私も3社に該当しました　ランサムウエアで495社が止まり、609万件のメールアドレスが漏れた2週間

　ソニーの話を書きかけていたのですが、中断します。先にこちらを書かないといけません。

　この2週間に日本で起きたことを、日付だけ並べてみます。

9月24日　佐賀大学の事務システムのNASのファイルが暗号化される

9月26日　京王電鉄グループがランサムウエア攻撃を公表

10月1日から2日　第一興商の委託先のパソコン1台がマルウエアに感染

10月7日　IDCフロンティアのクラウドがランサムウエア攻撃を受け、495の企業と自治体が止まる

10月8日　ローソンIDで215万5345件の漏えいを公表

10月8日　第一興商で約872万4000件の漏えいのおそれを公表

10月8日　政府が関係省庁会議を開き、企業への対策要請を決める

10月9日　JR東日本が延べ約609万件の漏えいのおそれを公表

　佐賀大学は私が長年勤め、いまも名誉教授として名前を置いていただいている大学です。IDが使用停止になり、新しいパスワードを設定して、やっとメールが使えるようになりました。

　さらに、佐賀大学以外にも、該当しそうな先がレンタルサーバー、鉄道会社など3社以上あるのです。

　読者の皆さんも、報道されている会社の中で、「あ、使っている」と思った会社が1つはあったのではないでしょうか。

　そこで今日は、投資の話はいったん脇に置いて、次の4つに順番に答えます。全文無料にします。知っている方には当たり前の内容ですが、「名前は聞くけれど中身は知らない」という方に向けて書きます。

1　ランサムウエアとは何なのか

2　どういう手口で侵入されているのか

3　サーバーを管理している人は、何をすべきなのか

4　個人情報が漏れた可能性のある私たちは、何をすべきなのか

1　ランサムウエアとは何なのか

　ランサム（ransom）は身代金です。コンピューターの中のファイルを勝手に暗号化してしまい、「元に戻す鍵が欲しければ金を払え」と要求してくる。これが第1世代のランサムウエアでした。

　こう書くと、対策は簡単に見えます。バックアップを取っておけばいい。鍵を買わずに、別の場所に置いてあるコピーから戻せばよいわけです。

　ところが攻撃する側も商売ですから、それでは稼げなくなります。そこで第2世代が出てきました。暗号化する前に、まずデータを盗み出しておくのです。そのうえで「払わなければ、このデータをインターネットに公開する」と脅す。二重脅迫と呼ばれます。バックアップから復旧できたとしても、顧客名簿が世界中に公開されるのでは話が終わりません。

　そして今の主流が第3世代です。暗号化すらしません。黙って盗んで、「払わなければ公開する」とだけ言ってくる。日本ではノーウエアランサムと呼ばれています。

　この第3世代がいちばん怖いと私は思っています。理由は単純で、業務が止まらないからです。画面に赤い文字で「あなたのファイルは暗号化された」と出れば、誰でも気がつきます。しかし何も止まらなければ、盗まれたこと自体に気づけません。第一興商のケースは、感染したのが委託先のパソコン1台で、同社の自社システムには影響が確認されていないと公表されています。それでも約872万4000件です。

ここは「犯罪」ではなく「産業」になっています

　経済の話として見ておきたいのは、相手がもう個人のハッカーではないことです。

　今のランサムウエアは分業されています。暗号化するプログラムを作って貸し出す集団、侵入口だけを探して売る業者（初期侵入ブローカーと呼ばれます）、実際に攻撃して交渉する実行役。売上は分配されます。サービスとして貸し出されるので、ランサムウエア・アズ・ア・サービスという言葉まであります。

　つまり、工場も在庫も持たず、原価がほぼ人件費だけで、暗号通貨で代金を回収できる商売です。投資家の目で見れば、これは参入が容易で利益率が異常に高い事業です。そういう事業には必ず参入者が増えます。増えている理由は、憎悪や悪意ではなく、単に儲かるからです。

　数字で見ます。警察庁が9月に公表した2026年上半期のサイバー脅威情勢によれば、ランサムウエアの被害報告は123件でした。統計を取り始めた2020年下半期以降、半期として過去最多です。

