あなぶきグループのランサムウェア被害 — グループ会社の通信機器から複数社のサーバーへ広がり、約20万件の個人情報が漏えいした経緯

あなぶきグループのランサムウェア被害とは

2026年2月3日、香川県高松市に本社を置く穴吹興産、穴吹ハウジングサービス、穴吹エンタープライズなど、あなぶきグループの各社で、サーバーのファイルが暗号化されるランサムウェアの被害が起きました。攻撃者はグループ会社の通信機器の脆弱性を突いて社内ネットワークに入り込み、管理者の権限を奪ったうえで、複数のサーバーへ侵入を広げています。各社に関連するとみられる情報はダークウェブ上のリークサイトに掲載され、マンションの管理や仲介を担う穴吹ハウジングサービスは、5月21日に漏えいした可能性のある個人情報を207,773件と確定しました。

グループには、不動産の取引を手がける穴吹興産、マンションなどの不動産管理を担う穴吹ハウジングサービス、ホテル・旅館やサービスエリアなどの事業を担う穴吹エンタープライズがあります。各社は社内のネットワークでつながっており、1社の機器から入った攻撃者が、グループの各社に被害を広げる結果になりました。

発覚から件数の確定までの経緯

各社は異常を確認すると、対象の機器を社内ネットワークとインターネットから直ちに切り離し、外部の専門機関と調査を始めました。安全を確認できた機器から順に稼働を再開しており、主要な営業は発生の当初から続けています。

漏えいした可能性のある情報

漏えいの可能性があるのは、各社の顧客、取引先、採用の候補者、役員と従業員の情報の一部で、対象は会社ごとに異なります。穴吹興産はクレジットカード情報を保有していないと説明しており、公表の時点で、流出した情報を悪用した二次被害は確認されていません。

なぜ1台の通信機器から、グループの複数社に広がったのか

被害がグループ全体に及んだ理由は、①グループ会社の通信機器に脆弱性が残っていたこと、②侵入後に管理者の権限を奪われたこと、③会社をまたいで侵入を広げられる作りだったこと、の3つが重なった点にあります。穴吹ハウジングサービスも5月の第6報で、原因をグループ会社のネットワーク機器の脆弱性を突かれたことと、その後の横展開を抑えられなかったことにまとめています。

入口は、グループ会社の通信機器の脆弱性

穴吹ハウジングサービスと穴吹エンタープライズは、グループ会社の通信機器への攻撃によって社内ネットワークに不正アクセスされたと公表しました。インターネットとの境界に置く通信機器は、社外から常に届く場所にあります。そのため、修正されていない脆弱性が1つ残っているだけで、そこが侵入の入口になってしまいます。

業務時間外に管理者の権限を奪い、侵入を広げた

侵入した攻撃者は、業務時間外を中心にリモートデスクトップなどを使って複数のサーバーへのログインを試み、管理者の権限を不正に手に入れました。そのうえでネットワーク全体へ侵入を広げ、複数のサーバーにランサムウェアを展開しています。社員のいない夜間や早朝は、不審な操作に誰も気づきにくい時間帯にあたります。

暗号化の前に、情報を盗み出していた

攻撃者はファイルを暗号化するだけでなく、その前に情報を持ち出してリークサイトに掲載していました。穴吹ハウジングサービスのファイルサーバーからは約21万件のファイルが流出しており、同社はバックアップと突き合わせて中身を1件ずつ確かめたうえで、5月21日に個人情報の件数を確定しています。暗号化とデータの公開の両方で脅す「二重恐喝」は、警察庁も近年の被害の多くを占める手口として注意を促しています。

VPN機器はなぜ狙われるのか

VPN機器が狙われるのは、インターネットから常に接続できる場所にあり、脆弱性が見つかったときに修正が遅れやすいからです。警察庁によると、2026年上半期にランサムウェアの侵入経路が分かった36件のうち、半数の18件がVPN機器でした。警察庁は、VPN機器を主要な侵入経路と位置づけ、更新ファイルやセキュリティパッチが公開されたら速やかに適用するよう求めています。

