両毛システムズのランサムウェア被害(2026年8月公表)

概要

公表日

2026年8月15日

発生

2026年8月12日

検知・発覚

2026年8月14日

最新の公表

2026年9月25日

組織・業種

両毛システムズ(委託元: 伊勢崎市・ガス事業者など)(SI(自治体・ガス事業者の委託先) / IT・SaaS・SI・BPO)

漏えいした情報・件数

両毛システムズとしての件数は精査中。委託元の公表では、伊勢崎市3,789件(児童生徒のアカウント情報)、長野都市ガス約3,600件、名張近鉄ガス約6,800件、新宮ガス約1,460件が漏えいした可能性

業務への影響

被害拡大を防ぐため社内システムを停止(第2報)。取引先への影響は個別に連絡するとした

業績への影響

2026-10-06時点で公表なし

犯行グループ(企業・当局の認定)

2026-10-06時点で、会社は犯行グループを公表していない

行政の対応

会社は警察と個人情報保護委員会に報告・相談したと公表。行政の処分などは2026-10-06時点で公表なし

手口

ランサムウェア委託先・取引先経由VPN・リモートアクセス機器

何から手を付けるか迷ったら、無料で初動相談ができます →

経緯

1. 2026年8月12日

   外部の第三者がネットワーク接続機器(VPN)のアカウントを悪用し、社内ネットワークに侵入(第3報で判明) [3]

2. 2026年8月14日

   未明、社内の死活監視で異常を検知。サイバー攻撃と確認し、ネットワークを遮断 [3]

3. 2026年8月15日

   第1報を公表。外部専門機関によるフォレンジック調査を開始 [1]

4. 2026年8月17日

   伊勢崎市に「教育ネットワークへの被害はない」と報告(市の公表による) [4]

5. 2026年8月19日

   第2報。ランサムウェア攻撃であることを確認し、社内システムを停止していると公表。漏えいの事実はこの時点で未確認 [2]

6. 2026年9月24日

   伊勢崎市に、不正アクセスのあったシステムに児童生徒のアカウント情報が含まれていたと報告 [4]

7. 2026年9月25日

   第3報。侵入経路と経緯、営業情報・取引情報・個人情報に漏えいのおそれがあることを公表。伊勢崎市は保護者に通知 [3]

8. 2026年9月28日

   長野都市ガスが、委託先の両毛システムズで同社の顧客情報が流出した可能性があると公表 [6]

9. 2026年9月30日

   名張近鉄ガスと新宮ガスが、合わせて約8,260件の漏えいの可能性を公表 [5]

10. 2026年10月5日

    長野都市ガスが第二報。対象は約3,600件で、対象者に書面での通知を始めると公表 [6]

侵入経路と原因

第3報によると、攻撃者は2026年8月12日、ネットワーク接続機器(VPN)のアカウントを悪用して社内ネットワークに入りました。2日後の8月14日未明に社内の死活監視(サーバーが動いているかを見張る仕組み)が異常を捉え、ネットワークを遮断しています。

そのアカウントの認証情報がどのように攻撃者の手に渡ったのか、多要素認証を設定していたかどうかは、2026年10月6日時点で公表されていません。委託元の伊勢崎市は「VPNから社内ネットワークに侵入され、一部のファイルサーバにアクセスされたことが原因との報告を受けている」と説明しています。

被害を受けたのは両毛システムズの社内システムで、委託元の本番システムではありません。長野都市ガスは、両毛システムズの社内ネットワーク上のファイルサーバーに保存されていた自社の顧客情報が、流出した可能性があると説明しています。

影響

情報の面では、両毛システムズは一部のサーバーに不正アクセスの痕跡があり、営業情報、取引情報、個人情報が漏えいしたおそれがあるとしています。個人情報には、取引先の顧客、問い合わせをした事業者、個人の顧客、従業員の情報が含まれる可能性があります。件数と項目は精査中です。

委託元はそれぞれ公表しています。伊勢崎市は小中学校などの児童生徒3,789件のアカウント情報(学校名、氏名、アカウント名、パスワードなど)です。市は、小学校23校・中学校11校などの学習用タブレット端末と校内無線ネットワーク、各種アカウントの保守管理を両毛システムズに委託していました。市によると、住所や成績、健康診断の情報は含まれていません。

