【インシデント速報】アルプスアルパインVPN不正アクセス・エネサンスHD36万件流出・コープいしかわ委託先ランサム｜2026年5月17日
secure【インシデント速報】アルプスアルパインVPN不正アクセス・エネサンスHD36万件流出・コープいしかわ委託先ランサム｜2026年5月17日
① アルプスアルパイン：VPN機器を足がかりにサーバが侵害、従業員情報が流出の可能性（5月14日公表）
② エネサンスHD：昨年10月のランサムウェア被害で顧客36.5万件の個人情報流出が最終確定（5月13日公表）
③ コープいしかわ：委託先へのランサム攻撃が波及、組合員・届け先情報が流出の可能性（5月14日公表）
【不正アクセス】VPN経由でサーバ侵害 ― アルプスアルパイン
📅 侵害発覚：2026年4月3日 | 侵害確認：2026年4月13日 | 公表：2026年5月14日
🏢 業種：電子部品・音響機器製造（東証プライム・証券コード6770）
電子部品や音響機器の製造・販売を手がけるアルプスアルパインは、2026年5月14日、同社が利用するVPNシステムへの不正アクセスとサーバ侵害を公表した。
2026年4月3日、社内システムの保守管理を委託していた事業者から「外部VPNシステムに不正アクセスの痕跡がある」との報告を受け調査を開始。同月13日、社内サーバが実際に侵害されていたことが判明した。侵害されたサーバには社内システムへアクセスするための認証情報が格納されており、役員・現従業員・退職者・委託先従業員の氏名、会社メールアドレス、役職、部門、ログインID、システムIDなどが流出した可能性がある。流出した件数は現在も調査中で確定していない。
同社は外部専門機関の協力のもと原因と影響範囲の調査を継続しており、生産・販売活動への支障は報告されていない。VPN機器の脆弱性または認証情報の漏えいを起点とした侵害とみられている。
中小企業への影響
VPN機器は社外からの安全な接続を提供する一方、適切に管理されていないと侵入口になる。多くの中小企業がリモートワーク対応でVPNを導入したが、「入れっぱなし」のままファームウェアを更新していないケースが依然として多い。一度VPNを突破されると、そこから社内サーバへ横断的に侵害が広がる。このインシデントは、社内システムの「入口」となる機器の管理がいかに重要かを示している。
推奨対応
- VPN機器のファームウェアを最新版に更新し、メーカーのサポート期限切れ機器は速やかに交換する
- VPNアカウントに多要素認証（MFA）を設定し、使用していないアカウントを即時削除する
- VPNのアクセスログを定期的に確認し、業務時間外や海外からの不審なアクセスを検知できる体制を整える
- 保守管理を委託している業者のアクセス権限を最小化し、作業ログを記録・監視する
【ランサムウェア】顧客36.5万件の個人情報流出が確定 ― エネサンスホールディングス
📅 攻撃発生：2025年10月21日 | 情報公開を確認：2025年11月30日 | 最終報公表：2026年5月13日
🏢 業種：LPガス輸入・販売（東証プライム） | 攻撃者グループ：Qilin
液化石油ガスの輸入・販売を手がけるエネサンスホールディングスは、2026年5月13日、昨年10月に発生したランサムウェア被害に関する調査結果を最終報として公表した。顧客の個人情報が外部に流出した可能性が確定し、対象者への書面通知を順次行うとしている。
2025年10月21日、同社のシステムにランサムウェア「Qilin」を用いたサイバー攻撃が発生し、大規模なシステム障害が起きた。2025年11月30日には、攻撃者が盗んだとする情報を公開していることを確認。その後、外部専門機関による詳細調査を進めた結果、公開情報の一部に個人情報が含まれることが判明した。
流出した可能性がある情報は、顧客の氏名・住所・電話番号・メールアドレスなど約36万5,000件と、グループ従業員の氏名・電話番号など約2,000件。侵入経路はインターネット接続部分からの可能性が高いとされている。現時点で不正利用などの二次被害は確認されていないが、対象顧客には書面で順次連絡を行う。システム復旧はおおむね完了済み。
中小企業への影響
LPガスの顧客情報という生活インフラに直結した個人情報が36万件以上流出した事例は、個人情報保護法上の通知・報告義務の重さを改めて示す。中小企業でも顧客データベースを保有していれば同様のリスクがある。また、攻撃から最終公表まで約7か月かかっている点は、調査の複雑さと、インシデント後の対応期間が長期化することへの備えの必要性を示している。
推奨対応
- インターネットに直接公開されているシステム（VPN・リモートデスクトップ・Webサーバなど）の脆弱性を確認し、パッチを適用する
- 顧客データベースを保有している場合、個人情報保護委員会への報告・本人通知手順をあらかじめ整備しておく
- ランサムウェア対策として、バックアップをネットワーク隔離した媒体に別途保存し、復旧テストを定期実施する
【サプライチェーン攻撃】委託先ランサム被害が組合員情報に波及 ― コープいしかわ
📅 異常検知：2026年4月10日 | 個人情報保護委員会報告：2026年4月17日 | 公表：2026年5月14日
🏢 業種：生活協同組合（石川県）
生活協同組合コープいしかわは、2026年5月14日、ギフトカタログオンラインショップの業務委託先がランサムウェア攻撃を受け、組合員などの個人情報が流出した可能性があることを公表した。
2026年4月10日、同組合が業務を委託していた事業者において社内システムの異常が検知された。調査の結果、ランサムウェアによるサイバー攻撃を受けてサーバ内のファイルが暗号化されたことが判明した。被害が生じたサーバには、ギフトカタログオンラインショップを利用した組合員の氏名・住所・電話番号・ギフト注文履歴1,756件と、届け先情報4,264件が保存されていた。
現時点で流出の痕跡は確認されていないものの、流出した可能性もあるとして、同組合では2026年4月17日に個人情報保護委員会へ報告した。対象の組合員・届け先への個別連絡を順次実施するとしている。
中小企業への影響
直接自社が攻撃されなくても、業務委託先が被害を受けることで顧客情報が流出するリスクがある。このサプライチェーン攻撃は製造業・流通業・組合・協会など、外部に業務システムを委託している組織全般に当てはまる。委託先のセキュリティ水準が低ければ、自社のデータも危険にさらされることを意識する必要がある。
推奨対応
- 業務委託先との契約にセキュリティ要件を明記し、委託先のインシデント発生時の報告義務と対応手順を取り決めておく
- 委託先のシステムに保存する個人情報の範囲を最小化し、不要なデータを速やかに削除するよう求める
- 定期的に委託先のセキュリティ対策状況を確認・評価する（書面調査でも可）
編集部まとめ
今週公表された3件は、「VPN管理の甘さ」「ランサムウェアの長期影響」「委託先経由の被害」という異なるルートを示している。共通するのは、外部との接点（VPN・インターネット接続部・委託先システム）の管理不足だ。自社のシステムだけを守るのでは不十分な時代になっている。まず「外部への出入り口」を棚卸しし、管理状況を確認することから始めてほしい。
