八王子学園の第2報によると、攻撃者による最初の不正アクセスは4月26日で、このときは失敗に終わっていました。ファイルが暗号化されたのは、約2か月半後の7月10日です。9月下旬から出た続報は、侵入口と被害の輪郭を、日付とともに少しずつ具体的にしています。
2026年9月24日から10月2日にかけて、国内でランサムウェア被害の続報と、予約システムへの不正アクセスの公表が相次いだ。八王子学園八王子中学校・高等学校は、ファイアウォールを突破されリモートデスクトップ接続でサーバーに侵入されたと説明し、両毛システムズはVPNのアカウントが悪用されたとした。池上通信機は同社の情報とみられるデータのリークサイトへの公開を確認し、10月8日に決算発表の延期を公表した。佐賀大学は9月28日に通常業務を再開したが、10月9日時点で証明書のオンライン発行を止めている。予約システムでは、ファインズが1,536,322件、EPARKリラク＆エステが約2,218万レコードの情報への影響を公表し、レゴランド・ジャパン・ホテルは予約プラットフォームの運営会社から不正アクセスの報告を受けた。
9月下旬から10月初めにかけて出された公表のうち、既報で扱っていなかった7件を整理します。3件はランサムウェアの被害、1件はファイルの暗号化とリークサイトでの情報公開が確認されたサイバー攻撃、3件は予約システムへの不正アクセスです。池上通信機と佐賀大学については、10月に入ってからの発表も加えます。
続報で見えてきたのは、侵入口と、被害の輪郭です。八王子学園は、ファイアウォールを突破されたうえでリモートデスクトップ接続でサーバーに侵入されたと説明し、この接続を侵入経路と考えられるとしています。両毛システムズは、VPNのアカウントが悪用されたと明らかにしました。池上通信機は、公表を重ねるごとに、調査で確認できた内容を具体化しています。予約システムの3件では、店舗やホテルの予約・顧客情報を扱う仕組みに、予約した人の連絡先が集まっていることが分かります。
9月24日〜10月2日に公表された7件と、その後の発表
| 組織 | 公表日（報の番号） | 入口・状況（各組織の説明） | 影響（各組織の表記） |
|---|---|---|---|
| 八王子学園八王子中学校・高等学校 | 9月30日（第2報） | ファイアウォールを突破され、リモートデスクトップ接続でサーバーに侵入された | サーバーのすべてのファイルと、一部の教職員端末のファイルが暗号化。個人情報が記載されたファイルの外部への流出は確認されていない |
| 両毛システムズ | 9月25日（第3報） | 8月12日、ネットワーク接続機器（VPN）のアカウントを悪用されて社内ネットワークに侵入された | 営業情報、取引情報、個人情報に漏えいのおそれ。件数や項目は精査中 |
| 池上通信機 | 9月24日、9月30日、10月2日（第3報）。10月8日に決算発表の延期を開示 | 9月21日に外部から情報提供。一部サーバーに不正アクセスが疑われる痕跡と、一部ファイルの暗号化を確認 | 同社が保有していたと思われる情報が、ダークウェブ上のリークサイトに公開。内容と範囲は精査中。主要な社内システムを停止し、経理関連データのサーバーを隔離（10月8日） |
| 佐賀大学 | 9月25日、9月28日。10月9日に学生センターが証明書発行システムの停止を案内 | 事務部門のNASで、ランサムウェアによると思われる被害 | 教育・研究・診療業務に関係するシステムへの影響は確認されていない。9月28日から通常業務。10月9日時点で証明書のオンライン申請・発行を停止 |
| ファインズ | 9月25日（速報） | 9月22日に予約システムの異常を検知し、第三者による不正アクセスを確認 | 1,536,322件。予約者の氏名、電話番号、メールアドレス、予約店舗・メニュー・日時など |
| EPARKリラク＆エステ | 9月24日（第二報） | 予約管理・顧客管理プラットフォーム「PeakManager」のデータベースへの不正アクセス | 約2,218万レコードの情報が外部へ転送された。健康状態など要配慮個人情報を一部含む |
| LEGOLAND Japan合同会社（レゴランド・ジャパン・ホテル） | 9月25日 | 公式予約サイトで使うオンライン予約プラットフォームの運営会社から、不正アクセスの報告 | 影響を受けた可能性のある予約は1,557件。氏名、メールアドレス、電話番号 |
八王子学園｜暗号化の2か月半前に、失敗した侵入の試み
八王子学園八王子中学校・高等学校は、7月13日の初報に続いて、9月30日に第2報を出しました。外部の調査会社によるフォレンジック調査は8月末に終わり、侵入の経緯が日付で示されています。
