池上通信機のQilin事案。10万ファイルを暗号化されながら外部通報まで気付かなかった一方、被害は「一部ファイル」で止まっている。暗号化先が本番ではなく二次側だった可能性と、侵入後の権限境界が機能した可能性を、公表文とQilinの手口から読む。
最初に池上通信機の公表を読んだとき、正直、かなり厳しい事案に見えた。
9月21日、池上通信機がサイバー攻撃の可能性を知ったきっかけは、自社の監視ではなかった。
外部からの情報提供だった。
同社は直ちに調査を開始したが、9月24日の第一報では、まだ「サイバー攻撃の有無を含む詳細な事実関係」を確認中としていた。（池上通信機 公表）
一方、Qilinのリークサイトには9月21日の日付で池上通信機が掲載されていた。
Qilin側の主張は、
66.00GB 106,288 files
だった。
11枚のサンプル画像も掲載され、「Confidential」と記載された資料、予算・計画表、放送システム関連とみられる構成図、作業報告書、外部システムとのインターフェース仕様書などが確認されている。一部には2026年の日付も含まれていた。（ロケットボーイズ）
そして9月30日。
池上通信機は、表題から「可能性」を外した。
「当社に対するサイバー攻撃に関するお知らせ」
適時開示にも、この表題で掲載されている。（ログミーファイナンス）
そこで確認された事象の一つが、一部ファイルの暗号化だった。
10万を超えるファイルを持ち出され、ファイルまで暗号化された。
それなのに、最初に知らせたのは外部。
最初は思った。
ここまでやられても気付かなかったのか。
Qilin側も、「これで気付かないのか」と拍子抜けしていたのではないか、とさえ思った。
しかし、外形を追い、Qilinの手口と今回起きたことを並べていくと、少し違う姿が見えてきた。
むしろ、この会社は、
権限の境界をかなりきちんと作っていたのではないか。
まず引っかかったのが、「暗号化された」という事実より、その対象だ。
今回確認されたのは、サーバー全体の暗号化ではない。
「一部ファイルの暗号化」
だ。
Qilinは、ファイルしか暗号化できないランサムウェアではない。
Group-IBが過去のQilin攻撃を調査した事例では、Windows Event Logの消去、VSSシャドウコピーの削除、バックアップジョブの停止・削除、テープバックアップの削除まで確認されている。
さらにQilinには、停止するプロセスやサービスを攻撃者が指定する機能があり、PsExecを使った横展開、ネットワーク共有の暗号化、vCenterを利用した展開機能もある。（Group-IB）
Linux/ESXi版ではさらに踏み込む。
VMwareの重要サービスを停止し、Veeamなどのバックアップ機能を使えなくし、VMスナップショットやバックアップを削除する。Microsoftは、暗号化前に大量のファイルを持ち出す動きも確認している。（Microsoft）
つまり、十分な権限が取れれば、Qilinはもっと大きく壊せる。
サーバーを止める。
バックアップを潰す。
ログを消す。
仮想基盤を攻撃する。
復旧手段を消す。
それでも今回、公表されている事象は「一部ファイルの暗号化」だ。
そこで考え方を変えた。
やらなかったのではなく、そこまでしか出来なかったのではないか。
ここは重要だと思う。
ファイルサーバー上のファイルを読み書きできる権限と、ファイルサーバーそのものを管理する権限は別だ。
例えば、ある利用者が、
\\fileserver\archive
という共有領域にRead/Write権限を持っていたとする。
そのPCや認証情報を攻撃者が取れば、その共有領域にあるファイルは読める。
持ち出せる。
書き換えられる。
そして、暗号化もできる。
しかし、それだけではファイルサーバーのAdministratorになったわけではない。
OSを操作できるとは限らない。
サービスを止められるとは限らない。
バックアップ設定を削除できるとは限らない。
別の本番サーバーへ管理者権限で横展開できるとも限らない。
さらに、ランサムウェア本体がファイルサーバー上で動いている必要すらない。
侵害されたPCや別のサーバーから、正規アカウントを使ってSMB共有へ接続する。
そこにあるファイルを読み出し、順番に書き換えていく。
それだけでも、
「ファイルサーバー上の10万ファイルを暗号化」
は成立する。
Qilin自身もネットワーク共有上のデータを暗号化する能力を持っている。（Group-IB）
そう考えると、
池上通信機側の「一部ファイルの暗号化」と、
Qilin側の「106,288 files」という表現が、
妙につながってくる。
