HOYAのサイバー攻撃(2024年3月公表)
結論から
- 2024年3月30日に海外拠点で異常を検知し、国内外の生産工場と受注のシステムが止まりました。約3週間で多くの事業部が復旧しています。
- 2025年4月14日の続報で、内視鏡と眼内レンズの事業部の一部システムから約6,500名分の個人データが流出したと公表しました。
- 侵入経路は公表されていません。Hunters Internationalが犯行を主張したと報じられましたが、HOYAはグループ名を公表していません。
概要
- 公表日
- 2024年4月1日
- 発生
- 2024年3月30日
- 検知・発覚
- 2024年3月30日
- 最新の公表
- 2025年4月14日
- 組織・業種
- HOYA(光学・精密機器 / 製造)
- 漏えいした情報・件数
- 約6,500名分(内視鏡検査の受診者 約1,000名、採用応募者 約500名、取引先 約2,000名、従業員・退職者と家族 約3,000名)。クレジットカード情報の流出は確認されていない
- 業務への影響
- 複数の事業部で生産工場内のシステムと受注システムが停止。在庫出荷は手作業で対応し、2024年4月23日に多くの事業部が復旧
- 業績への影響
- 2024年3月期への影響は軽微。2025年3月期のメガネレンズの売上収益は前年度比横ばいの見込み(影響は主に2024年4〜6月)と公表
- 犯行グループ(攻撃者の主張)
- Hunters Internationalが犯行を主張し、1,000万ドルを要求したと報じられた(BleepingComputer)
- 身代金
- 身代金についての会社の説明は公表されていない
- 手口
- ランサムウェア
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
未明、海外の事業所でシステムの挙動に不審な点があり、調査したところ国内外の事業所でシステム障害を確認。サーバーの隔離などを行い、関係当局に報告した [2]
-
グループ本社と複数の事業部でシステム障害が判明したと公表(第1報) [1]
-
漏えいしたと思われるファイルに個人情報が含まれている可能性が発覚(2025年4月の発表による) [5]
-
第三者によるサーバーへの不正アクセスの可能性が高いと適時開示。生産工場と受注のシステムが停止していると説明した [2]
-
多くの事業部がシステムを復旧し、生産と供給は概ね正常に戻りつつあると発表。犯人が特定のサーバーからファイルの一部を窃取したことを確認したと公表した [3]
-
ITシステムは復旧済みで事業活動は概ね正常と発表。メガネレンズの売上への影響見通しを示した [4]
-
約6,500名分の個人データの外部流出を公表。個人情報保護委員会へ改めて報告した [5]
侵入経路と原因
HOYAが公表した原因は「害意ある第三者からのサイバー攻撃」で、外部の専門家を交えた調査で、第三者によるサーバーへの不正アクセスの可能性が高いとしました。どこから入られたか(侵入経路)は、2026年10月6日時点で公表されていません。
2024年4月23日の続報では、フォレンジック調査(端末やサーバーの記録から攻撃の痕跡を調べる調査)の結果、犯人がグループの特定のサーバーにアクセスし、ファイルの一部を窃取したことを確認したとしています。
2025年4月14日の発表では、攻撃を受けたのはPENTAXライフケア事業部(内視鏡)とメディカル(眼内レンズ)事業部の一部のシステムだと説明しました。
ランサムウェア(データを暗号化して身代金を求める攻撃)の名前は、HOYA自身は使っていません。海外メディアは、Hunters Internationalが犯行を主張し1,000万ドルを要求したと報じましたが、HOYAは犯行グループ名を公表していません。
影響
業務への影響: 国内外の複数の事業部で、生産工場内のシステムと受注システムが止まりました。メガネレンズなどの受注・生産が一時できなくなり、在庫の出荷は手作業で続けました。2024年4月23日には多くの事業部が復旧し、一部で納期の延長が残ったものの、生産と供給は概ね正常に戻りつつあると発表しています。
