【インシデント速報】2026年5月15日｜エネサンスHDランサ36万件・メディカ出版64万人流出確定・東京鋪装工業ランサ被害
secureLPガス大手エネサンスHDのランサムウェア被害で顧客ら36万5千件の個人情報が流出した可能性が確認された。医療系専門出版のメディカ出版では3月の攻撃に関するフォレンジック調査が完了し、64万1千人分の情報漏洩リスクが確定。東京鋪装工業も4月の感染を5月12日に公表した。3件すべてにランサムウェアが絡む。バックアップの世代管理と多要素認証（MFA）の再確認を今すぐ行うこと。
エネサンスホールディングス — Qilinランサムウェアで顧客36万5千件・従業員等2千件の流出可能性
LPガスの輸入・販売を手がけるエネサンスホールディングス（本社：東京都）は、2025年10月21日に発生したランサムウェアによるシステム障害の調査結果を公表した。外部専門家によるフォレンジック調査の結果、攻撃グループ「Qilin」が関与していることが判明。顧客の氏名・住所・電話番号・メールアドレスなどを含む個人情報約36万5千件と、グループ従業員等の氏名・連絡先など約2千件が外部に流出した可能性があると確認された。
同社は攻撃確認後、直ちに外部接続を遮断し、警察および監督官庁へ報告。被害を受けたネットワークから隔離したクリーン環境でシステムを再構築し、業務を再開している。グループ傘下の一部子会社（エネサンス中部、北海道・神奈川エリアの配送関連会社）でも個別に個人情報の流出可能性が公表された。
中小企業への影響
Qilinはガス・エネルギー・製造業など「止められないインフラ系」を繰り返し狙うグループで、同じ攻撃組織からの別件被害（デンソー等）も続いている。LPガス配送業者など地域インフラ企業と取引のある中小企業は、委託先を通じた情報流出リスクにさらされる可能性がある。また、今回は侵入後に長期間潜伏してから暗号化された疑いがあり、バックアップが汚染される典型的なパターンだ。
推奨対応
- バックアップは「オフラインまたは別ネットワーク」に保存し、直近だけでなく複数世代を確保する。攻撃者は数週間潜伏してからデータを暗号化する手口が一般的。
- VPN・リモートアクセス機器のファームウェアを最新化し、不要なアカウントを削除する。Qilinの多くの侵入経路はVPN機器の脆弱性か認証情報の窃取。
- エネサンスグループと取引がある場合、自社で受け渡した個人情報の範囲を確認し、必要に応じて取引先担当者に問い合わせる。
メディカ出版 — 調査完了。64万1千人分の個人情報漏洩リスクが確定
医師・看護師向け専門書を出版する株式会社メディカ出版（本社：大阪府）は、2026年3月13日に発生したランサムウェア被害について、外部フォレンジック機関による調査が完了したと5月13日に発表した。侵入経路は第三者が正規のアカウント情報を悪用して社内ネットワークに侵入した手口と断定。当初77万2千件と推計されていた漏洩のおそれのある個人情報が、精査の結果64万1千人（重複を含む可能性あり）と確定された。
対象情報にはメディカID登録者（顧客）、医療機関・教育機関・学会関係者、外部協力者（著者・講師等）、従業員・採用応募者、取引先担当者のメールアドレス・氏名・住所・電話番号・銀行口座番号等が含まれる。2026年5月12日時点で二次被害は確認されていないが、ランサムウェアグループ「The Gentlemen」が3月に犯行声明を掲載した（サンプルデータは未公開）。同社は5月11日付で個人情報保護委員会に確報を提出済み。
中小企業への影響
正規アカウントの悪用（パスワードリスト攻撃や認証情報の窃取）が侵入経路になった点が重要だ。自社のSaaSやクラウドサービスでも同様のリスクがある。また、医療・出版・教育系の情報は特定の職業集団に紐づくため、標的型フィッシングの材料になりやすい。64万人という規模は、外部協力者・学会員を含む「間接的なつながり」の広さを示している。
推奨対応
- 業務で使うすべてのクラウドサービスにMFA（多要素認証）を設定する。パスワード単体では正規アカウントの奪取を防げない。
- 退職者・異動者のアカウントを速やかに無効化する。正規アカウントの悪用は、使われなくなったアカウントが起点になるケースが多い。
- メディカ出版のサービス利用者は、不審なメールや身に覚えのない連絡（フィッシング・なりすまし）に注意し、公式サイトの案内を確認する。
編集部まとめ
今週の3件ヂランサムウェア3件が集中した。エネサンスHD・メディカ出版・東京鋪装工業、業種はまったく異なるが共通点がある——いずれも侵入から公表まで数週間から数ヶ月かかっている。攻撃者は時間をかけてバックアップを含む環境全体を汚染してから暗号化する。中小企業が今すぐやることは、MFAの設定とオフラインバックアップの確保の2点に絞られる。費用より先に動くことが防御になる。
