株式会社両毛システムズは、2026年8月14日に社内システムへの不正アクセスを確認し、9月25日の第3報でランサムウェア攻撃だったことを公表しました。自治体やガス会社などの業務システムを受託している会社で、委託元の情報にも漏えいのおそれが及んでいます。
この記事では、公表された経緯を整理し、委託する側・委託される側の中小企業が自社で確認しておきたいことをまとめます。原因や被害範囲は公表時点で精査中です。特定の企業の対応を評価する記事ではありません。
公表された経緯
同社の第3報（2026年9月）によれば、経緯は次のとおりです。
- 2026年8月12日 — 外部の第三者がネットワーク接続機器（VPN）のアカウントを悪用し、社内ネットワークへ侵入
- 2026年8月14日 — 社内の死活監視で異常を検知し調査を開始。サイバー攻撃であることを確認し、ネットワークを遮断
- 2026年8月15日 — 外部専門機関によるフォレンジック調査を開始
調査の結果、一部のサーバーに第三者による不正アクセスの痕跡が確認されています。漏えいのおそれがある情報には、営業情報・取引情報・個人情報が含まれ、個人情報には取引先の顧客、問い合わせをした事業者、個人の顧客、従業員の情報が含まれる可能性があるとされています。件数は精査中です。
報道によれば、委託元の大東ガス（約12万4,000件）、伊勢崎市（児童生徒のアカウント情報3,789件）などが、自組織の情報に漏えいのおそれがあると公表しています。委託元は、自社のシステムが侵害されたのではなく、両毛システムズ側に保存されていた情報が対象になったと説明しています。
「VPNのアカウントの悪用」が意味すること
今回の公表では、VPN機器の脆弱性ではなく、VPNのアカウントを悪用したと書かれています。アカウントがどのように取得されたのか、多要素認証が設定されていたかどうかは公表されていません。
一般に、正規のアカウントで入られると、攻撃者は「正規の利用者」としてネットワークに入れます。ログの上では通常の接続と区別がつきにくく、入口の機器を最新に保っていても止められません。警察庁の統計でも、ランサムウェアの侵入経路はVPN機器とリモートデスクトップが大半を占め、漏えいした認証情報の悪用が挙げられています（VPN脆弱性対策）。
侵入から検知まで2日
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
VPNの先にある、サーバー・PCのログイン
VPNを通過した攻撃者が次にするのは、社内のサーバーやPCへのログインです。社内のログインがパスワードだけで通る状態なら、VPNのアカウントと同じパスワード、あるいは中で手に入れたパスワードで、次々とサーバーに入れてしまいます。
VPNに多要素認証を入れることに加えて、その先のWindows PC・サーバーのログインにも2つ目の要素があれば、VPNを通過されても、それだけでは社内の端末に進めません。入口と社内の両方で止める構えにしておくと、どちらか一方が破られても被害を小さくとどめやすくなります。
VPNの先にあるWindows PC・サーバーのログインを、社員のスマホでのワンタッチ承認にできます。VPNのアカウントを悪用されても、それだけでは社内の端末にログインできません製品サイトを見る（アプリップリキー）委託する側・委託される側で確認すること
委託する側
- 委託先に預けている情報は何か、委託先のどこに保存されているか
- 委託先のリモート接続（VPN）に多要素認証が入っているか、社内のサーバーのログインはどうか（委託先のセキュリティ確認項目）
- 委託先で事故が起きたとき、いつ・誰から連絡が来るか決まっているか
委託される側
- VPNのアカウントを誰に発行しているか、退職者や使われていないアカウントが残っていないか（退職者アカウントの削除）
- VPNのアカウントに多要素認証が入っているか
- VPNを通過した先のサーバー・PCのログインが、パスワードだけで通らないか（Windows OSログインの2要素認証）
- 異常に気づいたとき、ネットワークを遮断する判断を誰がするか
委託先の事故の別の事例として、委託先のPC1台の感染で872万件が漏えいのおそれとなった事例も整理しています。
他の事例：侵入経路と、入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- 株式会社両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」（2026年9月）
記事中の事実関係は、上記の公表内容と報道（2026年10月15日時点で確認）に基づきます。調査の進展により内容が更新される可能性があります。
いまの運用を棚卸ししてみる
VPNの先にあるPC・サーバーのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。