4月26日から7月10日まで
調査によると、攻撃者は不正な手段でファイアウォールを突破し、サーバーにリモートデスクトップ接続でログインして内部に入り込んでいました。最初の不正アクセスは4月26日で、このときの侵入は失敗に終わっています。攻撃者がサーバーへの侵入を果たしたのは7月8日です。7月10日未明にランサムウェアが実行されてファイルが暗号化され、同日早朝に攻撃者はシステムからログアウトしました。
失敗に終わった最初の試みから暗号化まで、約2か月半あったことになります。失敗に終わった試みの記録が、後の調査で一連の攻撃の始まりとして位置づけられた形です。
暗号化されたファイルと、流出の調査
暗号化されたのは、サーバーに保存していたすべてのファイルと、一部の教職員の端末のファイルです。在校生、卒業生、受験生とその保護者、教職員、退職者の個人情報を含むファイルもあり、元に戻す見込みは立っていません。生徒が「情報」の授業で作ったファイルも被害を受けました。
一方で、個人情報が記載されたファイルの外部への流出は確認されていません。持ち出しのためによく行われるファイルの圧縮や、クラウドサービスへのアップロードの形跡もありませんでした。ただ、攻撃者が一部のログを消していたため、学校は流出を完全には否定できないとしています。生徒のタブレットやスマートフォンは別のネットワークにつながっており、そこから被害が広がることはないと報告を受けています。
学校は今後、侵入経路と考えられるリモートデスクトップ接続を遮断し、ネットワークを再構築するとしています。
両毛システムズ｜VPNのアカウントから、委託元の情報へ
群馬県桐生市の両毛システムズは、自治体や水道、医療などの分野のシステムを手がける会社です。8月15日と19日の公表に続き、9月25日に第3報を出しました。
第3報によると、8月12日に外部の第三者がネットワーク接続機器（VPN）のアカウントを悪用し、社内ネットワークに侵入しました。8月14日に社内の死活監視で異常を見つけ、サイバー攻撃と確認してネットワークを遮断しています。外部の専門機関による調査で、ランサムウェアによる攻撃であることも確認されました。
一部のサーバーには、第三者による不正アクセスの痕跡が確認されています。漏えいのおそれがあるのは営業情報、取引情報、個人情報で、個人情報には取引先の顧客、問い合わせをした事業者、個人の顧客、従業員に関する情報が含まれる可能性があります。件数や項目は精査中で、二次被害は確認されていません。いずれも9月25日の第3報の時点の説明です。
委託元の側からも公表が出ています。学習者用タブレット端末の保守を委託していた群馬県伊勢崎市は、不正アクセスのあったシステムに、児童生徒が使うアカウントの情報が含まれていたと公表しました。対象は3,789件で、学校名、学年、氏名、ふりがな、アカウント名、パスワードです。市は9月24日に両毛システムズから報告を受け、翌25日に保護者へ通知を送りました。該当するアカウントのパスワードも変更しています。
委託先のVPNアカウントを悪用した侵入が、委託元の子どもたちのアカウント情報の漏えいのおそれにまでつながっていました。10月に相次いだ委託先経由の事案は、10月18日の記事でも整理しています。
池上通信機｜3回の公表で具体化した被害の輪郭、決算発表は延期
放送用カメラなどの映像機器を手がける池上通信機は、9月24日から10月2日までの9日間に、3回の公表を出しました。
最初のきっかけは、9月21日に外部から受けた、サイバー攻撃の可能性についての情報提供です。9月24日の時点では、攻撃の有無を含めて確認中としていました。9月30日の公表では、一部のサーバーに不正アクセスが疑われる痕跡があり、サーバー内の一部のファイルが暗号化されていることを確認したと発表しています。社内ネットワークは切断したままで、外部から提供を受けた情報の一部に同社の資料とみられる情報が含まれていることも把握しました。
10月2日の第3報では、外部の専門機関などからの情報提供を受けて確認したところ、同社が保有していたと思われる情報が、ダークウェブ上の攻撃者のリークサイトに公開されていたとしています。公開された情報の内容と範囲は精査中です。
その後、10月8日には適時開示で、11月12日に予定していた2027年3月期第2四半期（中間期）の決算発表を延期すると公表しました。不正アクセスを受けて主要な社内システムを止め、被害の拡大を防ぐために経理関連データのあるサーバーをネットワークから隔離しているため、決算と監査法人のレビュー手続きに遅れが出ているとしています。延期後の発表日は、システム全体の復旧の進み具合を見て決めるとしています。
