樋口商会 不正アクセス被害 詳細レポート｜Stormousランサムウェア・子会社の会計情報が漏えいの可能性

化学品専門商社の株式会社樋口商会（大阪市）は2026年6月30日、同社が管理するシステムへの不正アクセス被害を公表しました。発覚のきっかけは取引先からの「ランサムウェア感染に起因するとみられる情報漏えいの可能性」という連絡で、確認の結果、子会社の会計情報が漏えい対象に含まれることが判明しました。ランサムウェアグループ「Stormous」がダークウェブのリークサイトに同社を掲載し、財務諸表や会計ソフト由来のデータを窃取したと主張しています。個人情報の漏えいは現時点で確認されていません。本記事では取引先経由（サプライチェーン型）で被害が波及する構造と、中小企業が取るべき備えを整理します。

被害企業	株式会社樋口商会（化学品専門商社／大阪市）
発覚日	2026年6月29日（取引先からの連絡により発覚）
公表日	2026年6月30日
インシデント種別	不正アクセス／ランサムウェアに起因する情報漏えいの可能性（取引先経由・サプライチェーン型）
攻撃グループ	Stormous（リークサイトに「higuchi-inc.co.jp」を掲載し犯行を主張）
漏えいの可能性	子会社の財務情報、子会社の取引先の基本情報（会社名・住所・連絡先等）。件数は不明
個人情報漏えい	現時点で確認されていない
調査状況	当該機器を遮断し外部専門機関と調査継続中（続報待ち）

• 発覚の起点は取引先：取引先からの「ランサムウェア感染に起因する情報漏えいの可能性」という連絡で事態を認識。攻撃者が最初にどの組織へ侵入したかは公表されていない。
• 漏えい対象は子会社の会計データ：子会社の財務情報と、子会社の取引先の基本情報（会社名・住所・連絡先）。会計ソフト由来のデータベースが標的。
• Stormousによる公開型の脅迫：自社ドメインをリークサイトに掲載して窃取を主張。ダークウェブ掲載は二重脅迫の圧力手段。
• 初動での遮断：該当機器の使用停止とネットワーク遮断を即時実施し、被害範囲の拡大を防止。

• 会計・財務データは高価値な標的：取引先の与信・口座・請求データが集約され、なりすまし請求や振込先詐称（BEC）に悪用される恐れ。
• 取引先・子会社経由の漏えいは避けにくい：自社が堅牢でも、データを共有する取引先・子会社が侵害されれば情報は流出。共有範囲の最小化と棚卸しが第一歩。
• 「連絡を受けて初めて気づく」リスク：本件は取引先からの連絡で発覚。ログ監視・EDRによる自律的な検知体制の重要性を示す。
• グループ会社のセキュリティ格差：子会社は本社よりセキュリティ投資が手薄になりがち。会計・基幹データを扱う子会社ほど本社と同等の管理水準を。

• 会計・基幹システムのアクセス権を棚卸しし、取引先・子会社・委託先に渡しているデータの範囲を最小化する
• 取引先とのデータ共有・接続経路（VPN・共有フォルダ・クラウド）を洗い出し、不要な接続を遮断する
• 会計データなど重要データはオフライン（ネットワーク分離）でバックアップし、定期的に復元テストを行う
• メールでの振込先変更依頼は、電話など別経路で必ず確認する（BEC対策）
• ログ監視・EDRを導入し、他社に指摘される前に自社で異常を検知できる体制を整える
• 取引先・子会社との契約に、インシデント発生時の速報義務とセキュリティ水準の維持を明記する

編集部まとめ

樋口商会の事案は、化学品商社という取引ネットワークの要にある企業が、取引先経由で会計データの漏えいに直面した事例です。個人情報の漏えいは現時点で確認されていないものの、Stormousがリークサイトに掲載している以上、財務・取引先情報の公開という二次リスクは残ります。

要点は「自社だけを守っても不十分」ということです。取引先・子会社・委託先を含めた"データのある場所"全体でセキュリティ水準をそろえ、共有範囲を絞り込むこと。そして他社からの連絡で気づくのではなく自社で異常を検知できる仕組みを持つことが、被害の連鎖を断ち切る鍵になります。本件は調査継続中のため、漏えい件数・範囲の続報を引き続き追跡します。

参考情報・出典

• 不正アクセス被害に関するご報告｜株式会社樋口商会（2026年6月30日）
• 樋口商会子会社の会計情報漏えい、取引先から「ランサムウェア感染に起因するとみられる情報漏えいの可能性がある」旨の連絡｜ScanNetSecurity（2026年7月21日）
• 化学品商社 樋口商会で不正アクセス、子会社の財務情報や取引先情報の漏えいの恐れ｜セキュリティ対策Lab

本記事は公表情報をもとに編集部が整理したものです。詳細は各機関の公式発表をご確認ください。