【インシデント速報】2026年5月26日｜キャンディルランサムウェア・河合楽器米子会社攻撃・東京鋪装工業情報流出
secure昨日（5月25日）、住宅メンテナンス・楽器・建設インフラという異なる業種で3件のサイバーインシデントが公表された。ランサムウェアが住宅サービス会社と建設会社を直撃し、楽器メーカーの海外子会社でも不正アクセスが確認された。口座情報を含む個人情報の外部流出が懸念されるケースもあり、取引先・委託先経由のサイバーリスク管理が急務。
① キャンディルパートナーズ、ランサムウェア被害 — 顧客・取引先ら4,100件の個人情報が流出の可能性
住宅のメンテナンスサービスを展開するキャンディルパートナーズ（キャンディルグループ）は2026年5月25日、同社の一部サーバがランサムウェアによるサイバー攻撃を受けたと公表した。攻撃を検知したのは2026年3月11日で、ファイルの一部が暗号化されていることが確認されている。
同社は攻撃発覚後、警察への相談と個人情報保護委員会への報告を行い、外部の専門機関と連携して影響範囲の調査を進めた。通信記録に個人情報の外部流出を示す明確な痕跡は見つかっていないものの、第三者がデータにアクセスし、流出した可能性は否定できないとしている。対象となる個人情報は、顧客・取引先・従業員の氏名、会社名、住所、電話番号、メールアドレスで、件数は約4,100件。今回の攻撃による業務への影響は限定的で、現在は平常どおり運営している。
中小企業への影響と教訓
住宅リフォームや設備メンテナンス業では、顧客・工事業者・材料業者など多数の取引先情報を管理している。今回のように4,100件という規模でも攻撃対象になる。「うちには大したデータがない」という思い込みは禁物で、取引先の連絡先・口座情報だけでもランサムウェアグループの恰好の収益源になる。
推奨対応
- バックアップの確認: サーバのバックアップがネットワークから切り離した場所に保存されているか確認する。同一ネットワーク上のバックアップはランサムウェアで一緒に暗号化される。
- VPN・リモートアクセス経路の点検: ランサムウェアの主要な侵入経路はVPN機器の脆弱性。利用しているVPN製品のパッチ適用状況を確認する。
- 個人情報の棚卸し: 顧客・取引先情報をどのサーバに何件保管しているか把握していない企業が多い。インシデント時の報告範囲確定に直結するため、年1回の棚卸しを習慣化する。
② 河合楽器・米子会社がサイバー攻撃を受けた可能性 — 日本国内システムへの影響は現時点でなし
楽器メーカーの河合楽器製作所は2026年5月25日、米国子会社のカワイ アメリカが現地時間2026年5月6日にサイバー攻撃を受けた可能性があることを公表した。発覚後はネットワークを遮断し、セキュリティ対策と監視体制を強化したうえで業務を再開しており、現在は平常どおり稼働しているという。
5月22日時点では情報の外部流出は確認されておらず、引き続き調査中。日本国内のシステムとは分離されているため、国内への直接的な影響も確認されていない。ただし、最終的な被害範囲の確定には時間を要する見込みで、今後の追加調査結果が注目される。
中小企業への影響と教訓
中小企業でも海外拠点・グループ会社・現地代理店を持つケースは増えている。国内本社のシステムが堅牢でも、海外拠点のセキュリティ水準が低いと、そこが攻撃の足がかりになる。グローバルで統一したセキュリティポリシーの適用と、拠点間のネットワーク分離が不可欠。
推奨対応
- 海外拠点・グループ会社のセキュリティ状況を把握する: セキュリティ対策の状況を一覧化し、本社基準に準拠しているか確認する。
- 拠点間ネットワークの分離を確認する: 海外拠点と国内システムがフラットにつながっていると、片方の侵害がもう片方に波及する。セグメンテーションの実施状況を点検する。
- インシデント発生時の連絡体制を整備する: 海外拠点で問題が発生した際に誰に連絡し、どの手順で対応するかを事前に定めておく。
③ 東京鋪装工業でランサムウェア被害 — 口座情報含む個人情報が流出の可能性
道路舗装・土木工事を手がける東京鋪装工業は2026年5月22日、2026年4月2日にランサムウェアによるものと思われるシステム障害が発生したと公表した。攻撃検知後は対象機器をネットワークから遮断し、外部の専門機関と連携して被害拡大の防止・原因究明・復旧作業を進めている。
調査の結果、個人情報が外部に流出した可能性があるとしている。対象となる情報は、顧客・取引先の社名、氏名、メールアドレス、口座情報のほか、従業員の氏名、住所、生年月日。口座情報が含まれる点は特に注意が必要で、二次被害（不正送金・振込先詐称）に発展するリスクがある。事業への影響は現時点で否定されており、対象者への個別連絡を実施中。
中小企業への影響と教訓
建設・土木業は下請け構造が複雑で、取引先の口座情報や連絡先を大量に管理していることが多い。口座情報の漏えいは振込先偽装（BEC詐欺）の踏み台になる危険がある。情報漏えいの二次被害として「取引先の口座から不正送金が発生した」ケースも現実に起きており、他人事ではない。
推奨対応
- 口座情報の保管方法を見直す: 取引先の振込先口座情報を業務システムやExcelに平文保存している場合、アクセス権限の絞り込みと暗号化を実施する。
- 振込前の口座変更連絡には電話確認を必須とする: 「メールで口座変更の連絡が来た」だけでは応じず、登録済みの電話番号で相手を呼び出して確認する手順を全社で徹底する。
- インシデント後の二次被害対策を早期に実施する: 流出した可能性がある口座情報の取引先に対し、速やかに個別通知と振込前確認の強化を依頼する。
編集部まとめ
今回の3件に共通するのは「中小・中堅規模の企業がランサムウェアに狙われている」という現実だ。住宅サービス、楽器、建設と業種は異なるが、いずれも多数の個人情報や口座情報を管理する立場にある。自社対策だけでなく、海外拠点・委託先・グループ会社のセキュリティ水準の底上げが急務。まず自社のサーバに何の情報が何件あるかを把握することが、インシデント発生時の初動を速める第一歩となる。