池上通信機の公表は「ランサムウェア」という言葉を使わず、ファイルの暗号化とリークサイトでの公開という事実を示しています。最初の手がかりも、公開の確認も、外部からの情報提供がきっかけでした。
佐賀大学｜4日後に通常業務を再開、証明書のオンライン発行は停止
佐賀大学は9月25日、事務情報システムの一部でランサムウェアによる被害が発生したと公表し、28日に続報を出しました。
9月24日午前8時42分、事務部門が使うNAS（ネットワーク接続型のストレージ）で、ランサムウェアによると思われる被害が確認されました。大学はNASをネットワークから切り離し、学内のCSIRTを中心に初動の対応を始めています。同日午後4時45分に事務用端末の利用を止め、警察に相談しながら復旧を進めました。9月27日午前11時3分に事務用端末の利用を再開し、28日から通常業務に戻っています。
9月28日の発表では、教育・研究・診療業務に関係するシステムへの影響は確認されていないとしていました。被害を受けた機器を当日のうちに切り離し、4日後には通常業務を再開しています。感染経路と影響範囲は、引き続き調べるとしています。
通常業務の再開は、すべてのシステムが元に戻ったことを意味するわけではありません。佐賀大学の学生センターは10月9日、ランサムウェア被害への対応で一部システムの復旧と安全確認を続けており、その影響で各種証明書のオンライン申請・発行のシステムを止めていると案内しました。在学生は窓口や学内の証明書発行機を使うことができ、卒業生には申請フォームが用意されています。業務を続けることと、システムを安全に戻すことを、分けて進めている様子がうかがえます。
予約システム｜店舗やホテルの予約・顧客情報
予約システムの3件は、店舗やホテルの予約・顧客情報を扱う仕組みへの不正アクセスです。店舗が入力する顧客台帳もあれば、公式予約サイトで使う予約プラットフォームもあります。
ファインズ｜1,536,322件の予約者情報
ファインズは9月25日、同社が提供する予約システムで、第三者による不正アクセスがあったと速報で公表しました。9月22日にシステムの異常を検知し、アクセスの遮断などの緊急措置をとったうえで、弁護士と連携して調査しています。
影響の範囲は1,536,322件で、予約者の氏名、電話番号、メールアドレス、予約した店舗・メニュー・日時などです。個人情報保護委員会などに報告し、引き続き影響範囲の特定を進めるとしています。侵入の経路は、速報の段階では示されていません。
EPARKリラク＆エステ｜「PeakManager」の第二報
EPARKリラク＆エステは9月24日、予約管理・顧客管理プラットフォーム「PeakManager」への不正アクセスについて、7月31日の第一報に続く第二報を出しました。フォレンジック調査の結果、顧客情報を保管するデータベースの情報が外部へ転送されたことが確認され、その後データベースのデータが削除されたことも分かりました。削除されたデータは復旧済みです。
PeakManagerは、各店舗が独自に顧客の情報を入力して管理する台帳です。第一報の約3,300万レコードについて、電話番号やメールアドレスが一致するものを同じ人とみなして重複を除いた結果、約2,218万レコードになりました。同名でも連絡先が登録されていなければ別のレコードとして残すため、正確な人数に置き換えるのは難しいとして、個人情報保護委員会に報告しています。
漏えいした項目には、氏名、生年月日、住所、電話番号、メールアドレスのほか、店舗が施術の申し送りとして書いた備考欄の記載があり、健康状態などの要配慮個人情報も一部含まれます。第一報ではクレジットカード情報は含まれないとしていましたが、備考欄を調べたところ、カード情報にあたる可能性のある記載が5件見つかり、訂正しました。PeakManagerにはカード情報を入力する項目はなく、備考欄に任意で書かれたもので、いずれも有効期限は過ぎています。侵入の経路と手法は、同種の攻撃を誘発するおそれがあるとして公表を控えています。
自由に書ける備考欄には、専用の入力項目を設けていない種類の情報が書き込まれることもあります。PeakManagerの精査は、氏名や連絡先などの定型の項目に加えて、自由に記載できる備考欄の中身まで確かめる作業でもありました。
レゴランド・ジャパン・ホテル｜予約プラットフォームの運営会社から
LEGOLAND Japan合同会社は9月25日、レゴランド・ジャパン・ホテルの公式予約サイトで使っているオンライン予約プラットフォームについて、運営するAmadeus IT Group, S.A.から、予約情報に含まれる一部の連絡先情報が不正アクセスを受けたと報告されたと発表しました。影響を受けた可能性のある予約は1,557件で、対象は氏名、メールアドレス、電話番号です。クレジットカードなどの決済情報、パスワード、金融情報、パスポート情報へのアクセスは確認されていません。