　そして被害企業の内訳が重要です。規模が判明した分のうち、中小企業が79件で約64%でした。大企業は31件です。狙われているのは大企業だという思い込みは、統計とは逆です。

　復旧にかかった費用は、回答のあった35件のうち21件が1000万円以上で、そのうち4件は1億円以上でした。復旧までの期間は、1か月未満で済んだのが約48%、調査時点でまだ復旧していないところが13件ありました。

　中小企業にとって、1000万円と1か月というのは、事業が消えてもおかしくない数字です。

2　どういう手口で侵入されているのか

　ここがいちばん誤解されているところだと思います。

　多くの方は「社員が怪しいメールの添付ファイルを開いてしまうから」と思っていらっしゃるのではないでしょうか。しかし警察庁の同じ資料は、メール添付ファイルによる感染は少なくなっている、と書いています。

　では、どこから入られているのか。感染経路が判明した36件の内訳はこうです。

VPN機器から　18件（約5割）

リモートデスクトップから　9件（約25%）

　この2つで約75%です。

　VPN機器というのは、社外から社内のネットワークに安全に入るための装置です。リモートデスクトップは、手元のパソコンから社内のパソコンを遠隔操作する仕組みです。どちらもコロナ禍のテレワークで一気に普及しました。

　そして、どちらも性質が同じです。インターネット側に向けて、常に扉を開けて待っている。

　攻撃側がやっていることは、人を騙すことではありません。インターネット全体をスキャンして、古いファームウエアのまま放置された機器を機械的に探しているのです。既に修正プログラムが出ている脆弱性を、適用していない装置を見つける。あるいは、どこかの漏えい事件で流出したIDとパスワードの組み合わせを、片っ端から試す。

　人の注意力の問題ではなく、設備の保守の問題です。工場の設備に点検期限があるのと同じことで、ネットワーク機器にも更新期限があります。違いは、工場の設備は壊れると音がするのに、放置されたVPN機器は何の音もしないという点です。

入られるのは、自分の会社でなくてもかまわない

　今回の2週間で、はっきり見えたことがもう1つあります。自分の会社の守りを固めても、それでは足りないということです。

　第一興商のケースでは、発端は委託先である日本コロムビアグループのパソコン1台のマルウエア感染でした。顧客データが委託先の手元にあったわけです。

　JR東日本のケースはもっと構造的です。10月9日の発表によれば、ビューカードの約403万件、えきねっとの約167万件、大人の休日倶楽部の約39万件、延べ約609万件のメールアドレスなどが漏えいの可能性があるとされています。氏名や住所、カード番号は流出していないと説明されています。

　このとき攻撃されたのは、JR東日本ではありません。ソフトバンク子会社のIDCフロンティアが提供する法人向けクラウド、IDCFクラウドです。10月7日午前3時40分ごろからランサムウエア攻撃を受け、東日本リージョン1の4つのゾーンが影響を受け、495の企業や自治体に波及しました。

　つまり、1つの基盤が倒れると、その上に載っていた495社が同時に倒れます。自社のセキュリティ投資をいくら積んでも、この倒れ方は自社では防げません。

　ついでに言えば、ローソンIDの215万5345件は、ランサムウエアでも委託先でもありませんでした。本来はアプリ上で利用者本人に自分の情報を表示するための仕組みが、第三者の不正アクセスを受けたと公表されています。設計そのものに穴があったわけです。攻撃の入口は1種類ではないということです。

3　サーバー管理者はどう対応すべきか

　今回の一連の事案で、私がもっとも重いと感じた一文を引きます。IDCフロンティアの発表です。

　データを復元できるのは、お客さま自身が保持しているバックアップデータからのみ可能である。

　これは、基盤を提供している側のバックアップやスナップショットも一緒にやられた、という意味です。実際、同じ基盤の上でサービスを提供していたソリトンシステムズは、自社が管理するバックアップサーバーも同一基盤上にあって利用できない状態だと案内しています。

