る対策では、この入口はふさげません。

製造業なら、どの場面に置き換える？

たとえば、金型メーカーが設備メーカーの遠隔保守のために回線を引き、取引先とは受発注の専用回線でつないでいる場合です。この2本⁠の回線は、総務や情シス兼任の担当者の管理表に載っていないことがあります。設備導入のときに付いてきたものなら、なおさらです。

確かめる質問は単純です。この機器の更新は、自社と保守会社のどちらの仕事か。契約書かメールに書いてあるか。保守用のアカウントに多要素認証はかかっているか。大阪の報告書は、この役割分担を文書で確認することを再発防止策に挙げています。

もう1つは、自社が止まったときの取引先への連絡です。受注や出荷が止まる場合に、誰が、どの手段で、どの順に知らせるかを決めておきます。社内のメールやファイルサーバーが使えない前提で、連絡先を紙でも持っておきます。

事例を読むときに気をつけることは？

「原因」⁠と書かれていても、断定の強さは資料ごとに違います。名古屋港の資料は「断定できない」⁠、アスクルは「完全な究明は困難」⁠、フィーチャは「特定には至っていない」⁠と書いています。ログが失われると、原因と漏えいの範囲を言い切れなくなるからです。

第1報と最終報でも内容は変わります。読むときは発表日を確かめ、推定と確認済みの事実を分けます。製品名や攻撃グループの話より、自社にも同じ機器、同じ契約、同じ設定があるかを見るほうが、対策につながります。

自社で確かめるなら、どこから？

外部接続の一覧ができたら、次の順に広げます。

1. 一覧の機器を最新の状態にできるか、半日で見るチェックリスト⁠で確かめる。機器の入れ替えを考えるなら法人向けVPNの比較を見る
2. バックアップを1回戻してみる。本番と同じネットワークの中だけに置いていないか見る
3. 法人向けバックアップの製品比較やEDRの製品比較は、足りない所が分かってから見る
4. 自社の外部からの見え方を確かめたいときは、セキュリティ評価サービスの比較を見る
5. 被害が疑われるときの調査先として、インシデント対応・フォレンジックの比較を平時に見ておく

事故が起きたら、IPAのインシデント対応の手引き⁠に沿って動きます。手引きは、遮断や隔離を行いながら、電源を切るなどの不用意な操作で記録を消さないよう求めています。相談先はIPAのサイバーセキュリティ相談窓口と警察の相談窓口です。

事例は社員教育の題材にも使えます。年間の回し方は社員のセキュリティ教育の進め方⁠に書きました。電話から始まる手口はサイバー対策の電話の見分け方⁠で扱っています。