樋口商会から読み解く、日本企業のランサムウェア「対応速度」と子会社という死角

きっかけ ―― 樋口商会は「取引先に教えてもらって」気づいた

2026年6月末、商社の樋口商会が不正アクセス被害を公表した。報告書を読むと、発覚の経緯が示唆的だ。自社の監視で検知したのでも、攻撃者から脅迫状が届いたのでもない。「外部取引先から、ランサムウェア感染に起因するとみられる情報漏洩の可能性があると連絡を受けた」――つまり第三者に教えてもらって初めて気づいた。

漏れたのは子会社の財務情報と、その子会社の取引先の会社名・住所・連絡先。脅威インテリのトラッカーでは、攻撃を主張したのはStormousというグループで、同じリストに米国法人 HIGUCHI USA も並んでいた。日本法人と海外子会社の両方が載る構図である。

ひとつ、多くの人が「不幸中の幸い」と受け止めた点がある。暗号化はされていなかった。業務は止まらなかった。しかし、ここに落とし穴がある。

「暗号化されなくて助かった」の落とし穴

暗号化は、被害者にとって最悪の事態であると同時に、最も確実な通知装置でもある。工場やシステムが止まれば、否応なく当日に気づく。逆に、攻撃者がデータを盗むだけで暗号化しなければ、業務は普段どおり動き続け、痛みがないから気づけない。

樋口商会が自社で検知できなかったのは、まさにこれだ。暗号化を免れた代償として、「他人に指摘されるまで気づけない」という別の負けを引いている。近年、AkiraやStormousのように暗号化を捨ててデータ窃取に特化する動きが強まっているが、それは検知逃れが狙いでもある。攻撃者が暗号化を捨てるほど、監視の弱い組織ほど気づけなくなる。

本題 ―― 日本企業はどれくらいの速さで対応しているのか

樋口商会をきっかけに、直近の主要インシデントを「侵入から検知まで」「検知（認知）から公表まで」「どうやって気づいたか」の3点で並べてみた。

アサヒグループホールディングスは、9月29日午前7時ごろに障害が発生し、調査の途中で暗号化されたファイルを確認、同日午前11時ごろにはネットワークを遮断してデータセンターを隔離した。10月3日にはランサムウェア被害であることを公表している。Qilinがリークサイトに犯行声明を出したのは10月7日だから、会社の公表のほうが攻撃者の暴露より先だった。発覚後の遮断と公表は、確かに速い。

ただし、ここで注意すべきなのは、9月29日は「侵入日」ではなく「障害として表に出た日」だという点である。後の調査では、攻撃者はその約10日前に、グループ内拠点のネットワーク機器を経由して侵入し、データセンターに入り込み、管理者権限を奪取したうえで内部探索を行っていたとされる。

つまりアサヒは対応が速かった。だが、それは「侵入を即座に見抜いた」という意味ではない。侵入は障害発生の約10日前とされ、速かったのは、ランサムウェアが発火して業務障害として表に出た後の遮断と公表である。検知のきっかけは、監視による早期発見ではなく、ランサムウェア実行による業務障害だった――監視ではなく障害で気づく、という最悪の検知経路である。

発見1 ―― ボトルネックは「公表」ではなく「検知」

表をよく見ると、日本企業は決して公表が遅いわけではない。自社で気づけた案件は、どれも公表まで4〜6日と速い（アサヒ4日、KDDI6日、アフラック日本5日、アスクルは即日）。気づきさえすれば、隠さず素早く出している。

数か月沈黙するのは、日産の2件のように自社で検知できず、委託先や海外・子会社で起きた案件だけだ。日産×Red Hatは、ベンダーからの報告受領（10月3日）から公表（12月21日）まで約2.5か月。日産×Everestに至っては、リーク掲載（1月10日）から認めるまで約2.8か月で、しかも報道機関に取材されて初めて口を開いた。

結論はシンプルだ。「日本企業は公表が遅い」は誤りで、正しくは**「検知に失敗した案件だけが遅い」**。ボトルネックは開示姿勢ではなく、検知能力である。

そして、アサヒを正確に見ると、この主張はさらに強くなる。**アサヒでさえ、侵入は約10日前だった。**ただ、暗号化で業務が止まったから、その日のうちに気づけた。だから本当の問題は、公表の速さではなく、暗号化される前に気づけるかである。アサヒは「当日検知の優等生」ではなく、「発火したから即応できた会社」と見るべきだ。