　ここから導かれる結論は、たった1つです。

　バックアップは、本番と同じ運命を共有しない場所に置かないと意味がない。

　サーバーを管理されている方にとっての具体的な項目を、優先順位をつけて書きます。

　まず復旧側です。

1　バックアップを「別の事業者」に1本持つ。同じクラウドの別リージョンでは足りません。管理コンソールの認証が同じなら、一緒に消される可能性があります。

2　書き換えできない形式にする。一度書いたら一定期間は削除も変更もできない設定（イミュータブル、またはオブジェクトロック）を使う。攻撃側は、まずバックアップを消しにきます。

3　復元の訓練をする。バックアップがあることと、戻せることは別の話です。何時間で、どの手順で、誰が戻すのか。一度やってみると、たいてい足りないものが見つかります。

4　バックアップ用の認証情報を、本番の管理者権限と分ける。

　次に入口側です。政府の国家サイバー統括室が10月9日に示した要請内容が、そのまま点検票として使えます。

5　サポートが終了した製品を使うのをやめる。

6　使っていないシステムや機能を停止し、削除する。動いていることを誰も知らないサーバーが、いちばん危ないです。

7　VPN機器などの更新ファイルを適用する。できるなら、管理画面はインターネットに出さない。

8　多要素認証を入れる。漏えいした認証情報を試す攻撃には、これが最もよく効きます。

9　定期的に脆弱性診断を受ける。

10　ログを取得し、保全し、不審な通信を監視する。

　10番目は地味ですが外せません。侵入経路が分からないと、復旧も再発防止も、お客さまへの説明もできないのです。IDCフロンティアも、第2報の時点で侵入経路は調査中としていました。ログがなければ、いつまでも調査中です。

　そして、管理者ではなく経営の側に申し上げたい項目を2つ。

11　委託先の棚卸しをする。誰が、どの個人情報を、どこに置いているか。第一興商の872万件も、JR東日本の609万件も、自社の外で起きています。

12　予算を取る。復旧費用が1000万円以上になった例が約6割というのが、現実の相場です。事前の対策費用と事後の復旧費用は、同じ財布から出ます。どちらが安いかは計算すればわかります。

　10月8日の関係省庁会議では、古川サイバー安全保障担当大臣が「自分の情報は自分で守る」という考え方を示したと報じられています。言い方を変えれば、国が守ってくれるわけではない、ということです。

4　個人情報が漏れた可能性のあるユーザーはどうすべきか

　さて、私たち利用者の側です。私のように「3社くらい心当たりがある」という方のために書きます。

　まず、落ち着いて前提を確認します。今回の多くのケースで漏れた可能性があるのは、メールアドレス、氏名、性別、電話番号、住所です。JR東日本はクレジットカード番号は流出していないと説明しています。ローソンのケースでも、カード番号の一部が含まれたのは26件でした。

　ですから、いま必要なのは「カードを止める」ことではありません。必要なのは、自分のメールアドレスが犯罪者の名簿に載った、という前提で生活を切り替えることです。

　やるべきことを、効果の大きい順に6つ書きます。

1　パスワードの使い回しを、今週のうちに切る。

　これが最優先です。漏れたメールアドレスと、どこか別の事件で漏れたパスワードを組み合わせて、片っ端から他社のログイン画面で試す攻撃があります。パスワードリスト攻撃と呼ばれます。使い回していなければ、1社の漏えいは1社で止まります。使い回していると、1社の漏えいが全社に広がります。全部変えるのは大変ですから、まずメール、ネット銀行、証券口座、クレジットカードの4つからにしてください。

2　多要素認証かパスキーを設定する。

　パスワードが漏れても、スマートフォン側の確認がもう一段あれば入られません。手間は初回の5分だけです。証券口座をお持ちの方は、ここだけは必ずやっておいてください。

3　これから来るメールを疑う。

　名簿に載った結果として最初に来るのは、本物によく似たメールです。えきねっと、ビューカード、ローソン、第一興商といった、今まさに報道されている会社の名前で来ます。「情報漏えいのお詫びとパスワード再設定のお願い」という件名で来たら、まず偽物を疑ってください。差出人の表示名は自由に偽装できます。

