# 両毛システムズのランサムウェア被害(2026年8月公表)

> 2026年8月15日に公表された両毛システムズのランサムウェア被害について、VPNアカウントの悪用という侵入経路、伊勢崎市やガス会社など委託元に及んだ漏えいの可能性、会社と委託元の対応を、出典つきで時系列にまとめました。2026年10月6日時点。

発行: 株式会社ウェステリア(https://westeria.jp) / 特集: 国内のデータ流出・不正アクセス事案まとめ(https://westeria.jp/security-incidents/) / 出典: https://westeria.jp/security-incidents/cases/ryomo-systems-2026/

状態: 調査結果公表済み / 公開: 2026-10-06 / 最終更新: 2026-10-06

## 要点

- 2026年8月12日、ネットワーク接続機器(VPN)のアカウントが悪用され、社内ネットワークに侵入されました。会社は8月19日の第2報でランサムウェア攻撃と確認しています。
- 被害は委託元に広がりました。伊勢崎市の児童生徒3,789件、長野都市ガス約3,600件、名張近鉄ガス約6,800件、新宮ガス約1,460件の情報が漏えいした可能性があると公表されています。
- 両毛システムズとしての漏えい件数と項目は、2026年10月6日時点で精査中です。会社は犯行グループを公表していません。

## 概要

- 公表日: 2026年8月15日
- 発生: 2026年8月12日
- 検知・発覚: 2026年8月14日
- 最新の公表: 2026年9月25日
- 組織・業種: 両毛システムズ(委託元: 伊勢崎市・ガス事業者など)(SI(自治体・ガス事業者の委託先) / IT・SaaS・SI・BPO)
- 手口: [ランサムウェア](https://westeria.jp/security-incidents/tactics/ransomware/)、[委託先・取引先経由](https://westeria.jp/security-incidents/tactics/supply-chain/)、[VPN・リモートアクセス機器](https://westeria.jp/security-incidents/tactics/vpn-remote-access/)
- 漏えいした情報・件数: 両毛システムズとしての件数は精査中。委託元の公表では、伊勢崎市3,789件(児童生徒のアカウント情報)、長野都市ガス約3,600件、名張近鉄ガス約6,800件、新宮ガス約1,460件が漏えいした可能性
- 業務への影響: 被害拡大を防ぐため社内システムを停止(第2報)。取引先への影響は個別に連絡するとした
- 業績への影響: 2026-10-06時点で公表なし
- 犯行グループ(企業・当局の認定): 2026-10-06時点で、会社は犯行グループを公表していない
- 行政の対応: 会社は警察と個人情報保護委員会に報告・相談したと公表。行政の処分などは2026-10-06時点で公表なし

## 経緯

- 2026年8月12日: 外部の第三者がネットワーク接続機器(VPN)のアカウントを悪用し、社内ネットワークに侵入(第3報で判明) [3]
- 2026年8月14日: 未明、社内の死活監視で異常を検知。サイバー攻撃と確認し、ネットワークを遮断 [3]
- 2026年8月15日: 第1報を公表。外部専門機関によるフォレンジック調査を開始 [1]
- 2026年8月17日: 伊勢崎市に「教育ネットワークへの被害はない」と報告(市の公表による) [4]
- 2026年8月19日: 第2報。ランサムウェア攻撃であることを確認し、社内システムを停止していると公表。漏えいの事実はこの時点で未確認 [2]
- 2026年9月24日: 伊勢崎市に、不正アクセスのあったシステムに児童生徒のアカウント情報が含まれていたと報告 [4]
- 2026年9月25日: 第3報。侵入経路と経緯、営業情報・取引情報・個人情報に漏えいのおそれがあることを公表。伊勢崎市は保護者に通知 [3]
- 2026年9月28日: 長野都市ガスが、委託先の両毛システムズで同社の顧客情報が流出した可能性があると公表 [6]
- 2026年9月30日: 名張近鉄ガスと新宮ガスが、合わせて約8,260件の漏えいの可能性を公表 [5]
- 2026年10月5日: 長野都市ガスが第二報。対象は約3,600件で、対象者に書面での通知を始めると公表 [6]

## 侵入経路と原因

第3報によると、攻撃者は2026年8月12日、ネットワーク接続機器(VPN)のアカウントを悪用して社内ネットワークに入りました。2日後の8月14日未明に社内の死活監視(サーバーが動いているかを見張る仕組み)が異常を捉え、ネットワークを遮断しています。

そのアカウントの認証情報がどのように攻撃者の手に渡ったのか、多要素認証を設定していたかどうかは、2026年10月6日時点で公表されていません。委託元の伊勢崎市は「VPNから社内ネットワークに侵入され、一部のファイルサーバにアクセスされたことが原因との報告を受けている」と説明しています。

被害を受けたのは両毛システムズの社内システムで、委託元の本番システムではありません。長野都市ガスは、両毛システムズの社内ネットワーク上のファイルサーバーに保存されていた自社の顧客情報が、流出した可能性があると説明しています。

## 影響

情報の面では、両毛システムズは一部のサーバーに不正アクセスの痕跡があり、営業情報、取引情報、個人情報が漏えいしたおそれがあるとしています。個人情報には、取引先の顧客、問い合わせをした事業者、個人の顧客、従業員の情報が含まれる可能性があります。件数と項目は精査中です。

