フェースのランサムウェア被害｜VPN機器から侵入、社内のサーバーとPCが操作された経緯と確認すべきこと

フェースグループの株式会社フェースは、2026年6月19日にランサムウェア攻撃によるシステム障害が発生したことを公表し、8月21日に外部専門機関の調査結果と再発防止策を公表しました。システム全体の復旧は2026年10月末頃の見込みとされています。

この記事では、公表内容をもとに経緯を整理し、中小企業が自社で確認しておきたいことをまとめます。特定の企業の対応を評価する記事ではありません。

公表された調査結果

• 2026年6月18日22時46分頃、外部との通信に使用するVPN機器を経由して、第三者がシステムへ不正に侵入した
• 侵入後、社内の一部のサーバーおよびパソコンが不正に操作され、データの暗号化や消去が行われた
• 不正アクセスを受けたサーバーには、顧客の氏名・生年月日・性別・住所・電話番号・メールアドレス・ログインID・パスワードが保存されていた
• 外部への持ち出しを示す具体的な痕跡や不正利用は確認されていないが、外部流出を完全に否定するには至らなかった
• ECサイト自体への不正侵入は確認されていないが、念のためECサイトのパスワード変更を顧客に依頼

侵入から約半日で、サーバーとPCが操作された

侵入が6月18日の夜22時46分頃、システム障害の発生が6月19日です。公表内容からは、VPNを通過した攻撃者が、短い時間で社内のサーバーとパソコンを操作できる状態だったことが読み取れます。夜間の侵入は、気づく人がいない時間帯を狙ったものと考えられます。

サーバーやパソコンを「操作する」には、そこにログインする必要があります。VPNを通過した後、社内のサーバー・パソコンのログインがパスワードだけで通る状態なら、攻撃者は手に入れたパスワードで次々に入れます。

再発防止策の「認証方式の強化」

同社が公表した再発防止策は次のとおりです。

• 不正侵入の経路となった機器およびネットワーク環境の見直し
• 認証方式の強化
• 端末およびサーバーのセキュリティ対策強化
• ネットワーク監視体制の強化
• バックアップ環境および復旧体制の再整備

認証方式の強化は、VPNだけでなく、その先のサーバー・パソコンのログインまで含めて考えると効果が大きくなります。VPNを通過されても、社内の端末のログインに2つ目の要素があれば、盗んだパスワードだけでは操作できません。

自社で今日確認できること

• VPN機器の型番・更新状況と、そのアカウントを把握しているか（VPN脆弱性対策）
• VPNの先のサーバー・PCのログインがパスワードだけで通らないか（Windows OSログインの2要素認証）
• 夜間・休日のログインに気づける状態か（Windowsのログイン履歴の確認方法）
• 顧客のパスワードを保存しているサーバーは、どこから・誰がログインできるか
• バックアップが、同じネットワークから消せる場所にないか

他の事例：侵入経路と、入られた後の広がり方

公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。

• アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
• アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
• 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
• 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
• オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
• 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
• 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ

出典

• 株式会社フェース「【重要】弊社システムへのランサムウェア攻撃に関する調査結果および再発防止策のご報告」（2026年8月21日）

記事中の事実関係は、上記の公表内容（2026年10月15日時点で確認）に基づきます。

いまの運用を棚卸ししてみる

VPNの先にあるサーバー・PCのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。