Qilinが公開したサンプルにも特徴がある。
予算表。
計画表。
システム構成図。
作業日報。
外部システムとの接続仕様。
いずれも、一般的な業務ファイルとしてファイルサーバーに置かれていて不思議ではないものだ。（ロケットボーイズ）
仮想マシンのイメージを丸ごと取った、データベースを丸ごと抜いた、システム環境そのものをコピーした、という見え方とは少し違う。
あるファイル領域に大量に並んでいた業務文書を読んだ。
そんな姿に近い。
ここでもう一つ、最初から引っかかっていた疑問がある。
106,288ファイルも暗号化されたのなら、
なぜ誰も気付かなかったのか。
普段社員が使っているファイルサーバーなら、10万ファイルが暗号化されれば普通は何らかの事象が起きる。
「資料が開けない」
「フォルダがおかしい」
「ファイル名が変わっている」
そんな問い合わせが利用者から出ても不思議ではない。
しかし今回、池上通信機が調査を始めたきっかけは、それではなかった。
9月21日の外部からの情報提供だ。（池上通信機 公表）
ここから一つの仮説が浮かぶ。
暗号化されたのは、普段社員が直接利用する本番のファイルサーバーではなかったのではないか。
今回、外形から確認していくと、池上通信機は公開WebではAWSやAzureなども使っている一方、自社管理系とみられるシステムは固定IP帯にまとまっている。
全体としてはオンプレミス色の強い構成だ。
今回対象となったファイルサーバーもオンプレミス側にあったと考えると、一つの構成が浮かぶ。
本番ファイルサーバーとは別の、二次側だ。
バックアップ用。
レプリケーション先。
アーカイブ。
災害対策用の複製。
呼び方は何でもいい。
重要なのは、
データは更新されるが、普段利用者は直接使わない場所
という点だ。
本番側から定期的に同期されていれば、2026年の新しい資料も存在する。
しかし普段誰もそこからファイルを開かない。
そうであれば、10万ファイルを暗号化されても、すぐには業務が止まらない。
利用者から「ファイルが開けない」という申告も出ない。
これなら、
新しい業務資料が入っている。
10万を超えるファイルを暗号化された。
それでも社内では異常に気付かなかった。
この三つが同時に成立する。
もちろん、池上通信機が「二次ファイルサーバーだった」と公表したわけではない。
ここは推測だ。
また、一般的なバックアップ製品の専用リポジトリなら、必ずしも10万個のOffice文書やPDFがそのまま並んでいるとは限らない。
だから私が疑っているのは、バックアップそのものというより、
通常のファイル単位で保持する複製・二次保管領域
の方だ。
ここも最初は、
「監視できていなかったのではないか」
と思った。
しかし、それもまだ早い。
Qilinには、プロセスやサービスを停止する機能がある。
Microsoftが確認した最近のLinux/ESXi版では、BYOVDを使ってアンチウイルスを無効化する機能まで確認されている。（Microsoft）
Group-IBの分析でも、防御機構を妨害するために指定したプロセスを終了し、サービスを停止できることが確認されている。（Group-IB）
だから、
「外部から教えられるまで気付かなかった」＝「EDRを入れていなかった」
ではない。
EDRはあったが止められたのかもしれない。
監視エージェントが無効化されたのかもしれない。
アラートは出ていたが、攻撃として結び付かなかったのかもしれない。
あるいはファイルサーバー側から見れば、正規ユーザーによるSMB経由の大量ファイル操作に見えていたのかもしれない。
現時点では分からない。
しかし、ここでさらに重要なのは、
EDRを止められる権限と、会社全体を管理できる権限もまた別
だということだ。
あるPCではローカル管理者権限を取った。
そこでEDRを止めた。
その端末のアカウントから二次ファイルサーバーへはアクセスできた。
しかし、本番ファイルサーバーの管理権限はない。
サーバーOSを操作する権限もない。
他の重要システムへ横展開する権限もない。
そういう構成なら、
今回見えている事象と矛盾しない。
ここまで考えると、最初とは会社の見え方が変わってくる。
外部から知らされるまで、攻撃を認識できなかった。
ファイルを持ち出された。
暗号化もされた。
これは重い。
しかし一方で、Qilinはもっと壊せる攻撃者だ。
ネットワーク共有を暗号化する。
ログを消す。
バックアップを削除する。
サービスを停止する。
条件がそろえばVMware基盤まで攻撃する。（Microsoft）
それでも今回、現在見えているのは一定範囲のファイルだ。
だとすれば、別の評価も必要になる。