委託元はそれぞれ公表しています。伊勢崎市は小中学校などの児童生徒3,789件のアカウント情報(学校名、氏名、アカウント名、パスワードなど)です。市は、小学校23校・中学校11校などの学習用タブレット端末と校内無線ネットワーク、各種アカウントの保守管理を両毛システムズに委託していました。市によると、住所や成績、健康診断の情報は含まれていません。

長野都市ガスは、2026年4月1日から5月16日までに行った保安調査の結果約3,600件(氏名、住所、電話番号、契約番号)が対象になりうると公表しました。大阪ガスグループの名張近鉄ガスは約6,800件、新宮ガスは約1,460件の漏えいの可能性を公表しています。いずれも氏名や住所、電話番号などで、口座番号やカード情報は含まないとしています。

業務の面では、会社は被害の拡大を防ぐため社内システムを止めました。業績への影響は2026年10月6日時点で公表されていません。現時点で二次被害は確認されていないとしています。

## 会社の対応と再発防止策

会社は検知した日にネットワークを遮断し、翌8月15日から外部の専門機関によるフォレンジック調査(端末やログを調べて何が起きたかを特定する調査)を始めました。警察と個人情報保護委員会にも報告・相談しています。

漏えいのおそれがある個人情報の対象者は、特定したうえで個別に連絡するとしています。あわせて、両毛システムズを装った不審なメールに注意するよう呼びかけました。

伊勢崎市は、該当する児童生徒のアカウントのパスワードを変更し、2026年9月25日に保護者へ通知しました。今後は委託先の管理監督を強めるとしています。長野都市ガスは10月5日以降、対象者に書面で通知しています。両毛システムズは外部の専門機関の協力を得て、セキュリティ体制を強めて再発防止に取り組むとしています(長野都市ガスの公表による)。8月17日の時点では両毛システムズから「教育ネットワークへの被害はない」と報告を受けており、アカウント情報が含まれていたと分かったのは9月24日でした。

両毛システムズ自身による再発防止策の具体的な内容は、2026年10月6日時点で公表されていません。

## この事案から学べること

- VPNのアカウント1つが、委託元の情報まで届く入口になりました。外から入れるアカウントは、委託先のものも含めて守る対象です。
- 委託元の本番システムが無事でも、委託先のファイルサーバーに置かれた委託元の顧客情報から漏えいします。委託先にどのデータが置かれているかの把握が効いてきます。
- 委託先の第一報が「被害なし」でも、調査が進むと対象が広がることがあります。委託元は続報を前提に動く必要があります。
- 委託元ごとに公表の時期と内容が分かれました。委託先の事故でも、自社の顧客への説明と通知は委託元が自分で行うことになります。

## 自社で確認すること

- 委託先が自社のデータを持ち帰ったり保管したりしている場合、業務が終わった後に削除したことを確認していますか?
- 委託先がVPNなど外から入れる仕組みを使っているか、そのアカウントに多要素認証があるかを把握していますか?
- 委託先で事故が起きたとき、何日以内に、何を報告してもらうかを契約で決めていますか?
- 確認項目の全体: https://westeria.jp/security-incidents/guide/checklist/

## よくあるご質問

### 両毛システムズの被害で、自分の情報が漏れたかどうかはどう分かりますか?

両毛システムズと委託元(伊勢崎市、長野都市ガス、名張近鉄ガス、新宮ガスなど)は、対象者を特定したうえで個別に連絡するとしています。2026年10月6日時点で、両毛システムズとしての件数は精査中です。

## 出典

1. [当社社内システムへの不正アクセスに関するお知らせ](https://www.ryomo.co.jp/news/202608_02.html)(株式会社両毛システムズ、2026-08-15)
2. [当社社内システムへの不正アクセスに関するお知らせ(第2報)](https://www.ryomo.co.jp/news/202608_03.html)(株式会社両毛システムズ、2026-08-19)
3. [当社社内システムへの不正アクセスに関するお知らせ(第3報)](https://www.ryomo.co.jp/news/202609_02.html)(株式会社両毛システムズ、2026-09-25)
4. [本市委託先への不正アクセスによる情報漏洩の可能性について](https://www.city.isesaki.lg.jp/soshiki/kyoikubu/shisetsu/23971.html)(伊勢崎市、2026-09-28)
5. [大阪ガス系2社で顧客情報漏洩の可能性 不正アクセス、約8260件](https://www.nikkei.com/article/DGXZQOUF307H50Q6A930C2000000/)(日本経済新聞、2026-09-30)
6. [業務委託先企業における「不正アクセスによるお客さま情報流出の可能性」についてのお詫びとお知らせ(第二報)](https://www.nagano-toshi-gas.co.jp/news/2026/10/post-97.html)(長野都市ガス株式会社、2026-10-05)

## 関連ページ

- 2026年の事案一覧: https://westeria.jp/security-incidents/2026/
- 事案まとめ(ハブ): https://westeria.jp/security-incidents/

---

株式会社ウェステリアはAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。本ページは公式発表と報道で確認できた事実だけをまとめたものです。