シーイーシーのデータセンター障害——外から見えること、報告書に期待すること

8月の報告書

2026年8月7日、株式会社シーイーシーが東京第二データセンターの障害について続報を出した。前日8月6日の第1報に続く、二報目である。

不正アクセスに起因する障害はランサムウェアによる攻撃であると確認したこと。警察へ被害を報告し、個人情報保護委員会へも報告したこと。現時点で情報漏えいは確認されていないこと。攻撃を受けた領域は顧客から預かるシステム・データとは別の領域であると判明したこと。第三者の専門機関とともに調査を続けていること。発表は「調査委員会」の名で出ている。

事実は切り分けられている。「ランサムウェアだから仕方がない」という書き方はしていない。侵入の経路、検知の経緯、被害の全容は、この段階では書かれていない。調査中である以上、そこは自然でもある。

会社を少し調べた。

会社のこと

シーイーシーは1968年設立の独立系システムインテグレーターである（東証プライム・証券コード9692）。事業のなかにセキュリティも含む。直近の決算説明資料（2026年3月16日）は、業績好調の背景としてサイバーセキュリティ対策への需要が高水準で推移したことを挙げている。

2026年1月期の連結売上高は65,882百万円（前期比+17.2%）、当期純利益は5,201百万円（同+28.8%）。純利益は過去最高水準である。セキュリティ需要を追い風に、業績を伸ばしている。

2022年の障害

同社のデータセンターサービス事業部が提供するクラウドサービス「BizVision PLUS Public」で、2022年に障害が起きている。5月1日に第1報、5月28日の第2報の時点でも一部のデータ復旧が続いていた。最終報によれば、原因は第三者からの不正アクセスによる攻撃、事象は仮想マシンの起動不能とストレージのデータ消失、情報漏えいは確認されず。対策として、セキュリティ専門家の協力のもと、セキュリティ・アプライアンスの導入や監視体制の見直しなど、更なる強靱化の施策を実施したと記されている。

つまり、2022年にも不正アクセスを受け、対応している。ただし、その対応が実際にどう行われたのかは、外からは見えなかった。報告書に書かれて、はじめて分かった。

経営としての開示

シーイーシーは、有価証券報告書の「事業等のリスク」でセキュリティについて開示している。想定するリスクとして、不正アクセス、ランサムウェア感染、情報漏えい、業務停止を挙げる。体制として、社長をトップとする情報管理体制、情報管理統括責任者、ISO/IEC 27001とプライバシーマークの取得、自社SOCを含むインシデント対応組織「CEC-SIRT」による24時間365日の監視体制、EDR等を活用した多層防御、不審通信の検知および迅速な対応を記載している。

ランサムウェアは、想定リスクとして名指しされている。24時間365日の監視も、EDRも、書かれている。

外から見えること（事実）

公開情報の範囲で、cec-ltd.co.jp の外形を確認した。以下は観測した事実である。

顧客向けと自社とで、系統が分かれている。顧客向けのデータセンター／クラウドサービスは別ドメイン（mex.ad.jp 系）で運用され、cec-ltd.co.jp 側に見えるのは企業サイト、マーケティングサイト、自社のアプリケーション／ホスティング系のホストである。第2報の「別領域」という説明は、公開されているネットワーク構成の外形とは矛盾しない。

インターネットに直接出ているホストが多い。アプリケーション系のホスト群は一つのサブネットに集まり、連番のホスト、Microsoft IIS、統合Windows認証（SPNEGO）を返すモバイル向けの入口、モバイルログイン画面などが並ぶ。これらは、少なくとも公開DNSや応答からは、一般的なCDNやクラウド型WAFの背後にある構成には見えない。権威DNSサーバも同じサブネットに置かれている。名称からファイアウォールと読めるホストのレコードが、公開DNSに存在する。

古い構成も残っている。ある製品サイトには、SWFObject（Flash向けのライブラリ）、jQuery 1.11系、jQuery Migrate、WordPressが確認できる。別のサイトにはjQuery 1.9系が確認できる。Flashは2020年末にサポートを終了している。

外から見えるのは、ここまでである。すなわち、攻撃を受ける側の表面——どのホストがインターネットに出ていて、どれだけ守りの層を挟んでいるか——は見える。そして、外から確認できるのは、侵入を受けたという結果と、インターネットに一定の露出面が存在することまでである。

だが、その露出面のどこが入口だったのかは、公開情報だけでは分からない。監視が何を捉えたのか。ログに何が残っているのか。対応にどれだけ時間がかかったのか。復旧がどう進んでいるのか。これらは、外部の観測には映らない。2022年と同じで、それが分かるのは、報告書が出たときだけである。

報告書に期待すること

エッジ機器の未知の脆弱性を突かれる侵入は、大手のシステムインテグレーターでも起きている。2025年には日鉄ソリューションズが、ネットワーク機器のゼロデイ脆弱性を突かれて不正アクセスを受けたと公表した。侵入をゼロにはできない。侵入口を防げなかったこと、それ自体は、責めるべき一点ではない。

期待するのは、その先である。

シーイーシーは、2022年の不正アクセスを踏まえて監視体制を見直し、更なる強靱化を約束した。そして有価証券報告書で、24時間365日の監視体制と、自社SOC「CEC-SIRT」、EDRによる多層防御を掲げた。反省の上に、監視の仕組みを積み上げてきた会社である。

ならば——その監視は、何かを捉えているはずだ。ログは、残っているはずだ。復旧に、生かされているはずだ。

侵入は防げなかったかもしれない。対応に時間がかかったのかもしれない。それでも、24時間365日の監視が攻撃の痕跡を捉え、EDRが挙動を記録し、そのログをもとに範囲を特定し、バックアップから復旧に向かう——反省の上に入れたのは、そのための仕組みだったはずだ。

だから、次の報告書に期待するのは、「侵入を防げたか」ではない。その監視が何を捉え、ログに何が残り、そこから復旧がどう進んだのか。 2022年の最終報が、原因と再発防止まで書き切ったように。それが書かれたとき、この一件は、一社の障害報告ではなく、同じ仕組みを持つ多くの運用者にとっての、確かな参照点になる。

---

本記事は、シーイーシーの公表資料（障害に関するお知らせ・有価証券報告書・決算説明資料）および公開情報の外形観測に基づく。侵入経路・検知経緯は本記事執筆時点で公表されていない。事実関係は続報により更新される可能性がある。