トンボ飲料のランサムウェア被害 — リモートデスクトップから侵入され、仕入先の銀行口座情報が流出した経緯と取引先を守る備え

トンボ飲料のランサムウェア被害とは

2026年1月15日、富山市の飲料・食品メーカー、株式会社トンボ飲料が管理する一部のサーバーがランサムウェアの攻撃を受けました。会計ソフトに登録していた仕入先の銀行口座情報が外部に流出した可能性があり、同社は1月20日に第1報を出しています。3月2日の最終報では、侵入の手口がインターネット経由で操作できるリモートデスクトップソフトだったことが明らかになりました。

トンボ飲料グループは1896年創業の飲料・食品メーカーで、ブランドオーナー向けの製品づくりを担う株式会社トンボ飲料と、消費者向けの食品を手がけるバランス株式会社の2社で事業を展開しています。今回の発表は、両社のサイトに同じ内容で掲載されました。原材料の調達、製品の生産、代金の支払いには影響がなく、納期の遅れも見込まれないとされています。

発覚から復旧までの経緯

攻撃が分かった当日に、同社は関係するシステムをネットワークから切り離し、外部の専門家と警察との連携を始めました。そこから約2か月で全システムと全パソコンの解析を終え、さらに2週間後には、暗号化されたデータの復号に成功したと報告しています。

流出した情報と、業務への影響

流出したのは、会計ソフトに登録していた仕入先の銀行口座情報です。販売先の情報は含まれておらず、最終報の時点で追加の不正アクセスや情報漏洩を示す痕跡も見つかっていません。同社は個人情報保護委員会などの関係機関に報告しています。

リモートデスクトップはランサムウェアの侵入経路になるのか

なります。リモートデスクトップは、VPN機器と並ぶランサムウェアの代表的な侵入経路です。警察庁によると、2026年上半期にランサムウェアの侵入経路が分かった36件のうち、9件がリモートデスクトップでした。VPN機器の18件と合わせると、4分の3がインターネットとの境目に置かれた遠隔接続の入口から始まっています。

なぜ遠隔操作ソフトが狙われるのか

リモートデスクトップソフトは、離れた場所からパソコンやサーバーを画面ごと操作するための道具で、保守業者の作業や在宅勤務で広く使われています。便利さの裏返しとして、インターネットから接続できる状態で置かれていれば、IDとパスワードを手に入れた攻撃者も同じように社内のサーバーを操作できてしまいます。警察庁は、漏えいした認証情報や「password」「12345678」のような簡単なパスワードで、リモート・デスクトップ・サービスの認証が突破される事例が多数確認されていると注意を促しています。

やっかいなのは、こうしたソフトが社内で把握されないまま残りやすい点でしょう。昔の保守業者が設定したもの、在宅勤務のために一時的に入れたものなど、担当者が替わると存在そのものが忘れられてしまいます。入口があることに気づいていなければ、更新も監視も行き届きません。攻撃者がこうした入口を探して売り買いし、別の実行役が攻撃する分業の構造は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で詳しく解説しています。トンボ飲料の場合も、このソフトが入れられた経緯は、外部の専門家と捜査機関が引き続き調べているとされています。

会計ソフトのデータが狙われた意味

今回、流出したのは会計ソフトに登録していた仕入先の口座情報でした。支払いのために登録された口座情報は取引先の数だけ増えていき、攻撃者から見れば、まとめて手に入る価値の高い情報です。製造業は仕入先、外注先、販売先と多くの会社とつながっているため、1社の被害が口座情報を通じて取引先にまで及びます。

リモートデスクトップからのランサムウェアを防ぐには？取引先の多い企業の3つの対策

取引先の多い企業が優先して取り組むべきなのは、①遠隔操作の入口を外から直接つながらない状態にする、②取引先の情報が集まる会計データを分けて守り、戻せるようにする、③振込先の変更をメール以外の手段で確かめるルールを持つ、の3つです。①で入口を塞ぎ、②で入られたときの損害を小さくし、③で流出の後に起きる詐欺を止める、という役割分担になっています。

