【インシデント速報】2026年5月16日｜アルプスアルパインVPN不正アクセス・コープいしかわ委託先ランサム・医薬品卸マルタケ障害
secure【インシデント速報】2026年5月16日｜アルプスアルパインVPN不正アクセス・コープいしかわ委託先ランサム・医薬品卸マルタケ障害継続
上場メーカーはVPN経由サーバ侵害、生協での委託先ランサム被害、医薬品卸の復旧長期化の3件が相次ぎ公表。委託先を含む「間接的な被害経路」が今週も主役。自社だけでなく委託先のセキュリティ状況を今すぐ確認してほしい。
VPNに不正アクセス、サーバも侵害 — アルプスアルパイン
電子部品・音響機器メーカーのアルプスアルパイン（東証プライム上場）は2026年5月14日、VPNおよびサーバが外部から侵害されたことを公表した。2026年4月3日、社内システムの保守管理を委託している事業者から「外部VPNシステムに不正アクセスを受けた痕跡がある」との報告を受けて調査を開始。同月13日、社内サーバが実際に侵害されていたことが判明した。
流出した可能性があるのは、社内システムへのアクセスに使用するアカウント情報として登録されていた役員・現役従業員・退職者、および委託先企業の一部従業員に関するデータ。氏名、会社メールアドレス、役職、部門、ログインID、システムIDが含まれる。なお、パスワードは暗号化保管されており不正取得の事実は確認されていない。漏洩件数や侵入経路の詳細につうは外部協力のもと調査継続中。
ランサムウェアの関与や業務停止への言及はなく、侵害範囲は社内アカウント情報に絞られている模様。ただしログインIDとシステムIDが流出していた場合、二次的なフィッシング攻撃や認証情報の悪用リスクが残る。
中小企業への影響
VPNは「社内と同じ環境に外から入れる入口」であり、その認証情報が漏れることは鍵ごと盗まれるのと同義。本件は「委託先の保守会社から侵害を把握した」という点も重要で、自社だけ対策しても委託先経由で侵入されうることを示している。VPNのアカウント棚卸しと多要素認証（MFA）の有効化を今週中に確認するこ。
推奨対応
- VPN装置のファームウェアを最新バージョンに更新し、未使用アカウントを即時無効化する
- VPNアクセスに多要素認証（MFA）を設定していない場合は直ちに導入する
- 社内システムの保守管理を外部委託している場合、委託先がどのような認証方式でアクセスしているか確認し、アクセスログの取得・定期確認を要件として明示する
委託先ランサム被害で組合員ら6千件超の個人情報流出の可能性 — コープいしかわ
生活協同組合コープいしかわ（石川県）は2026年5月14日、ギフトカタログオンラインショップの運営を委託している業者がランサムウェア攻撃を受け、組合員らの個人情報が流出した可能性があることを公表した。委託先で2026年4月10日にシステムの異常が検知され、調査の結果ランサムウェアによるサーバファイルの暗号化が確認された。
流出の可能性がある情報は、ギフトカタログオンラインショップを利用した組合員の氏名・住所・電話番号・注文履歴など1,756件と、注文の届け先情報4,264件（合計6,020件）。金融機関口座情報やクレジットカード情報、マイナンバーは対象外。外部への実際の流出は確認されていないものの流出のおそれがあるとして、同組合は4月17日に個人情報保護委員会へ報告。対象組合員へは個別に書面で連絡する予定としている。
委託先サーバの暗号化という典型的なサプライチェーン型ランサムウェア被害であり、コープいしかわ自体の主要システムへの影響は公表されていない。
中小企業への影響
「自社ではなく委託先が攻撃された」という事例が今週2件発生した。注文管理・ギフト管理・決済処理といった業務をSaaSや外部業者に委託している企業は、委託先のセキュリティ対策状況を把握しているか確認が必要。契約書にセキュリティ要件を明記し、定期的に委託先の対策状況をヒアリングする体制が求められる。
推奨対応
- 業務委託先（EC、ギフト、受発注システム等）とのデータ管理契約を確認し、委託先でのインシデント時の報告義務が盛り込まれているか確認する
- 委託先に保管される自社顧客データの範囲を整理し、最小限の提供にとどめる設計を検討する
- 委託先がランサムウェア被害を受けた場合の連絡フローと、個人情報保護委員会への報告基準を事前に定めておく
ランサム攻撃でシステム障害が長期化 — 医薬品卸マルタケ
医薬品・医療機器の卸売りを手がけるマルタケ（北海道、創業1925年）は2026年4月28日にサイバー攻撃によるシステム障害を公表し、5月12日の第3報でランサムウェアによる障害と確定した。完全復旧には相当の時間を要する見込みとしており、一部業務への影響は継続中。
新潟・東北・関東エリアの医療機関・薬局への医薬品供給につうは代替手段を講じて対応しているとしており、患者への直接影響は最小化されているとみられる。現時点で個人情報の外部流出は確認されていないとしており、引き続き関係当局と連携しながら調査を進めている。
医療・ヘルスケア領域を支えるサプライチェーンへのランサムウェア攻撃は国内外で増加傾向にある。医薬品卸のシステムが長期間停止すると、医療機関の発注・在庫管理に影響が出るため、間接的な医療サービスの低下につながるリスクもある。
中小企業への影響
「ランサムウェアに感染しても業務は続けられる」という楽観は禁物。本件のようにサーバが暗号化されると、発注・在庫管理・顧客情報管理といった基幹業務が数週間以上停止しうる。中小医療関連企業や物流・卸売業では、基幹システムが停止した場合の代替手順を定めていない企業が多い。事業継続計画（BCP）の見直しが急務。
推奨対応
#
- 基幹システムが停止した場合の業務継続手順（BCP）を文書化し、定期的に訓練する
- 重要データのバックアップはオフライン・オフサイトに世代管理で保持し、復旧テストを年1回以上実施する
- 取引先がランサムウェア被害を受けた場合の代替調達・代替供給先リストを事前に整備しておく
編集部まとめ
今週は「委託先経由の被害」が2件、「長期障害」が1件。自社のセキュリティ対策が整っていても、委託先が侵害されれば顧客情報は流出する。発注企業として委託先のセキュリティ要件を契約に盛り込む、VPNのMFAを有効化する、オフラインバックアップを確保する——この3点が今週確認すべき最低ラインだ。
