広島銀行の外部委託先でランサムウェア攻撃による情報漏えい – 委託業務のセキュリティリスクを徹底解説

広島銀行委託先でのランサムウェア攻撃事案の概要

2025年10月29日、広島銀行が衝撃的な発表を行いました。同行の外部委託先でランサムウェア攻撃が発生し、顧客情報の一部が漏えいしたというのです。

この事案は、単純な外部委託の問題ではありません。実は委託業務の「再委託」「再々委託」という複雑な構造の中で起きた、現代のデジタル社会が抱える深刻な問題を浮き彫りにした事件なのです。

事案の詳細な経緯

事の始まりは2020年度・2021年度に広島銀行が実施した「お客さま満足度調査」でした。この業務は以下のような複雑な委託構造を経ています：

1. 広島銀行 → 野村総合研究所（NRI）に業務委託
2. 野村総合研究所 → 日本アスペクトコア（NAC）にデータ入力業務を再委託
3. 日本アスペクトコア → ローレルバンクマシン（LBM）の入力補助ツールを使用

攻撃者はこの最終段階、ローレルバンクマシンの入力補助ツールを標的にしました。9月25日に不正アクセスが発生し、身代金要求を伴うランサムウェア攻撃であることが確認されています。

漏えいした情報の詳細と影響範囲

今回漏えいした情報は、基本的には匿名化されたアンケートデータでした：

• 回答者ID（広島銀行が識別用に任意で付与）
• アンケート回答におけるフリーコメントの内容

通常であれば、氏名や住所などの個人を特定できる情報は含まれていませんでした。しかし、問題はフリーコメント欄にありました。

2名の顧客が自らフリーコメント欄に氏名を記載していたため、結果的に個人情報の漏えいに繋がってしまったのです。

フォレンジック分析から見えてくる問題点

この事案をフォレンジック的に分析すると、いくつかの重要な問題点が浮かび上がります：

1. 委託構造の複雑化によるセキュリティ管理の困難さ

元請け→下請け→孫請けという3層構造により、セキュリティ管理の責任範囲が曖昧になっていました。広島銀行から見ると、実際にデータを処理している会社は3社目となり、直接的な管理が困難な状況だったと推察されます。

2. エンドポイントセキュリティの不備

ローレルバンクマシンの入力補助ツールが攻撃対象となったことから、アンチウイルスソフト の導入や適切な更新が不十分だった可能性があります。

3. データ分類とアクセス制御の問題

フリーコメント欄に個人情報が入力される可能性を想定したデータ処理体制が構築されていなかったことが明らかになりました。

ランサムウェア攻撃の手法と対策

今回の攻撃は「身代金要求を伴う不正アクセス」と発表されており、典型的なランサムウェア攻撃の特徴を示しています。

一般的なランサムウェア攻撃の流れ

1. 初期侵入：フィッシングメール、脆弱性悪用、認証情報の窃取など
2. 権限昇格：システム内での権限を拡大
3. 横展開：ネットワーク内の他のシステムへ侵入範囲を拡大
4. データ窃取：暗号化前にデータを外部に送信
5. 暗号化：重要ファイルを暗号化してアクセス不能にする
6. 身代金要求：復号のための金銭を要求

効果的な対策方法

技術的対策

• 多層防御の実装：アンチウイルスソフト 、ファイアウォール、IDS/IPSの組み合わせ
• 定期的なバックアップ：オフライン環境での安全なデータ保管
• ゼロトラストアーキテクチャ：すべてのアクセスを検証する仕組み
• 特権アクセス管理：管理者権限の厳格な制御

組織的対策

• インシデント対応計画：攻撃を受けた際の迅速な対応体制
• 従業員教育：フィッシングメール等の見分け方
• 委託先管理：外部業者のセキュリティ状況の定期監査

個人・中小企業が学ぶべき教訓

この事案は大企業の話ですが、個人や中小企業にとっても重要な教訓が含まれています。

委託業務におけるリスク管理

中小企業でも、会計事務所やシステム開発会社に業務を委託することは珍しくありません。その際、以下の点を確認することが重要です：

• 委託先のセキュリティ対策状況
• 再委託の有無とその管理体制
• データの保管・処理方法
• インシデント発生時の報告体制

個人でできる対策

基本的なセキュリティ対策

• アンチウイルスソフト の導入：信頼できるセキュリティソフトの利用
• VPN の活用：公衆Wi-Fi利用時の通信保護
• 定期的なデータバックアップ：重要データの複製保存
• ソフトウェアの更新：OS・アプリケーションの最新化

フリーコメント入力時の注意

今回の事案では、フリーコメント欄への氏名記載が問題となりました。アンケートやお問い合わせフォームを利用する際は：

• 必要最小限の情報のみを入力
• 個人を特定できる情報の記載は避ける
• サービス提供者のプライバシーポリシーを確認

企業のWebサイトセキュリティ強化の重要性

今回の事案を受けて、企業のWebサイトやシステムのセキュリティ対策の重要性が改めて浮き彫りになりました。

特に顧客データを扱う企業では、Webサイト脆弱性診断サービス を定期的に実施し、システムの脆弱性を早期発見・修正することが不可欠です。

推奨されるセキュリティ監査項目

• 脆弱性スキャン：既知の脆弱性の有無確認
• ペネトレーションテスト：実際の攻撃手法を用いた侵入テスト
• アクセス制御の検証：適切な権限管理の確認
• ログ監視体制：異常なアクセスの早期検出

今後の対策と業界への影響

この事案は金融業界全体に大きな衝撃を与えました。今後、以下のような対策強化が予想されます：

規制面での変化

• 委託先管理に関するガイドラインの厳格化
• インシデント報告義務の強化
• 個人情報保護に関する罰則の強化

技術面での進歩

• AIを活用した異常検知システムの導入
• ゼロトラストセキュリティモデルの普及
• クラウドセキュリティ技術の高度化

まとめ：多層防御の重要性

広島銀行の事案は、現代のサイバーセキュリティが直面する複雑さを象徴的に表しています。完璧なセキュリティは存在しないという前提のもと、多層防御による対策が不可欠です。

個人レベルではアンチウイルスソフト とVPN の導入、企業レベルではWebサイト脆弱性診断サービス の実施が基本的かつ効果的な対策となります。

サイバー攻撃の脅威は日々進化しています。しかし、適切な対策と継続的な改善により、リスクを大幅に軽減することは可能です。この事案を教訓として、一人ひとりがセキュリティ意識を高めていくことが重要でしょう。

一次情報または関連リンク

株式会社広島銀行の外部委託先での情報漏えいについて – ScanNetSecurity