はるやまホールディングス不正アクセス事案から学ぶ企業セキュリティの盲点と必須対策

2025年10月、株式会社はるやまホールディングス（東証スタンダード：7416）から衝撃的な発表がありました。今年6月に発生した不正アクセス事案で、最大18,053件の個人情報が「閲覧された可能性」があるというのです。

幸い外部への情報持ち出しは確認されていませんが、この事案は現代の企業が直面するサイバーセキュリティの現実を浮き彫りにしています。現役のフォレンジックアナリストとして多くの類似事案を調査してきた経験から、この事案の詳細と対策について解説します。

事案の詳細：何が起こったのか

6月26日に不正アクセスを検知した同社は、直ちにサーバーのネットワーク遮断を実施しました。しかし調査の結果、攻撃者は既に複数のサーバーに侵入し、業務データや業務用ソフトウェアを暗号化していたことが判明したのです。

これは典型的なランサムウェア攻撃の手口です。私が過去に調査した事例でも、同様の攻撃により数日から数週間にわたってシステムが使用不能になった企業を数多く見てきました。

今回の事案で閲覧された可能性がある個人情報は以下の通りです：

具体的には氏名、郵便番号、住所、電話番号、メールアドレスが含まれており、幸いクレジットカード情報は対象外でした。

同社の発表によると、侵入の入口となったネットワーク機器は既に廃止されているとのことです。これは多くの企業で見られる典型的な問題点を示しています。

中小企業から大企業まで、私が調査した不正アクセス事案の約40%は、古いシステムや機器が侵入口となっています。具体的には：

これらの「忘れられた資産」が、攻撃者にとって格好の標的となるのです。

この事案から学べる重要な教訓と、今すぐ実施すべき対策をご紹介します。

まず自社のIT資産を完全に把握することから始めましょう。意外に思われるかもしれませんが、多くの企業が「社内にどんな機器やシステムがあるか」を正確に把握できていません。

はるやま社も実施した多層防御は、現代のサイバーセキュリティにおいて必須です。単一の防御策に頼るのではなく、複数の防御層を組み合わせることで、攻撃者の侵入を困難にします。

個人レベルでも、信頼性の高いアンチウイルスソフトを使用することで、マルウェアの侵入を大幅に防ぐことができます。

リモートワークが普及した現在、従業員が使用するネットワークの安全性も重要です。特に公共Wi-Fiを使用する場合は、VPN の利用が不可欠です。

企業サイトを運営している場合、定期的な脆弱性診断が重要です。Webサイト脆弱性診断サービスを活用することで、攻撃者に悪用される前に問題を発見・修正できます。

今回のケースで注目すべきは、外部専門機関による徹底した調査により「外部への情報持ち出しがなかった」ことが証明されたことです。これは適切なフォレンジック調査がいかに重要かを示しています。

このような調査により、企業は正確な被害状況を把握し、適切な対応を取ることができるのです。

「うちは小さな会社だから大丈夫」と思っていませんか？実際には、中小企業の方が攻撃対象になりやすい傾向があります。なぜなら、セキュリティ対策が手薄になりがちだからです。

はるやまホールディングスの事案は、どの企業にも起こりうる現実的な脅威です。幸い深刻な被害は避けられましたが、これは氷山の一角に過ぎません。

重要なのは「自分の会社は大丈夫」と思い込まず、今すぐ行動を起こすことです。セキュリティ対策は「転ばぬ先の杖」であり、事故が起きてからでは遅いのです。

特に個人レベルでできる対策から始めて、徐々に組織全体の対策を強化していくことをお勧めします。