同社は、予約情報を引用した詐欺のメールやSMS、WhatsAppのメッセージが届くおそれがあるとして、メッセージ内のリンクから追加の支払いを求めることはないと案内しています。
予約の情報は、本物らしさの材料になる
3件では、名前や連絡先への影響が公表され、ファインズは予約した店舗・メニュー・日時も対象に含めています。予約した店の名前や日時が正しく書かれていても、そのメッセージが本物だとは限りません。予約の情報は、店舗やホテルの外部のシステムで管理されていることもあります。レゴランド・ジャパン・ホテルのように、店舗やホテルの側から「こういう連絡はしない」と先に伝えておくことが、利用者を守る手立てになります。
相談の窓口と、二つの集計
IPA（情報処理推進機構）は10月16日13時、「不正アクセス特別相談窓口」を開設しました。対象は全国の企業・組織で、実際に被害を受けているか、その可能性がある事象が起きている場合に、電話とメールで初動対応の相談を受け付けます。起きている事象を聞き取って被害の可能性を助言し、被害が出ていれば応急処置の案を示すほか、インシデント対応の専門業者の一覧や、ほかの相談先・報告先を紹介します。IPAは10月9日に、速やかに実施すべき対策をまとめた注意喚起を出しており、その内容は10月10日の記事で伝えました。窓口の開設は、その次の段階にあたります。
ランサムウェアの被害の多さを示す数字は、集計の仕方で変わります。S2Wが10月14日の発表で紹介した2026年上半期のレポートは、ダークウェブ上のリークサイトなどの観測に基づき、日本の被害を64件としています。発表の本文はこれを2025年の半期平均（39件）の約1.6倍とし、副題では前年同期比の約1.6倍と表記しています。警察庁が9月10日に公表した同じ上半期の報告書では、ランサムウェアの被害報告件数は123件で、半期として最多でした（9月12日の記事）。前者は攻撃者が公開した被害、後者は警察が把握した被害で、どちらかが正しいという関係ではありません。
警察庁が同じ報告書とあわせて公開した図表のデータでは、感染経路が不明・未回答のものを除く36件のうち、VPN機器からの侵入が18件、リモートデスクトップからの侵入が9件でした。八王子学園と両毛システムズの続報は、この二つの入口が実際にどう使われたかを、日付とともに示しています。外から中へつなぐ入口を、誰が、いつ使っているのか。続報が残した記録は、同じ仕組みを使うほかの組織にとって、自分たちの入口を確かめ直す手がかりになります。
【関連記事】
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
IPAやNCOなどが10月上旬に相次いで出した不正アクセスへの注意喚起と、事業者に求められた3つの点検を、資料に沿って整理した解説。
警察庁サイバー脅威情勢｜フィッシング報告約4割減を「安全」と読めない理由
警察庁の2026年上半期の報告書を読み解いた記事。ランサムウェアの被害報告件数は半期で最多の123件となり、フィッシング報告は約4割減った。
【解説】Astemo・岩井コスモ証券・函館市など5件、委託先に関わる不正アクセスを整理｜10月16日公表分
10月16日に公表された不正アクセス5件のうち、4件が委託先のシステムや委託先従業員のアカウントに関係していたことを整理した解説。
【編集部後記】
伊勢崎市の公表には、8月17日の時点で、両毛システムズから「教育ネットワークへの被害はない」との報告を受けていたことも記されています。児童生徒のアカウント情報が委託先の社内システムに含まれていたと市に伝えられたのは、9月24日でした。
ネットワークに被害がないことと、委託先の手元にある情報が無事であることは、別の問いです。最初の報告がどちらの問いへの答えなのかを、委託する側と受ける側で確かめ合う。続報が教えてくれるのは、そのひと手間の大切さかもしれません。
【用語解説】
ランサムウェア
感染したコンピューターのファイルを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラム。データを盗み出し、公開をちらつかせる手口も多い。
リモートデスクトップ接続
離れた場所にあるコンピューターの画面を手元に表示し、そのまま操作できる仕組み。サーバーの管理などに広く使われている。
VPN
インターネット上に仮想的な専用の通信路をつくり、社外から社内のネットワークに接続するための仕組み。接続にはアカウントによる認証が使われる。
NAS
ネットワークに直接つないで使う記憶装置。複数の端末からファイルを保存し、共有する用途に使われる。
リークサイト
