YCC情報システムのランサムウェア被害(2026年4月公表)
結論から
- 山形市などの自治体・団体からシステムや業務を受託するYCC情報システムのファイルサーバが、2026年4月2日早朝にランサムウェアで暗号化された。
- 侵入経路は、ネットワーク機器の管理者アカウントの認証情報が、認証の試行などで推測または取得されたものと推定されている(2026年5月20日の第五報)。
- 受託していた情報には、山形市の健康情報約50万件などが含まれる。外部専門機関は漏えいを裏付ける痕跡は確認されていないとしたが、会社は漏えいの可能性を完全には否定できないとしている。
概要
- 公表日
- 2026年4月3日
- 発生
- 2026年4月NaN日
- 検知・発覚
- 2026年4月NaN日
- 最新の公表
- 2026年5月20日
- 組織・業種
- YCC情報システム(委託元: 山形市など)(SI(自治体の委託先) / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- 受託・保管していた情報が対象。山形市分では健康情報約50万件、マイナンバーを含む人事給与情報約6,000件、児童相談情報2,520件など。山形県分は約2万6,800件(報道)。漏えいを裏付ける痕跡は未確認
- 業務への影響
- ファイルサーバ内のファイルが暗号化され、アクセスできなくなった。メール等の情報系システムと業務用パソコンは別の環境で、影響は確認されていない
- 業績への影響
- 未公表
- 犯行グループ(攻撃者の主張)
- 未公表(ファイルサーバに脅迫文があったと会社は説明。ダークウェブ調査では本件の犯行声明やリーク情報は確認されていない)
- 身代金
- 未公表
- 行政の対応
- 個人情報保護法などに基づき関係当局へ報告(第五報)
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
第五報によると、外部専門機関は、ネットワーク機器の管理者アカウントの認証情報が、攻撃者による認証の試行などで推測または取得され、その認証情報で内部ネットワークに侵入されたと推定しています。どの機器か、どのような認証の設定だったかは公表されていません。
侵入した攻撃者は、ファイルサーバをランサムウェアで暗号化しました。調査では、暗号化は4月2日の6時50分ごろに始まっていたことが分かっています。会社が異常に気づいたのは7時50分ごろで、その時点でファイルの暗号化と脅迫文の存在を確認しています。
一方で、メールなどの情報系システムと社員の業務用パソコンは、被害を受けたネットワークとは別の環境で動かしていました。第五報の時点で、これらが被害を受けた事実は確認されていません。
影響
被害を受けたファイルサーバのバックアップを調べたところ、取引先から受託・保管していた情報が保存されていたことが分かりました。攻撃者はファイルサーバにアクセスできる状態にあったため、会社はこれらの情報にアクセスされた可能性を完全には否定できないとしています。
報道によると、山形市分では健康情報約50万件、マイナンバーを含む人事給与情報約6,000件、児童相談情報2,520件などが対象です。山形県分は県職員や医療関係者など約2万6,800件とされています。県内の町や企業、埼玉県幸手市の国民健康保険の高額療養費システムにも影響が及びました。
ただし、情報が外部に送られた明確な痕跡は確認されていません。ダークウェブ(攻撃者がデータを売買・公開する匿名のネットワーク)の調査でも、本件の犯行声明やリーク情報は確認されていません。外部専門機関は、実際に漏えいしたことを裏付ける痕跡は確認されていないと報告しています。会社は監視と調査を続けるとしています。
会社の対応と再発防止策
第五報で示された再発防止策は4つです。インターネット接続環境を全面的に見直すこと、外部の専門事業者の活用を含めてネットワークの運用監視を強化すること、データの保管環境のセキュリティ対策とデータの受け渡しの運用を整備すること、役員を含む全社員のセキュリティ教育と訓練を続けることです。
会社は、個人情報保護法などに基づいて関係当局への報告を行ったとしています。委託元の自治体・団体も、それぞれの住民や職員に向けて個別に公表しました。
身代金の要求への対応と、犯行グループの名前は公表されていません。第五報の時点では、情報の外部公開や悪用の兆候は確認されていないとしています。
公表は段階的に行われました。4月3日の第1報は不正アクセスの事実だけで、4月6日にランサムウェアと公表し、4月7日にはその種類を特定したとしています(名前は非公表)。4月14日の第四報で受託情報の漏えいのおそれに触れ、5月20日の第五報で侵入経路と再発防止策を示しました。委託元の側でも、4月17日の幸手市のように、自らの住民向けに個別の公表が続きました。
この事案から学べること
- ネットワーク機器の管理者アカウントは、推測されにくいパスワードと試行回数の制限がなければ、外から破られる入口になる。
- 自治体の健康情報のような重い情報も、委託先のファイルサーバに置かれていれば、委託先の侵入で一度に影響を受ける。
- 情報系システムと業務端末を別の環境にしていたことで、被害がファイルサーバにとどまった。
- 外部への送信の痕跡がなくても「漏えいの可能性を否定できない」となれば、委託元は住民への説明を迫られる。
自社で確認すること
- 1 インターネット側から管理画面に届くネットワーク機器があるか、その管理者アカウントに多要素認証や接続元の制限をかけているかを確認していますか。
- 2 委託先のファイルサーバに、自社が渡したデータがどれだけ残っているかを把握していますか。
- 3 委託先が被害を受けたとき、住民・顧客への説明を誰がどの順番でするかを決めていますか。
同じ手口の事案
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- 山形市の健康情報は流出したのですか?
- 第五報(2026年5月20日)では、外部専門機関は実際に漏えいしたことを裏付ける痕跡は確認されていないと報告しています。ただし、攻撃者がファイルサーバにアクセスできる状態だったため、会社は漏えいの可能性を完全には否定できないとしています。
- 侵入経路はVPNですか?
- 公表されているのは「ネットワーク機器の管理者アカウントの認証情報が推測または取得された」という推定までです。機器の種類がVPN装置かどうかは公表されていません。
出典
- 【重要】ランサムウェア攻撃に関するお知らせ(第五報) ↗ (株式会社YCC情報システム、2026-05-20)
- YCC情報システムにランサムウェア攻撃 ↗ (ScanNetSecurity、2026-04-21)
- YCC情報システムへのランサムウェア攻撃、情報の一部について漏えいのおそれが否定できない状況に ↗ (ScanNetSecurity、2026-04-23)
- YCC情報システムにランサムウェア攻撃、自治体などから受託している個人情報漏えいのおそれ ↗ (INTERNET Watch、2026-04-20)
- YCC情報システムへのサイバー攻撃、埼玉県幸手市が使用する国民健康保険の高額療養費システムを提供 ↗ (ScanNetSecurity、2026-04-23)
- YCC情報システムへのランサムウェア攻撃 第五報 ~ 攻撃者による脅迫文も ↗ (ScanNetSecurity、2026-05-26)