オフィス通販からコールドチェーン物流まで：RansomHouse はいかにして日本のサプライチェーンを「断絶」させたか
- RansomHouse はロシア系犯罪グループが運営する RaaS プラットフォーム。2025年以降、「窃取のみ」から「窃取＋暗号化＋バックアップごと暗号化」の二重・三重脅迫へ進化。
- 2025–2026年、日本が主要な標的に。オフィス通販、ビール飲料、全国コールドチェーン物流の 3 大公開事例で、特定可能な経営インパクトは合計数百億円規模、下流数千社の顧客に波及。
- 在中日系企業への核心的示唆：自社の防御が強固でも、「サプライチェーン／委託先の脆弱なアカウント」が突破されれば、物流・生産・販売が瞬時に停止する——これは「連鎖的崩壊」。
- 3 大リスク：①サプライチェーンが最大のバックドア（MFA 未導入の委託アカウント）②仮想化とバックアップが一網打尽（VMware ESXi 基盤）③データコンプライアンスと越境転送の危機（中日両国からの挟撃）。
- 経営層が今直ちに着手すべき 3 点：①「委託先セキュリティ」を契約に明記 ②BCP を再構築しサイバー保険を評価 ③日中一体の日本語 IT 支援・緊急対応体制を構築。
目录
01RansomHouse の正体：進化し続けるビジネスモデル
RansomHouse はロシア系サイバー犯罪グループが運営する RaaS（Ransomware-as-a-Service）プラットフォームである。最も警戒すべきは、攻撃モデルの絶え間ない「進化」だ。
データを窃取し公開することでのみ企業に支払いを迫り、ファイルを直接暗号化することはなかった。
「データ窃取＋ファイル暗号化」へ全面移行。支払いなき場合、企業はデータ公開と業務停止の二重圧力に直面する。
VMware ESXi などの仮想化基盤を直接標的とし、復旧用バックアップデータまで暗号化。企業の IT インフラ全体を人質にする。
02なぜ日本のサプライチェーンが標的になったのか
2025年以降、こうしたグループは日本市場を主要な標的に定めた。この 1 年の 3 件の代表的公開事例から、日本企業に共通する「致命的な弱点」が浮かび上がる——MFA 未導入の委託アカウント、放置された VPN 機器の修正漏れ、バックアップと仮想化の分離欠如。
| 案例（公開報道） | 発生時期 | 突破口 | 経営インパクト（公開ベース） |
|---|---|---|---|
| 大手 B2B/B2C オフィス用品通販 | 2025年10月 | 委託先管理者アカウントの MFA 未導入 | 物流・受注システムが数ヶ月停止；約 74 万件の顧客・従業員情報漏洩；特別損失 52.16 億円超を計上；複数小売ブランドが連鎖的に販売停止 |
| 大手ビール飲料グループ | 2025年9月 | VPN 機器の脆弱性を悪用 | 複数工場が稼働停止、全国チャネルの出荷に支障；営業利益を約 170 億円規模押し下げ；全面復旧に数ヶ月 |
| 全国展開するコールドチェーン物流・冷凍食品大手 | 2026年7月 | RansomHouse がダークウェブで奪取を宣言（内部データを保持と主張） | 全国約 140 カ所のコールドチェーン拠点で異常；下流のチェーン飲食・スーパー・学校給食など約 5,000 社の顧客に波及；2026-08-07 決算修正で特定可能なインパクトは約 60–70 億円規模 |
経営層が直視すべき現実はこれだ。自社の防御が鉄壁でも、「サプライチェーンや委託先の脆弱なアカウント」が突破されれば、自社の核心事業（物流・生産・販売）は瞬時に停止する。これは「連鎖的崩壊」である。
03攻撃の全貌：在中日系企業が警戒すべき 3 つの核心リスク
上海および中国各地を拠点とする日系企業にとって、技術的詳細は IT 部門に任せてよい。しかし経営層がリスク評価において焦点を当てるべきは、以下の 3 つの核心ロジックだ。
攻撃者は自社システムだけを狙うのではなく、「MFA 未導入の委託アカウント」を優先して探す。物流委託先も、中国現地の IT 委託要員のアクセス権限も、企業最大のセキュリティ盲点となっている。
攻撃は VMware ESXi などの仮想化基盤にまで及ぶ。一旦突破されれば、フロント業務の停止にとどまらず、復旧用のバックアップデータまで暗号化される。復旧期間は「数日」から「数ヶ月」へと引き延ばされ——Just-in-Time を旨とする在中製造業にとって致命的だ。
ファイルを暗号化する前に、攻撃者は顧客情報や核心図面などの機密データを窃取する。漏洩が発生すれば、在中日系企業は中日両国からのコンプライアンス挟撃に直面する——日本の『個人情報保護法』と株主からの追及に加え、中国現地のコンプライアンス監管にも対処しなければならない。データが公開されれば、ブランドの評判は長期的に毀損する。
04経営判断：在中日系企業が今取り組むべき 3 つの大施策
具体的な技術設定は脇に置き、経営層として今直ちに推進すべきは以下の 3 つのガバナンス決定である。
自社のみのコンプライアンス要求では不十分だ。「MFA の強制導入」と「定期的な権限見直し」をハード要件として、すべての中国現地委託先とサプライチェーンパートナーの契約に書き込む。セキュリティ基準を「自社」から「サプライチェーン全体」へ拡張せよ。
従来の BCP は地震や火災などの物理的災害を主眼としていた。今は「仮想化環境全体の瞬時麻痺」という極端シナリオを追加せねばならない。同時に、身代金交渉費用・データ漏洩通知コスト・第三者賠償をカバーするサイバー保険の評価を推奨する。
ランサムウェア攻撃は非番や休日に発生することが多い。危機発生時、中国現地の IT 要員が日本本社へ被害状況・復旧進捗・コンプライアンスリスクを日本語で正確に報告できなければ、意思決定は遅れる。日本語でのシームレスな IT 支援・緊急対応メカニズムを構築することは、在中日系企業が経営リスクを下げる鍵である。
05結び
RansomHouse の脅威は、もはや単なる「IT 部門の技術的障害」ではない。前述の事例が示す通り、それは「物流の命脈、数十億規模の財務損失、経営責任」を直撃する核心的ガバナンス課題へと変貌している。在中日系企業にとって、経営層は「中国拠点は安全か」という一面的な視点を抜け出し、サプライチェーンを含むアクセス管理、および極端事態でのクライシス対応と法的対応の事前対応計画を直ちに見直していただきたい。
06よくある質問（FAQ）
在中日系企業のサプライチェーン安全に「ストレステスト」を
EZ-net は在中日系企業向けの日本語ワンストップ IT 支援とサイバーセキュリティ コンプライアンス相談に特化している。RansomHouse などの新型脅威に対し、サプライチェーン セキュリティ評価、MFA 強制導入、EDR 端末保護、IP-guard による情報漏洩防止（DLP）の実装、そして日中バイリンガル BCP 事前対応計画の策定を支援する。
EZ-net に相談する