ランサムウェアの攻撃者などが、被害組織から盗んだとするデータを公開したり、公開を予告したりするウェブサイト。ダークウェブ上に置かれることが多い。
フォレンジック調査
コンピューターやネットワークに残る記録を調べ、侵入の経路や時期、行われた操作を明らかにする調査。
要配慮個人情報
個人情報保護法が定める、病歴などを含み、本人への不当な差別や偏見が生じないよう取り扱いに特に配慮が必要な個人情報。
【参考リンク】
本校を標的にしたサイバー攻撃について（第２報）（八王子学園八王子中学校・高等学校）（外部）
八王子学園八王子中学校・高等学校の9月30日の第2報。4月26日の失敗した不正アクセスから、7月10日の暗号化までの経緯と対策を示した。
当社社内システムへの不正アクセスに関するお知らせ（第3報）（両毛システムズ）（外部）
両毛システムズの9月25日の第3報。8月12日にVPNのアカウントが悪用されて社内ネットワークに侵入されたと、経緯を説明した。
本市委託先への不正アクセスによる情報漏洩の可能性について（伊勢崎市）（外部）
伊勢崎市の公表。タブレット端末の保守を委託する両毛システムズへの不正アクセスで、児童生徒のアカウント情報3,789件に漏洩の可能性。
当社に対するサイバー攻撃に関するお知らせ（第３報）（池上通信機）（外部）
池上通信機の10月2日の第3報。同社が保有していたと思われる情報が、ダークウェブ上の攻撃者のリークサイトに公開されていることを確認した。
2027年３月期第２四半期（中間期）の決算発表日に関するお知らせ（池上通信機）（外部）
池上通信機の10月8日の適時開示。不正アクセスで主要な社内システムを停止しており、11月12日に予定していた中間期の決算発表を延期する。
事務情報システムにおけるランサムウェア被害の発生について（佐賀大学）（外部）
佐賀大学の9月28日の発表。事務部門のNASのランサムウェア被害から、事務用端末の利用停止と再開、通常業務の再開までを時刻とともに示した。
証明書発行システム（オンライン）の停止について（佐賀大学学生センター）（外部）
佐賀大学学生センターの10月9日の案内。ランサムウェア被害への対応で一部システムの復旧を続けており、証明書のオンライン発行を停止している。
弊社システムへの不正アクセスによる情報漏えいについてのお詫びとお知らせ【速報】（ファインズ）（外部）
ファインズの9月25日の速報。同社が提供する予約システムへの第三者の不正アクセスで、予約者の情報1,536,322件に影響があるとした。
不正アクセスと個人情報漏えいに関するお知らせ（第二報）（EPARKリラク＆エステ）（外部）
EPARKリラク＆エステの第二報。「PeakManager」のデータベースの情報が外部へ転送され、約2,218万レコードが対象とした。
ホテルの予約プラットフォームに対する不正アクセスについてのお詫びとお知らせ（レゴランド・ジャパン）（外部）
LEGOLAND Japan合同会社の発表。予約プラットフォームの運営会社から報告を受け、影響の可能性がある予約は1,557件とした。
不正アクセス特別相談窓口の開設について（IPA）（外部）
IPAの10月16日のプレス発表。不正アクセスの被害を受けたか、その可能性がある企業・組織の初動対応を、電話とメールで支援する。
相次ぐサイバー攻撃の背景に何があるのか ― 株式会社S2W、2026年上半期の国家支援型APT・ランサムウェア動向レポートを公開（PR TIMES）（外部）
S2Wの10月14日の発表。ダークウェブ上のリークサイトなどの観測から、2026年上半期の日本のランサムウェア被害を64件としている。
令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁）（外部）
警察庁の2026年上半期の報告書。ランサムウェアの被害報告件数は123件で、統計を取り始めた2020年下半期以降、半期として最多となった。
【参考記事】
不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（IPA）（外部）
IPAの10月9日の注意喚起。相次ぐ不正アクセスを受け、組織が速やかに確認すべき対策をまとめた。特別相談窓口の発表でも参考情報に挙げられた。
当社に対するサイバー攻撃に関するお知らせ（池上通信機）（外部）
池上通信機の9月30日の公表。一部サーバーに不正アクセスが疑われる痕跡と、一部ファイルの暗号化を確認し、社内ネットワークの切断を続けた。
当社社内システムへの不正アクセスに関するお知らせ（第2報）（両毛システムズ）（外部）
両毛システムズの8月19日の第2報。8月14日未明に確認した社内システムへの不正アクセスが、ランサムウェアによる攻撃であると確認した。
