2025年10月24日、アパレル関連企業のはるやまホールディングスから衝撃的な発表がありました。今年6月に発生したランサムウェア攻撃により、約1万8000件の個人情報が流出した可能性があるというのです。
現役のCSIRTメンバーとして、このような企業のサイバー攻撃事案を数多く見てきましたが、今回のケースは企業のセキュリティ対策と個人の情報保護について改めて考えさせられる事例です。
事件の概要：何が起こったのか
はるやまホールディングスによると、2025年6月26日にグループのサーバーに外部から不正アクセスを受けました。その結果、保存されていた業務データなどが暗号化され、アクセスできない状態になったのです。
これは典型的なランサムウェア攻撃のパターンです。攻撃者はシステムに侵入後、重要なデータを暗号化し、復号のために身代金を要求します。企業にとっては業務停止という致命的な被害をもたらす攻撃手法です。
流出の可能性がある情報
- 顧客の氏名、郵便番号、住所
- 電話番号、メールアドレス
- 取引先の情報
- 従業員の個人情報
幸い、クレジットカード情報は含まれていないとのことですが、これらの情報だけでも悪用されるリスクは十分にあります。
企業の対応：調査結果と現状
はるやま側は外部の専門機関と共に調査を進めた結果、「個人情報が流出した痕跡は見当たらず、現時点で二次被害は確認されていない」と発表しています。
しかし、「個人情報を閲覧された可能性を完全に否定することは困難」として、法令上の通知対象となる約1万8000件の関係者にメールや郵送で連絡を行いました。
これは非常に誠実な対応だと評価できます。多くの企業では「流出の証拠がない」として通知を避けがちですが、可能性がある以上、関係者に知らせることは重要です。
ランサムウェア攻撃の実態と手口
フォレンジック調査を行っていると、ランサムウェア攻撃には一定のパターンがあることがわかります。
侵入経路の特定
今回のはるやまの事例では具体的な侵入経路は公表されていませんが、一般的なランサムウェア攻撃の侵入経路は以下の通りです：
- フィッシングメール：従業員が悪意のある添付ファイルを開くことで感染
- 脆弱性の悪用：パッチが適用されていないシステムの脆弱性を突く
- RDPの不正利用：リモートデスクトップ接続の認証情報を盗用
- 供給網攻撃：信頼できるソフトウェアを経由した感染
攻撃の進行プロセス
ランサムウェア攻撃は以下のような段階で進行します：
- 初期侵入：システムへの不正アクセス
- 権限昇格：より高い権限を取得
- 横展開：ネットワーク内の他のシステムに拡散
- データ収集：重要情報の特定と収集
- 暗号化実行：データの暗号化と身代金要求
個人ができる対策：今すぐ始められること
今回のような企業の情報流出を完全に防ぐことは個人では困難ですが、被害を最小限に抑える対策はあります。
1. セキュリティソフトの導入
まず基本となるのが、信頼性の高いアンチウイルスソフト
の導入です。最新の脅威に対応できる製品を選び、常に最新の状態に保つことが重要です。
2. 通信の暗号化
個人情報のやり取りが多いオンラインショッピングや各種手続きを行う際は、VPN
を使用することで通信を暗号化し、情報漏洩のリスクを軽減できます。
3. パスワード管理の徹底
- 複雑で一意なパスワードの使用
- 二要素認証の有効化
- 定期的なパスワード変更
企業に求められるセキュリティ対策
CSIRTの立場から見ると、今回のような事案を防ぐために企業が取るべき対策は明確です。
技術的対策
- 多層防御の実装：単一の防御手段に依存しない
- 定期的な脆弱性診断：Webサイト脆弱性診断サービス
による継続的な安全性確認 - バックアップの強化：オフライン環境での定期バックアップ
- ネットワークセグメンテーション：被害範囲の限定
による継続的な安全性確認人的対策
- 従業員教育：フィッシング攻撃の識別訓練
- インシデント対応計画：攻撃を受けた際の迅速な対応
- 権限管理：最小権限の原則の徹底
類似事例から学ぶ教訓
過去のフォレンジック調査で見てきた類似事例では、以下のような共通点がありました：
中小企業のケース
ある製造業の中小企業では、従業員が開いたフィッシングメールから感染が拡大。3日間の業務停止と顧客データ約5000件の流出が発生しました。復旧までに2週間、総被害額は約3000万円に上りました。
個人事業主のケース
ECサイト運営の個人事業主では、古いWordPressの脆弱性を突かれ、顧客の決済情報が流出。信頼失墜により事業継続が困難となりました。
これらの事例からも分かるように、規模の大小に関わらず、適切なセキュリティ対策は必須です。
情報流出を受けた場合の対応
もし今回のはるやまから通知を受けた方は、以下の対応をお勧めします：
- フィッシング詐欺への警戒：流出した情報を悪用した詐欺メールに注意
- 関連パスワードの変更：同じパスワードを使っている他のサービスでも変更
- クレジットカードの利用明細確認：不審な取引がないかチェック
- 迷惑電話への対応準備：電話番号が流出している可能性があるため
サイバーセキュリティの未来
ランサムウェア攻撃は年々巧妙化しており、今後も企業・個人を問わず脅威は増大していくでしょう。重要なのは「絶対に安全」という考えを捨て、「攻撃を受けることを前提とした対策」を講じることです。
個人レベルでも、基本的なセキュリティ意識を持ち、適切なツールを使用することで、被害を最小限に抑えることができます。特に、個人情報を扱う機会が多い現代では、アンチウイルスソフト
やVPN
といったセキュリティツールの活用は必須と言えるでしょう。
まとめ
今回のはるやまの事案は、どんな企業でもサイバー攻撃のターゲットになり得ることを示しています。企業には適切なセキュリティ投資と対策の実装が求められる一方、個人も自分の情報を守るための行動を取る必要があります。
サイバーセキュリティは「他人事」ではありません。今この瞬間から始められる対策を講じることで、あなた自身と大切な情報を守ることができるのです。
