はるやまホールディングスがランサムウェア攻撃の被害に
紳士服チェーン「はるやま」で知られるはるやまホールディングスが、6月26日にランサムウェア攻撃を受けたことが明らかになりました。この攻撃により、数百万人分の顧客の個人情報（電話番号、住所など）が保管されているサーバーが侵害され、現在も流出の有無について詳しい調査が行われています。
現役のCSIRT（Computer Security Incident Response Team）として多くの企業のサイバー攻撃対応を支援してきた私の経験から言うと、このような大規模な個人情報を抱える企業への攻撃は年々増加傾向にあります。特に小売業界は顧客データが豊富なため、サイバー犯罪者にとって魅力的なターゲットになっているのが現状です。
ランサムウェア攻撃の実態とは
ランサムウェアは、企業のデータを暗号化して使用不能にし、復旧と引き換えに身代金を要求するマルウェアです。今回のはるやまの事例では、以下のような被害が確認されています：
- 顧客データベースへの不正アクセス
- 業務システムの暗号化による機能停止
- ポイントサービスやオンラインショップの運営停止
- 数百万人分の個人情報の漏洩リスク
私が過去に対応した類似事例では、攻撃者は通常、標的型メールやシステムの脆弱性を悪用して企業ネットワークに侵入し、数週間から数か月かけて重要なデータの在り処を探り出してから一斉に暗号化を実行します。
中小企業も狙われている！実際のフォレンジック事例
多くの経営者が「うちは大企業じゃないから大丈夫」と考えがちですが、実際には中小企業こそが狙われやすいのが現実です。私が調査した事例をいくつか紹介します。
事例1：従業員50名の製造業A社
– **攻撃手法**：従業員への偽装メール（フィッシング）
– **被害状況**：設計図面データ、顧客リスト、財務データが暗号化
– **身代金要求額**：約500万円
– **復旧期間**：3週間（バックアップからの復旧）
この企業では幸いにも定期的なバックアップがあったため、身代金を支払わずに復旧できました。しかし、業務停止による損失は数千万円に上りました。
事例2：地域密着型の小売店B社
– **攻撃手法**：古いシステムの脆弱性を悪用
– **被害状況**：顧客の購買履歴、個人情報約2万件が流出
– **追加被害**：信用失墜により顧客の30％が離反
このケースでは、データの復旧はできたものの、個人情報保護委員会への報告義務、顧客への謝罪対応、信用回復のための施策など、事後対応に膨大なコストがかかりました。
個人ができる自衛策
企業のセキュリティ対策も重要ですが、個人レベルでも今すぐできる対策があります。現役フォレンジックアナリストとして、特に効果的だと感じている対策を紹介します。
信頼できるアンチウイルスソフト の導入
個人のパソコンがマルウェアに感染すると、そこから会社のネットワークに侵入される可能性があります。特にリモートワークが増えた現在、個人デバイスのセキュリティは企業セキュリティの一部といえます。
多層防御の観点から、リアルタイム保護機能付きのアンチウイルスソフト
は必須です。私自身も複数のセキュリティソフトを検証していますが、特に：
- ゼロデイ攻撃への対応能力
- ランサムウェア専用の保護機能
- フィッシングサイトの検出精度
- システムへの負荷の軽さ
これらの要素を総合的に評価して選択することが重要です。
安全な通信環境の確保 – VPN の活用
はるやまのような大企業が攻撃を受けると、犯罪者グループは盗んだ個人情報を使って二次的な攻撃を仕掛けることがあります。具体的には：
- 偽装メールによる追加的なフィッシング攻撃
- 個人情報を使った成りすまし
- 関連企業への連鎖攻撃
こうした攻撃から身を守るため、特に公共Wi-Fiを利用する際はVPN
の使用を強く推奨します。VPN
により通信が暗号化されることで、仮に通信を傍受されても内容を解読されるリスクを大幅に軽減できます。
企業のセキュリティ担当者が見落としがちなポイント
フォレンジック調査を行う中で、多くの企業で共通して見つかる脆弱性があります：
1. 従業員教育の不足
技術的な対策だけでなく、従業員一人ひとりのセキュリティ意識向上が不可欠です。私が調査した事例の約70％が、従業員の不注意やセキュリティ知識不足が起点となっています。
2. 古いシステムの放置
サポートが終了したソフトウェアや、パッチが適用されていないシステムは、攻撃者にとって格好の標的です。
3. バックアップ戦略の甘さ
「バックアップがあるから大丈夫」と考える企業も多いですが、最近のランサムウェアはバックアップデータも同時に暗号化や削除を試みます。
今後の対策と展望
はるやまの事例は、どんなに大きな企業でもサイバー攻撃の脅威から逃れられないことを示しています。しかし、適切な対策を講じることで被害を最小限に抑えることは可能です。
個人レベルでは、信頼できるアンチウイルスソフト
とVPN
の組み合わせによる多層防御が効果的です。企業レベルでは、技術的対策に加えて、従業員教育、インシデント対応計画の策定、定期的なセキュリティ監査が重要になります。
サイバー攻撃は技術の進歩とともに巧妙化していますが、基本的な対策を怠らなければ、多くの攻撃を防ぐことができます。一人ひとりがセキュリティ意識を高め、適切なツールを活用することで、より安全なデジタル社会を実現できるはずです。
一次情報または関連リンク
紳士服「はるやま」不正アクセス 数百万人分の個人情報保管のサーバーに – NHK
