日本製造業におけるランサムウェア攻撃の急増

一、事件概要：9 月に何が起きたか01

2026 年 9 月、日本の製造業が各ランサムグループのリークサイトに相次いで現れました。公開されており情報も比較的整った 4 件を、リークサイト掲載日順に整理します。

• 9 月 15 日――新日鉄（Nippon Steel）が Metaencryptor に掲載。同日、神戸のロボット用ツールチェンジャー（robot tool changer）メーカー TENTAC が Thegentlemen に、橋本事機（Hashimoto Jimuki）が Vexy に掲載。
• 9 月 28 日――日商電機製作所（Nissho Electric）が Qilin に掲載。

これは孤例ではなく、進行中のトレンドラインです。複数の脅威インテリジェンスプラットフォーム（CTIWatch、SOCRadar、ThreatCluster など）が指摘する通り、Qilin らは日本の産業企業を継続的かつ組織的に標的（ターゲット）にしています――SOCRadar は Qilin が「日本の実体に対して顕著かつ持続的なパターン」を持つことを明記しており、同時期に掲載された日本企業には IKEGAMI TSUSHINKI、Mitsuwa Trading、ASCII Group なども含まれます。

トレンドの背景に不思議はありません。製造業の操業停止は直接的な金銭的損失に直結するため、グループはそこを突きます。「止められない」工場を狙い、「暗号化＋窃取データの公開脅迫」という二重脅迫（double extortion）で両面から迫るのです。

二、被害企業一覧02

三、攻撃チェーンの分解：侵入経路はどこか03

4 件の事例は業界もグループも異なりますが、入り口は驚くほど似通っています。それを一つの標準的なチェーンにまとめられます。

1. 1認証情報はとっくにダークウェブの闇市場（取引サイト）に並んでいる。新日鉄の事例が最もわかりやすい。掲載される前に、インフォスティーラーは既に 12 の従業員アカウント、11 の委託先従業員認証情報、750 組のパスワード、108 のセッションクッキーを盗んでいました。これらは「突破」されたのではありません。従業員（あるいは委託先）の端末が以前から情報窃取型マルウェアに感染し、認証情報がひそかにまとめられダークウェブで売られていたのです。攻撃者は買うだけで使えるため、フィッシングメールすら省けます。
2. 2エッジ機器へのパッチ未適用が「2 本目の鍵」を渡す。Qilin のような活発なグループは、これまでもエッジ機器の脆弱性を最初の踏み台に使ってきました――CVE-2026-20079（Cisco ファイアウォール管理センター、CVSS 10.0、CISA KEV に登録）、CVE-2026-0257（Palo Alto GlobalProtect の認証迂回、CVSS 9.1、KEV）。こうした機器の脆弱性が放置されれば、攻撃者はインターネットから直接社内ネットワークへ入り込めます。注意：この 2 つの CVE は Qilin 全体の活動で関連が確認された初期侵入ベクトルであり、日商電機の個別事例の具体的な入り口とは限りません。しかし傾向は完全一致します。
3. 3盗んだ認証情報でラテラルムーブメント（横展開）を行い、限局した侵入を組織全体への展開へと広げます。有効な VPN / M365 アカウントを手にすれば、攻撃者は正規の身分で社内を移動できます。パスワード 750 組とセッションクッキー 108 件は、再利用可能なセッションが豊富にあることを意味し、ネットワーク内を自在に移動するのに十分です。
4. 4データ窃取＋暗号化、二重脅迫。まず機密データを抜き取り、その上で暗号化プログラムを実行します。話がまとまらなければ、データをリークサイトに掲載して圧力をかけます――新日鉄も日商電機もこの段階に至りました（「被害者として掲載／データ公開」）。

四、なぜ「中国の日系製造業」が最も警戒すべきか04

EZ-net の主戦場は、中国の日系製造業です。上のチェーンは、この層向けに仕立てられたような脅威像です。

言い換えれば：御社の業界、協業モデル、機器の運用（パッチ管理）の習慣が、まさにランサムグループが最も好む高リスクな標的そのものです。

五、顧客への 4 つのセキュリティ基準05

上のチェーンに基づき、日系顧客向けの次期セキュリティ啓発と導入点検のベースラインとして、以下の 4 点を提案します。「事故後に補う」のではなく、入り口をあらかじめ塞ぐことです。

1. 1強制 MFA、しかも「フィッシング耐性」の MFA。一般的な SMS／プッシュ MFA でも、盗まれたセッションクッキーに迂回される恐れがあります（新日鉄の 108 のクッキーはそのためにあった）。FIDO2／パスキー（passkey）のようなフィッシング耐性 MFA を優先し、VPN、M365、ジャンプサーバに全域適用してください。
2. 2「漏洩認証情報の大調査」を一度実施。インフォスティーラーの認証情報はとっくにダークウェブで売られています。自社従業員のアカウントが既に闇市場に並んでいるかもしれません。ダークウェブ／漏洩データベース監視サービス（HudsonRock、Cyberknow などのインテリジェンス）で、自社ドメインと委託先ドメインの被害記録を洗い出し、引っかかったものは強制パスワード変更＋全セッション無効化を行ってください。自社ドメインだけでなく、委託先の認証情報も同様に侵入経路になり得ます。
3. 3バックアップは「オフライン＋復元可能」であり、実際に訓練されていること。ランサムウェアはオンラインバックアップも一緒に暗号化／削除します。バックアップは以下を満たす必要があります：オフライン／不変（immutable）、本番ネットワークから分離、かつ定期的なリストア訓練の実施。訓練されていないバックアップは、バックアップなしと同じです。
4. 4エッジ機器のパッチに「固定のタイミング」を持たせ、月次周期を待ってはいけない。FortiGate、Palo Alto、Cisco などのエッジ／ファイアウォール機器に対し、KEV 脆弱性の緊急パッチ窓（通常 CISA の期限は 2 週間以内、高危険 KEV はさらに短い）を設けてください。CISA KEV に登録された脆弱性は月次メンテナンスを待たず、別途緊急プロセスで対応します。

六、よくある質問 FAQ06