長野都市ガスは、2026年4月1日から5月16日までに行った保安調査の結果約3,600件(氏名、住所、電話番号、契約番号)が対象になりうると公表しました。大阪ガスグループの名張近鉄ガスは約6,800件、新宮ガスは約1,460件の漏えいの可能性を公表しています。いずれも氏名や住所、電話番号などで、口座番号やカード情報は含まないとしています。

業務の面では、会社は被害の拡大を防ぐため社内システムを止めました。業績への影響は2026年10月6日時点で公表されていません。現時点で二次被害は確認されていないとしています。

会社の対応と再発防止策

会社は検知した日にネットワークを遮断し、翌8月15日から外部の専門機関によるフォレンジック調査(端末やログを調べて何が起きたかを特定する調査)を始めました。警察と個人情報保護委員会にも報告・相談しています。

漏えいのおそれがある個人情報の対象者は、特定したうえで個別に連絡するとしています。あわせて、両毛システムズを装った不審なメールに注意するよう呼びかけました。

伊勢崎市は、該当する児童生徒のアカウントのパスワードを変更し、2026年9月25日に保護者へ通知しました。今後は委託先の管理監督を強めるとしています。長野都市ガスは10月5日以降、対象者に書面で通知しています。両毛システムズは外部の専門機関の協力を得て、セキュリティ体制を強めて再発防止に取り組むとしています(長野都市ガスの公表による)。8月17日の時点では両毛システムズから「教育ネットワークへの被害はない」と報告を受けており、アカウント情報が含まれていたと分かったのは9月24日でした。

両毛システムズ自身による再発防止策の具体的な内容は、2026年10月6日時点で公表されていません。

この事案から学べること

• VPNのアカウント1つが、委託元の情報まで届く入口になりました。外から入れるアカウントは、委託先のものも含めて守る対象です。
• 委託元の本番システムが無事でも、委託先のファイルサーバーに置かれた委託元の顧客情報から漏えいします。委託先にどのデータが置かれているかの把握が効いてきます。
• 委託先の第一報が「被害なし」でも、調査が進むと対象が広がることがあります。委託元は続報を前提に動く必要があります。
• 委託元ごとに公表の時期と内容が分かれました。委託先の事故でも、自社の顧客への説明と通知は委託元が自分で行うことになります。

自社で確認すること

1. 1 委託先が自社のデータを持ち帰ったり保管したりしている場合、業務が終わった後に削除したことを確認していますか?
2. 2 委託先がVPNなど外から入れる仕組みを使っているか、そのアカウントに多要素認証があるかを把握していますか?
3. 3 委託先で事故が起きたとき、何日以内に、何を報告してもらうかを契約で決めていますか?

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2026年4月3日 ・ YCC情報システム 自治体の委託先がランサムウェア被害。山形市の健康情報約50万件などが対象
• 2024年6月 ・ イセトー 通知書の印刷委託先が被害。307万人分が流出し、委託元に波及
• 2025年11月14日 ・ 東海大学 委託先が持ち帰ったデータがランサムウェア被害に。延べ19万人分
• 2026年9月11日 ・ デジタル庁 GSS VPN機器の脆弱性から侵入。約24.6万件

よくあるご質問

両毛システムズの被害で、自分の情報が漏れたかどうかはどう分かりますか?

両毛システムズと委託元(伊勢崎市、長野都市ガス、名張近鉄ガス、新宮ガスなど)は、対象者を特定したうえで個別に連絡するとしています。2026年10月6日時点で、両毛システムズとしての件数は精査中です。

出典

1. 当社社内システムへの不正アクセスに関するお知らせ ↗ (株式会社両毛システムズ、2026-08-15)
2. 当社社内システムへの不正アクセスに関するお知らせ(第2報) ↗ (株式会社両毛システムズ、2026-08-19)
3. 当社社内システムへの不正アクセスに関するお知らせ(第3報) ↗ (株式会社両毛システムズ、2026-09-25)
4. 本市委託先への不正アクセスによる情報漏洩の可能性について ↗ (伊勢崎市、2026-09-28)
5. 大阪ガス系2社で顧客情報漏洩の可能性 不正アクセス、約8260件 ↗ (日本経済新聞、2026-09-30)
6. 業務委託先企業における「不正アクセスによるお客さま情報流出の可能性」についてのお詫びとお知らせ(第二報) ↗ (長野都市ガス株式会社、2026-10-05)