そこから先へ行けなかったのではないか。
本番ファイルサーバーへ行けなかった。
サーバーOSを取れなかった。
バックアップ管理基盤を取れなかった。
他の重要システムへ横展開できなかった。
もしそうなら、池上通信機は「何も守れていなかった会社」ではない。
むしろ、
侵入された後の権限境界は機能していた
可能性がある。
セキュリティは、侵入を100％防ぐことだけではない。
一つ取られても、次へ行かせない。
ある利用者の認証情報を取られても、管理者にはなれない。
一つの共有領域へアクセスされても、本番環境へは行けない。
一台の端末を取られても、会社全体を取られない。
最小権限やセグメンテーションは、そのためにある。
今回、本当にそこでQilinを止めていたのであれば、
かなりきちんと権限を設計していた会社
という見方もできる。
もちろん、まだ答えは出ていない。
QilinはRansomware-as-a-Serviceであり、実際に侵入するaffiliateによって攻撃方法は異なる。
能力を持っているからといって、すべての事案でバックアップや仮想基盤まで破壊するわけでもない。
したがって、
「本番が止まっていない」
から、
「本番へ行く権限がなかった」
と断定することはできない。
それでも疑問は残る。
恐喝の圧力を高めるなら、本番を止められるのであれば止めた方が効果は大きい。
復旧手段を消せるのであれば消した方が交渉では有利になる。
Qilinには、その能力がある。
それなのに今回、一部のファイルで止まっている。
やらなかったのか。
それとも、
出来なかったのか。
私は後者の可能性もかなりあると見ている。
次の答え合わせで知りたいのは、侵入経路だけではない。
暗号化されたファイルは、どのサーバーにあったのか。
本番だったのか。
二次保管だったのか。
どの認証情報が使われたのか。
そのアカウントは、どこまでアクセスできたのか。
サーバー管理者権限まで取られたのか。
横展開は確認されたのか。
EDRは導入されていたのか。
停止、回避された痕跡はあったのか。
バックアップ環境は無事だったのか。
ここが分かれば、今回起きたことはかなり一本につながる。
そして最後に、どうしても気になる言葉がある。
9月24日の第一報の表題は、
「当社に対するサイバー攻撃の可能性に関するお知らせ」
だった。（池上通信機 公表）
9月30日には「可能性」が外れ、
「当社に対するサイバー攻撃に関するお知らせ」
になった。（ログミーファイナンス）
私は最初、この「当社に対する」という表現が少し気になった。
普通なら「サイバー攻撃について」「不正アクセスについて」でも意味は通じる。
なぜ、
「当社に対する」
なのだろう。
もちろん、単なる文章上の表現かもしれない。
しかし、ここまで調べてきて、少し違う読み方をするようになった。
池上通信機の側から見れば、大きな業務停止が起きていたわけではない。
少なくとも表面上は、システムは動いている。
社員から大規模なファイル障害が上がってきたわけでもない。
おそらく、権限もそれなりに分離している。
セキュリティも何もしていない会社ではない。
そんなところへ突然、外から連絡が来る。
「あなたの会社、サイバー攻撃を受けていますよ」
会社側の最初の感覚は、
「当社が、ですか？」
だったのではないか。
そんな馬鹿な。
こちらでは大きな事象は起きていない。
業務も止まっていない。
守るところは守っている。
それでも、攻撃者は入っていた。
だからこその、
「当社に対するサイバー攻撃」
だったのではないか。
最初、私はこの会社を、
「10万ファイルを暗号化されても気付かなかった会社」
だと思った。
調べ終わった今は、少し違って見えている。
検知は遅れたのかもしれない。
EDRを止められたのかもしれない。
ファイルも盗まれた。
暗号化もされた。
しかし、本当に重要なところまでは行かせなかったのかもしれない。
「セキュリティをきちんとやっている当社に対する、サイバー攻撃」
少し意訳すれば、そんなニュアンスさえ感じる。
何も起きていないように見える自分たちの会社が、外から「攻撃されている」と知らされた。
そんな馬鹿な。
その驚きと、普段の守りへの自信が、
「当社に対する」という言葉に少しだけ滲んでいるようにも見える。
もちろん、そこまで会社が意図して書いたのかは分からない。
ただ、最初に読んだときとは、この表題の見え方まで変わった。
「当社に対するサイバー攻撃」
今は、この言葉でこの記事を閉じたい。
Aikido Community Japan
公開日: 2026/10/1
最終更新: 2026/10/1
セキュリティの最新情報をお届けします。