　対処は1つだけです。メールの中のリンクを踏まない。用事があるなら、自分でアプリを開くか、以前から持っているブックマークから入る。これだけで、ほぼ防げます。

4　自分が対象かどうかは、公式サイトを自分で開いて確かめる。

　検索結果の上に出てくる広告枠から入らないでください。会社名で検索し、その会社のドメインであることを確認してから開きます。

5　クレジットカードの利用明細を、毎月見る。

　カード番号が漏れていないと説明されていても、明細の確認は習慣にしてください。不正利用は、たいてい数百円の小さな決済から始まります。試して通るかを確認してから、大きく使うのです。身に覚えのない請求を見つけたら、その日のうちにカード会社に連絡します。カードの不正利用の補償には届出からの期間の制限があり、気づくのが遅れるほど不利になります。

6　メールアドレスを変えるかどうかで悩まない。

　変えるより、分けるほうが現実的です。金融機関と重要な契約に使うアドレスと、通販やサービス登録に使うアドレスを分けておく。次に同じことが起きたとき、被害の範囲が勝手に限定されます。

　逆に、やらなくてよいことも書いておきます。カードを全部解約する必要はありません。パスワードを毎月変える必要もありません。頻繁に変えると、人間は必ず単純な規則（末尾の数字を増やすなど）を使い始めるので、かえって弱くなります。長い1つのパスワードを、使い回さずに持つほうが強いです。

投資家として、ここをどう見るか

　最後に、このnoteらしい見方を1つ付け加えます。

　この種の事故が起きたとき、株主として見るべき数字は3つです。復旧費用、顧客対応費用（お知らせの郵送、コールセンター、モニタリングサービスの提供）、そして売上機会の損失です。前の2つは特別損失として決算に出てきますが、金額が確定するのは数四半期あとになります。3つめは数字としてほとんど開示されません。

　そしてもう1つ。今回の件で株価が動くのは、攻撃された会社だけではありません。基盤を提供していた側、委託を受けていた側にも波及します。495社という数字は、裏返せば「1社の事故が495社の事業報告に書かれる」という意味です。

　サイバーセキュリティへの支出は、これまで「コスト」として扱われてきました。それが「事業継続の前提条件」に変わる局面に、いま入ったのだと私は考えています。

　なお、本記事は各社の公表資料、警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、および報道を基に筆者が整理したものです。調査中の事案については、今後、件数や内容が変わる可能性があります。各社の最新の公表内容は必ず公式サイトでご確認ください。セキュリティ対策の具体的な実装は環境によって異なりますので、重要なシステムについては専門の事業者にご相談ください。投資の判断は、ご自身の責任でお願いします。

最後に、お知らせがあります

　今日やったことは、各社が出したお知らせと警察庁の統計資料を並べて、数字を拾って順番に置き直しただけです。特別な情報源は使っていません。

　ただ、「ランサムウエアが流行している」で止まるのと、「侵入口の5割はVPN機器で、被害企業の64%は中小企業で、復旧費用が1000万円を超えた例が6割で、基盤側のバックアップは本番と一緒に消える」まで分かって止まるのとでは、月曜日に自分がやることが変わります。

　同じことを、企業の決算書でやったのがこちらの本です。

　PERとは何か、ROEはどう計算するのか。そういう入門書はすでにたくさんあります。この本が扱うのは、その先です。正しく計算した指標が、それでも実態を表さないことがある。開示された数字が、そのままでは比較できないことがある。そして会社は嘘をついていないのに、私たちがその会社に貼ったラベルのほうがずれていることがある。

　今日の話も、実は同じ構造でした。「クラウドだからバックアップは安全」というラベルを、私たちが勝手に貼っていただけなのです。

　上場3710社の決算を並べ、28章ぶんの実例で書きました。AI相場の主役がなぜ半導体ではなく電線だったのか、セグメント情報をどう開くか、営業利益と純利益がずれる理由、売上原価の中身、会社予想をどこまで信じるか。使う道具は割り算と、決算短信の1ページ目と、少しの手間だけです。

　分かるかどうかは、才能ではなく、表のどこを見るかだけの違いです。