株式会社キューヘン（九州電力グループ）のサイバー攻撃被害事例
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
サイバー攻撃の被害事例
株式会社キューヘン（九州電力グループ）
- ランサムウェア攻撃
被害発生日2024年6月3日
企業名株式会社キューヘン（九州電力グループ）
事例の概要
| 企業名 | 株式会社キューヘン（九州電力グループ） |
|---|---|
| 売上高 | 146億円（2024年度） |
| 総資産 | 132.9億円（2024年度） |
| 従業員数 | 353名（単体）（2024年度） |
| 被害発生日 | 2024年6月3日 |
| 被害の内容 | 社内ネットワークの一部が不正アクセス（ランサムウェア攻撃）を受け、約37.4万件の情報が漏えいした可能性。内訳は給湯器販売に関する個人情報約25万件、九州電力の顧客情報約10.4万件、代理店情報約2万件。 |
| 出典 | 九州電力 グループ会社への不正アクセスが発生しました（第1報） |
対策に向けたガーディアンの見解
1グループ・サプライチェーン全体を統括するセキュリティガバナンスの確立
今回のインシデントは、親会社の重要情報（顧客の個人情報）が、セキュリティ対策レベルが異なる可能性のあるグループ会社から漏えいした点が最大の問題です。攻撃者は、防御の堅い大企業本体ではなく、セキュリティ投資が相対的に手薄になりがちな関連会社や取引先を狙う傾向が顕著です。
対策の方向性:
グループ全体で遵守すべき統一的なセキュリティ基準（ベースライン）を策定し、その遵守状況を親会社が主導して定期的に監査・評価する体制を構築すべきです。具体的には、委託する情報の重要度に応じて、グループ会社や外部委託先に求めるセキュリティ要件（例：多要素認証の導入義務、EDRによる監視、脆弱性管理の徹底など）を契約に明記し、その履行状況をアンケートやヒアリング、第三者機関による診断などを通じて継続的に確認します。これにより、サプライチェーン全体のセキュリティレベルの底上げと平準化を図ります。
2「渡した情報」のライフサイクル管理と監視強化
「委託したから終わり」ではなく、委託先に渡した情報がどのように利用・保管・廃棄されているのか、そのライフサイクル全体を管理・監視する視点が不可欠です。委託業務に必要な情報へのアクセスが適切に制御されていなければ、ひとたび侵入を許した際に被害が直接的に情報漏えいにつながります。
対策の方向性:
ゼロトラストの原則に基づき、「必要最小限の原則」を徹底すべきです。委託先には業務遂行に本当に必要なデータへのアクセス権限のみを付与し、アクセス可能な期間も限定します。可能であれば、データを直接渡すのではなく、親会社の管理下にある仮想デスクトップ（VDI）環境などを通じて業務を行わせることで、データの拡散を防ぎます。また、委託先から重要情報へアクセスする際のログを監視し、通常とは異なる振る舞い（深夜や休日の大量アクセスなど）を自動検知する仕組みを導入することで、侵害の兆候を早期に捉えることが可能になります。
3グループ横断でのインシデント対応体制の構築と実戦的訓練
今回は九州電力本体のシステムに影響がなかったものの、インシデントの発見が遅れたり、対応が不十分だったりすれば、攻撃が親会社のネットワークにまで波及する可能性も否定できません。グループ会社で発生したインシデントを迅速に検知し、連携して封じ込める体制が重要です。
対策の方向性:
グループ会社でインシデントが発生した際に、親会社のセキュリティ専門チーム（CSIRTなど）へ即座に報告・連携するためのエスカレーションプロセスを明確に定義し、形骸化させないことが重要です。さらに、親会社とグループ会社が合同で、サプライチェーン攻撃を想定した実践的なインシデント対応訓練（サイバー演習）を定期的に実施すべきです。これにより、有事の際の情報共有、役割分担、意思決定、対外的なコミュニケーションといった一連の流れをスムーズに行えるようになり、グループ全体としてのインシデント対応能力（サイバーレジリエンス）を向上させることができます。
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。