グループ会社を持つ企業にとって問題になるのは、ネットワークがつながっている限り、いちばん守りの弱い会社の機器がグループ全体の入口になる点です。本社が対策を進めていても、子会社に更新の止まった通信機器が1台残っていれば、そこから全体に入られてしまいます。侵入口を探して売る者と攻撃を実行する者が分かれた分業の構造については、当社代表の青山が総合解説「サプライチェーン攻撃の起点は中小企業にある」で詳しく解説しています。

グループ会社のランサムウェア被害を防ぐには？取るべき3つの対策

グループ会社を持つ企業が優先すべきなのは、①グループ全体の境界の機器を一覧にし、更新を仕組みにする、②管理者の権限とネットワークを分け、侵入されても広がらない作りにする、③夜間と休日の異常に気づき、止まっても戻せる体制を持つ、の3つです。あなぶきグループの事例では、入口、広がり、気づきの3つの段階が続けて起きました。どれか1つの段階で止める仕組みがあれば、被害の広がりは小さくできます。

対策1：グループ全体の境界の機器を一覧にし、脆弱性の確認と更新を仕組みにする

最初に取り組むべきなのは、グループの各社がインターネットとの境界に置いている機器を、本社が把握できる状態にすることです。今回の入口は、本社ではなくグループ会社の通信機器でした。子会社が自分たちで導入した機器は、本社の目録に載っていないことがよくあります。

進め方は、次の5段階が基本になります。

1. グループ各社に、VPN機器、ルーター、ファイアウォールなど、インターネットとの境界に置いている機器を報告してもらう
2. 機器ごとに「会社名」「製品名と型番」「ソフトウェアの版」「保守契約とサポート期限」「更新の担当者」を一覧にする
3. メーカーと JPCERT/CC などが出す脆弱性の情報を、担当を決めて毎週確かめる
4. 緊急の修正が出たときに、何日以内に適用するかをグループの共通ルールとして決める
5. サポートが切れた機器は、更新できない入口とみなして入れ替えの計画を立てる

判断の目安は、「本社の一覧を見れば、グループのどの会社にどの境界の機器があり、最新の修正が当たっているかが分かる」状態です。落とし穴は、更新の担当を各社任せにして、誰も最新の情報を見ていない状態が生まれることでしょう。穴吹ハウジングサービスは再発防止策として、VPN機器を含む従来のネットワークをすべて使うのをやめ、パソコンも全台入れ替えました。そこまでの入れ替えが難しい場合でも、一覧と週1回の確認から始めれば、入口の見落としは大きく減らせます。担当は本社の情報システム部門で、一覧づくりは各社の協力があれば数日で終わる作業です。

対策2：管理者の権限とネットワークを分け、侵入されても広がらない作りにする

2つ目は、入口を突破されたとしても、1台から全体へ広がらないようにする備えです。今回、被害がグループ全体に及んだ決め手は、攻撃者が管理者の権限を手に入れ、会社をまたいでサーバーに入れたことにありました。警察庁も、攻撃者は侵入すると内部を探索してより多くのサーバーや端末を狙うため、アカウントの権限とアクセスできる範囲を必要最小限にし、特に管理者権限は付与する対象を絞って厳格に管理するよう求めています。

具体的には、次の点を確かめていきます。

なかでも効果が大きいのは、会社ごとにネットワークを分けることです。経理や人事のサーバーに、別の会社のパソコンから直接つながる必要は、ほとんどの業務でありません。あなぶきグループは、認証と権限の管理をクラウド型の基盤に移し、ゼロトラストの考え方を取り入れたIT環境への移行を進めています。落とし穴は、保守や運用の便利さのために、管理者のパスワードをグループで共通にしていることでしょう。1つ漏れただけで全社の扉が開くため、まずここを解消することが先決です。

対策3：夜間と休日の異常に気づき、止まっても戻せる体制を持つ

3つ目は、侵入に早く気づき、万一暗号化されても業務を戻せるようにする備えです。今回の攻撃は業務時間外を中心に行われ、異常が分かったのは午前5時28分のアラートでした。人が見ていない時間にこそ攻撃者は動く、と考えて体制を組む必要があります。