対策1：遠隔操作の入口を洗い出し、インターネットから直接つながる状態をなくす

まず手をつけるべきなのは、社内のどこに遠隔操作の入口があるのかを知ることです。トンボ飲料の事例が示すとおり、攻撃者は「外から直接つながる遠隔操作ソフト」を探して入ってきます。入口が見えていれば塞げますが、存在を知らない入口は守りようがありません。

作業は、次の順で進めると漏れがありません。

1. ルーターやファイアウォールの設定画面で、外部から社内のパソコンへ転送している通信（ポート転送）の一覧を確かめる。Windowsのリモートデスクトップが使う3389番などが外に開いていれば、それが入口です
2. 社内のパソコンとサーバーに入っている遠隔操作ソフト（Windowsのリモートデスクトップのほか、AnyDesk、TeamViewer、Chromeリモートデスクトップなど）を、資産管理ツールか目視で洗い出す
3. 使っていないものは削除し、残すものは「VPNや遠隔接続サービスを通した接続だけを許す」「多要素認証をかける」「接続できる相手のIPアドレスを限る」の3つを満たす設定に直す
4. 保守業者の接続は、作業の時間だけ有効にして、終わったら止める運用に切り替える
5. 接続の記録（いつ、誰が、どこから）を残し、月に1回は見直す

どこまでやれば十分かの目安は、「インターネット側から、IDとパスワードだけで社内のパソコンを操作できる入口が1つもない」状態です。多要素認証とIPアドレスによる制限の組み合わせは、警察庁も積極的な実施を求めています。

落とし穴は、保守業者や過去の担当者が設定した入口です。取引のある保守業者に「当社の機器に、どの遠隔接続の仕組みを入れているか」を書面で確かめておくと、社内の目録と照らし合わせられます。担当は情報システムの担当者か総務で、初回の洗い出しは半日から1日、その後は月1回の確認で回せる作業量です。

対策2：取引先の情報が集まる会計データを分けて守り、戻せるようにしておく

入口を塞いだうえで欠かせないのが、もう一段の備えです。2つ目の対策は、万一入られたときに失うものを小さくし、早く元の業務に戻れるようにしておくことにあります。トンボ飲料で流出したのは会計ソフトの仕入先の口座情報でした。取引先の情報が集まる場所は、攻撃者が最初に探す場所でもあります。

守り方は、置き場所・見る人・戻し方の3点で考えると整理しやすくなります。

なかでも見落とされやすいのがバックアップの置き場所です。警察庁は、ランサムウェアによってバックアップまで暗号化される事例が多数確認されているとして、こまめに取得し、ネットワークから切り離してオフラインで保存するよう勧めています。同じサーバーや同じネットワーク上のバックアップは、本体と一緒に暗号化されると考えておくべきでしょう。

もう1つの落とし穴は、会計ソフトから書き出したCSVやExcelが、共有フォルダやメールの添付に残っていることです。元のソフトの権限をいくら絞っても、書き出したファイルは誰でも開けてしまいます。経理の担当者と一緒に「書き出したファイルをどこに置いているか」を確かめるところから始めると、短い時間で効果が出ます。

対策3：振込先の変更は、メール以外の手段で確かめる社内ルールを持つ

口座情報が流出した後に警戒すべきなのが、取引先や自社を名乗って「振込先が変わった」と連絡してくる詐欺です。ビジネスメール詐欺と呼ばれる手口で、IPAの「情報セキュリティ10大脅威 2026」でも組織向けの脅威に挙げられています。取引先の口座情報や取引の内容を知った攻撃者からの連絡は、本物と見分けるのが難しくなります。

IPAは、急な振込先や決済手段の変更があった場合、取引先へメール以外の方法で確認するよう、電信送金に関する社内規程を整えることを勧めています。具体的には、次のような手順を経理のルールとして決めておくのが効果的です。

