IT企業「両毛システムズ」のランサムウェア被害、なぜ伊勢崎市の児童生徒と大東ガスの顧客情報まで巻き込んだのか。侵入の経緯を確かめる

まず初めに

委託先が一つ破られただけで、自治体の子どもたちの情報とガス会社の顧客情報が一緒に漏れる。これがサプライチェーン攻撃という、実に効率の良い(攻撃者にとっては、という意味だが)仕組みだ。伊勢崎市も大東ガスも、自分のところのサーバーが直接破られたわけではない。ただ「委託先を信用していた」というだけで、巻き添えを食った格好である。委託先を選ぶ決め手が価格だけになっていないか、見直す自治体・企業が増えそうな一件だ。※個人の感想です

何が起きているのか

株式会社両毛システムズは、群馬県前橋市に本社を置くIT企業です。伊勢崎市からは、市内の小学校23校・中学校11校および四ツ葉学園の学習者用タブレット端末、タブレット端末を使うための校内無線ネットワーク、各種アカウントの保守管理・運用管理を受託していました。同社はまた、ガス会社の大東ガスとも取引があったとされています。

同社の説明によると、攻撃者は2026年8月12日、VPNぶいぴーえぬアカウントを悪用して社内ネットワークへ侵入しました。両毛システムズが不正アクセスを確認したのは8月14日未明で、8月15日に第一報として公表しています。その後の調査により、一部サーバーで第三者による不正アクセスの痕跡が確認され、営業情報や取引先・従業員の個人情報が漏えいした可能性があることが分かりました。

2026年9月25日、両毛システムズは第3報を公表し、本件がランサムウェアによる攻撃であったことを正式に確認するとともに、委託先への影響範囲を明らかにしました。伊勢崎市では、学校名・学年・氏名・ふりがな・アカウント名・タブレット端末のパスワードを含む児童生徒のアカウント情報3,789件が、漏えいした可能性があるとされています。大東ガスでは、同社の過去の顧客情報を含むファイル約12万4,000件に、漏えいの可能性があるとされています。

伊勢崎市は同日9月25日、市内全ての小中学校で学習用タブレット端末の使用を午後5時に一時中断しました。なお、ランサムウェアグループ「SafePay」が自らのリークサイトに両毛システムズの名前を掲載しデータを公開したとする報道がありますが、両毛システムズは本記事執筆時点でこのグループを攻撃者として公式には認定していません。

なぜ重要なのか

今回の一件は、いわゆるサプライチェーン攻撃さぷらいちぇーんこうげき(取引先や委託先など、本来の標的より守りの薄い組織を経由して間接的に侵入する攻撃)の典型例です。伊勢崎市や大東ガス自身のシステムが直接破られたわけではなく、両者が業務を委託していた中堅のIT企業が侵入された結果、双方の情報が巻き込まれる形で漏えいしました。

侵入経路がVPNアカウントの悪用だった点も見過ごせません。テレワークや拠点間接続のために広く使われているVPN機器・アカウントは、ランサムウェア攻撃の代表的な侵入経路の一つとされており、今回も同じパターンをたどっています。また、初期の不正アクセス確認(8月14日)から、委託先への影響範囲が正式に確定するまで(9月25日)に1カ月以上を要している点も、この種の調査の難しさを示しています。児童生徒という、自分自身では対策を取りようのない立場の人たちの情報が対象に含まれていることも、社会的な重要性を高めています。

私たちへの影響

伊勢崎市内の小中学校に通う児童生徒・保護者は、学校やタブレット端末に関する案内、今後の追加発表を確認することが望まれます。タブレット端末のパスワードが対象に含まれるため、学校側の指示に従ってパスワードの変更などの対応を行うことが考えられます。

大東ガスの顧客だった人は、氏名や契約情報など過去の顧客情報が対象とされています。今回確認した情報の範囲では、クレジットカード情報など決済に直結する情報が対象に含まれるとは説明されていません。ただし、氏名や契約に関する情報を使った不審な電話・メールなどの標的型の詐欺に注意することが推奨されます。

企業・自治体にとっては、委託先のセキュリティ体制まで含めて確認する「サプライチェーンリスク管理」の重要性を改めて示す事例です。

よくある質問

Q. 自分や家族の情報が対象に含まれているか確認するには?

A. 伊勢崎市内の学校に関係する場合は、伊勢崎市や学校からの案内を確認してください。大東ガスの顧客だった場合は、大東ガスからの個別の案内を確認することが必要です。今回参照した情報源の範囲では、両毛システムズ・伊勢崎市・大東ガスのいずれも、対象者への個別連絡を進めているとしています。

初心者が知っておくべきこと

「VPN」とは、インターネット上に暗号化した専用の通信経路を作り、外部拠点からでも社内ネットワークに安全に接続するための仕組みです。テレワークの普及とともに利用が広がる一方、VPN機器やアカウントの脆弱性・認証情報の悪用が、ランサムウェア攻撃の主要な侵入経路の一つになっています。

「サプライチェーン攻撃」とは、標的とする組織を直接攻撃するのではなく、その組織と取引のある企業や、利用しているソフトウェア・サービスの提供元を経由して間接的に被害を及ぼす攻撃を指します。今回のように、複数の委託元が同時に影響を受けるケースも珍しくありません。

IT Postの見方

IT Postでは、今回のケースが、自治体や中小企業が日常的に頼っている地域のIT委託先事業者にも、ランサムウェア対策への十分な投資が行き届いているとは限らない実態を示していると考えます。委託先を選ぶ側も、価格や実績だけでなく、委託先自身のセキュリティ体制をどこまで確認できているかが問われる局面です。特に今回のように子どもの情報を扱う契約では、委託元の自治体側にも、委託先任せにしない一定の確認責任があるのではないかというのがIT Postの見方です。

今後どうなりそうか

両毛システムズ、伊勢崎市、大東ガスの3者から、被害の全容や再発防止策について、今後さらに詳しい発表がある可能性があります。個人情報の漏えいが確認された場合、事業者には個人情報保護委員会への報告が法令上求められており、今回の対応状況も注目されます。IT Postでは、新しい発表があり次第あらためて取り上げます。