体制づくりは、次の順で進めると無理がありません。

1. パソコンとサーバーに、不審な動きを検知して止めるEDRなどの製品を入れ、夜間と休日のアラートを誰が受けるかを決める（社内で受けられなければ、24時間の監視サービスに任せる）
2. バックアップを、本番のネットワークから切り離した場所に、少なくとも1つ置く
3. 年に1〜2回、バックアップから実際にシステムを戻す練習と、被害を想定した連絡の訓練を行う
4. 顧客や取引先への連絡窓口（専用のコールセンターやお知らせのページ）を、どう立ち上げるかを決めておく

警察庁は、バックアップまで暗号化される事例が多数確認されているとして、ネットワークから切り離したオフラインでの保存を勧めています。あわせて、サイバー攻撃を想定した業務継続計画（BCP）を用意し、被害を想定した訓練で、警察への通報やバックアップからの復旧手順を確かめておくことも推奨しています。

バックアップは、復旧のためだけのものではありません。穴吹ハウジングサービスが、流出したファイルの中身をバックアップと突き合わせて個人情報の件数を確定したように、何が漏れたのかを調べるときの手がかりにもなります。判断の目安は、「夜中の3時にアラートが鳴ったとき、誰が受けて、誰に連絡し、何を止めるかが決まっている」状態です。落とし穴は、アラートが鳴る仕組みだけを入れて、受ける人を決めていないことでしょう。

事件で見えた課題から逆引きする、ガーディアンの支援

あなぶきグループの事例で見えた課題のうち、お客様や取引先とつながる公開Webの課題には、当社の診断と運用で応えられます。課題ごとに、使うサービスを当てはめると次のようになります。

グループ全体の公開Webを、同じ物差しで比べる

会社ごとにばらばらだった公開Webの状態を比べるには、外から同じ基準で診断するのが近道です。SCAN DOG ライト版は、グループ会社や取引先のURLの一覧をお預かりするだけで、SSL、管理画面やログインIDの露出、CMSの更新状態を診断し、急いで対策が要るサイトから順に並べたレポートを約10営業日でお届けします。継続して確かめたい会員サイトなどの公開Webアプリケーションは、SCAN DOG 正規版で定期的に診断し、グループ全体の結果と対応の状況をダッシュボードにまとめられます。

お客様とつながる窓口を、止めずに守る

穴吹ハウジングサービスは、被害の後に専用のコールセンターを設けました。お客様への案内を出し続けるには、社内のシステムが止まっても動き続けるホームページが欠かせません。SCSC Dog は、ホームページの更新から24時間365日の有人監視、障害時の復旧までを当社の基盤で引き受けるサービスで、自社ドメインのなりすましメール対策も標準で整えます。漏えいの後に会社の名前を使った偽のメールが出回っても、受け取る側が見分けやすくなるでしょう。15年間の運用で、事故は確認されていません。

SCS評価制度とグループ会社の管理

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業の対策の水準を★の数で表す任意の制度で、★3・★4の申請受付は2026年度末に始まる予定です。取引を直接縛るものではないものの、取引先から評価や同等の対策を求められる場面は出てくると考えられます。

この事例に関係する★3の要求事項は、「4-4-4 セキュリティパッチ・アップデートの手続」と「2-1-2 機密情報の取扱い」です。情報機器やソフトウェアへの更新の手続を定めて期限内に適用すること、機密情報を共有する子会社や取引先との間で、業務を始める前に取り扱いを取り決めておくことが求められます（IPA「★3・★4 要求事項・評価基準」）。対策1の「緊急の修正を何日以内に当てるか」というルールは、この要求事項への備えそのものです。制度の全体像はSCS評価制度への対応で整理しています。

まとめ

あなぶきグループの事例では、グループ会社の通信機器の脆弱性を入口に、攻撃者が管理者の権限を奪って複数社のサーバーへ侵入を広げ、情報を盗んだうえで暗号化しました。穴吹ハウジングサービスは、約3か月半をかけて漏えいした個人情報の件数を確定しています。

グループ会社を持つ企業が今日から取り組むべきなのは、次の3つです。

• グループ全体の境界の機器を一覧にし、脆弱性の確認と更新を仕組みにする
• 管理者の権限とネットワークを分け、侵入されても広がらない作りにする
• 夜間と休日の異常に気づく体制と、ネットワークから切り離したバックアップを持つ

自社のホームページの状態は、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応