1. 振込先や決済手段の変更の依頼を受けたら、その場では処理せず、いったん保留にする
2. 依頼のメールに書かれた電話番号ではなく、以前から登録している連絡先に電話して、変更が本当かを確かめる
3. 変更の登録は、受け付けた担当とは別の人が承認する
4. 確認した日時、相手、内容を記録に残す

判断の目安は、「メールだけで振込先が変わることは、社内のどの経路でも起きない」状態になっているかどうかです。落とし穴は、急ぎの支払いや役員の名前での依頼に押されて、手順を飛ばしてしまうことでしょう。攻撃者は、まさにそうした焦りを突いてきます。取引先にも「当社は振込先の変更をメールだけでお願いすることはありません」と伝えておけば、相手の側でも詐欺に気づけます。規程づくりは経理の責任者が中心となって1〜2日で整えられ、費用もかかりません。

自社で進めることと、ガーディアンに任せられること

ここまでの3つの対策のうち、社内の入口と経理の手順は自社でしか固められません。一方で、取引先とつながる公開Webと、自社の名前で届くメールの守りは、外部に任せたほうが早く確実に整います。役割を分けて考えると、すぐに動き出せるはずです。

自社の名前で届くメールとホームページは、SCSC Dog が守る

口座情報が流出した後、取引先が受け取るメールが本物かどうかを見分けられる状態にしておくことは、対策3の手順を支える土台になります。SCSC Dog は、自社ドメインのなりすましメール対策（SPF・DKIM・DMARC）を標準で整え、自社を名乗る偽のメールが受信側で見分けられやすい状態をつくります。ホームページの更新から24時間365日の有人監視、障害時の復旧までを当社が担う仕組みなので、社内のシステムが止まっている間も、取引先へのお知らせを出す窓口は動き続けるでしょう。運用の基盤は、2026年10月時点で76,325サイトを支えているものと同じです。

取引先とグループ会社の公開Webは、SCAN DOG で確かめる

仕入先や外注先のサイトに穴があれば、そこから取引の情報が狙われます。SCAN DOG ライト版は、取引先のURLの一覧をお預かりするだけで公開Webの状態を外から診断し、対策を急ぐべき取引先から順に並べたレポートを約10営業日でお届けします。一度きりで終わらせず状態を見続けたい場合は、SCAN DOG 正規版による自社とグループ会社、取引先の公開Webアプリケーションの定期診断が向いています。

SCS評価制度と、取引先との事故時の取り決め

経済産業省などが進めるSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）では、★3・★4の申請受付が2026年度末に始まる予定です。任意の制度で取引そのものを縛るものではありませんが、取引先から同じ水準の対策を求められる場面は増えていくとみられます。

今回の事例に関係するのは、★3の要求事項「4-5-1 ネットワーク境界防護」と「2-1-4 セキュリティインシデント発生時の役割・責任」です。インターネットとの境界で認証されていない通信を遮断し、外部からの管理操作には多要素認証をかけること、取引先との間で事故が起きたときの役割と責任を決めておくことが求められます（IPA「★3・★4 要求事項・評価基準」）。対策1と対策3は、そのままこの要求事項への備えにもなります。制度の全体像はSCS評価制度への対応にまとめています。

まとめ

トンボ飲料の事例では、インターネットから操作できるリモートデスクトップソフトを入口にランサムウェアの攻撃を受け、会計ソフトに登録していた仕入先の銀行口座情報が流出しました。同社は直ちにシステムを隔離して警察と連携し、生産と納期を守ったうえで、データの復号にも成功しています。

取引先の多い企業が今日から取り組むべきなのは、次の3つです。

• 遠隔操作の入口を洗い出し、インターネットから直接つながる状態をなくす
• 会計データの置き場所と見る人を絞り、ネットワークから切り離したバックアップを持つ
• 振込先の変更は、メール以外の手段で確かめる社内ルールにする

自社のホームページの状態は、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応