業績への影響: 2024年3月期への影響は軽微とし、適時開示の基準に当たる影響はないと説明しました。参考として、2025年3月期のメガネレンズの売上収益は前年度比横ばいになり、影響は主に2024年4〜6月に出る見込みだとしています。
情報への影響: 2025年4月14日に、約6,500名分の個人データの流出を公表しました。内訳は、関東の4つの医院・クリニックで内視鏡検査を受けた人(約1,000名)、内視鏡事業部への採用応募者(約500名)、取引先(約2,000名)、グループの従業員・退職者と家族(約3,000名)です。クレジットカード情報の流出は確認されておらず、悪用の報告も受けていないとしています。
障害の発覚から個人データの流出の公表まで、約1年かかりました。窃取されたファイルの中身を確かめる分析には「相当の日数を要する」と、会社は第1報の時点で説明していました。
会社の対応と再発防止策
異常を見つけた直後に、障害が起きたサーバーを隔離し、関係当局に報告しました。2024年3月31日以降、システムをネットワークから遮断して、分析と安全確保、復旧を進めています。
外部の専門家とフォレンジック調査を行い、窃取された可能性のあるファイルに個人情報が含まれるかを、外部のデータ分析専門会社に依頼して調べました。警察と個人情報保護委員会に報告・相談し、被害のあった国や地域の警察機関や規制当局にも報告しています。
流出が分かった内視鏡検査の受診者については、該当する4つの医院・クリニックに連絡し、問い合わせ用のコールセンターを設けました。
再発防止策として、セキュリティ対策ソフトの導入やパスワードの強化を含むシステムの強化、監視体制の強化を行い、個人情報の管理を再点検するとしています。
この事案から学べること
- システムの停止から流出の公表まで1年かかることがあります。取引先や顧客への説明は、分かった時点で段階的に出す前提で準備しておく必要があります。
- 生産と受注のシステムが止まっても、在庫の出荷は手作業で続けられました。システムが使えないときの業務の回し方を、事前に決めておくと損失を抑えられます。
- 医療機関から預かった検査の受診者情報や、採用応募者の書類も流出しました。業務で受け取った個人データが、どのシステムに残っているかを把握しておくことが前提になります。
自社で確認すること
- 1 生産・受注のシステムが止まったとき、どの業務を手作業で続けるかを決めていますか。
- 2 取引先や委託元から預かった個人データが、どのサーバーに何年分残っているかを把握していますか。
- 3 異常を見つけたとき、サーバーの隔離と当局への報告を誰が判断するかを決めていますか。
同じ手口の事案
関連する事案
よくあるご質問
- HOYAのサイバー攻撃で流出した個人データは何件ですか。
- 2025年4月14日の公式発表で約6,500名分です。内視鏡検査の受診者約1,000名、採用応募者約500名、取引先約2,000名、従業員・退職者と家族約3,000名の合計です。クレジットカード情報の流出は確認されていません。
- HOYAはどこから侵入されたのですか。
- 2026年10月6日時点で、侵入経路は公表されていません。会社は第三者によるサーバーへの不正アクセスの可能性が高いとしています。
出典
- 当社グループにおけるシステム障害について ↗ (HOYA株式会社、2024-04-01)
- 当社グループにおけるシステム障害について(適時開示) ↗ (HOYA株式会社、2024-04-04)
- 当社グループにおけるシステム障害について(続報) ↗ (HOYA株式会社、2024-04-23)
- 当社グループにおけるシステム障害について(続報) ↗ (HOYA株式会社、2024-05-15)
- サイバー攻撃による個人情報の外部流出について ↗ (HOYA株式会社、2025-04-14)
- HOYAグループへの不正アクセス、個人情報の外部流出が判明 ↗ (ScanNetSecurity、2025-04-24)
- Optics giant Hoya hit with $10 million ransomware demand ↗ (BleepingComputer)