発見2 ―― 検知が速いのは「業務が止まった」か「監視がある」時だけ

では、なぜ検知に失敗するのか。表を分けると、即検知できたのは2パターンしかない。

ひとつは暗号化で業務が止まったケース（アサヒ、アスクル）。もうひとつはまともなSOC・監視があるケース（Aflac米国本社は数時間、KDDIは脆弱性起点で自力検知）。逆に、監視が効いていないと、アフラック日本は自社システム直撃なのに10日気づけず、樋口商会や日産は自力では永遠に気づけない。

とりわけ象徴的なのがアスクルだ。外部専門機関の調査によれば、初期侵入は6月5日、ランサムウェアが発動して暗号化が起きたのが10月19日。4.5か月ものあいだ、誰も気づいていなかった。侵害を受けたデータセンターのサーバーにはEDRが未導入で、24時間監視体制も不備だったためだ。侵入口は、MFAが適用されていなかった業務委託先の管理者アカウントの漏洩だった。もし攻撃者が暗号化せず、データだけ盗んで去っていたら、アスクルは今も気づいていなかった可能性が高い。

発見3 ―― 大量の「海外子会社」という死角、その2類型

今回リストを横断して最も繰り返し現れたのが、海外子会社・委託先が入口というパターンだ。直近だけでも、ダイキョーニシカワ＝インドネシア子会社、ニデック＝台湾子会社、住友金属鉱山＝フィリピン子会社、日産＝北米ベンダー/子会社、アフラック＝日本法人、樋口商会＝米国法人と、業種を問わず並ぶ。親会社の監視が届く境界の「外側」で穴が空いている。

ここで見落とされがちなのが、子会社には大きく2類型あり、リスクの性質が違うという点だ。

第一に、買収してグループに加わった子会社（M&A型）。この場合、子会社は自前の既存IT環境・認証基盤・レガシーシステムを抱えたまま入ってくる。親会社のセキュリティ標準や監視が後付けで行き渡らず、統合されない継ぎ目に負債が残る。攻撃者はその「未統合の隙間」を突く。国も規制も言語も時差も違うため、可視化はさらに難しい。

第二に、一から作った現地法人・新設子会社（グリーンフィールド型）。原理的には親の標準で作れるはずだが、現実には現地ITが少人数で、「暫定」で組んだ構成がそのまま固定化し、ローカルにSOCが無い。「目が届かない＝監視から漏れる」典型で、MFAやEDRが本社基準で展開されていないことが多い。アスクルの委託先アカウントやダイキョーニシカワのインドネシア子会社は、この系統の脆さを示している。

どちらの型でも共通するのは、親会社のSOCの視界が法人境界で切れていることだ。買収系は「統合されない過去」、新設系は「手が回らない現地」。入口は違えど、結末は同じく「周縁からやられる」に収束する。

もちろん、子会社にはそれぞれ事情がある。買収で加わった会社、新設した現地法人、委託先、海外ベンダー。IT環境も、予算も、人員も、現地の商習慣も違う。だから一律に「子会社が悪い」と見るべきではない。

だが、日本企業はそろそろ子会社対応を見直すべきだ。

本社の正面の防御は、以前より固くなっている。MFA、EDR、VPN、SOC、境界防御。フロントのディフェンスラインは、ある程度守られてきた。だからこそ攻撃者は、監視の薄い海外子会社、委託先、買収会社を狙う。

海外子会社をセキュリティの外側に置いたままでは、本丸は守れない。必要なのは、本社だけを守ることではなく、グループ全体を同じチームとして見て、同じディフェンスラインを組むことだ。

海外子会社にも、最低限のMFA、EDR、ログ収集、SOC連携、バックアップ、インシデント報告経路を入れる。M&Aで加わった会社にも、ガバナンスを効かせる。

本社だけが守られ、子会社が別枠のままなら、攻撃者にとってそこは入口になる。連結して売上を作るなら、連結して守る必要がある。

発見4 ―― リークサイトには日本の大手の名も上がる、ただし「掲載≠確定」

脅威インテリのトラッカーで日本を絞ると、300件超が並ぶ。その中には大手の名前も見える。ただし、ここは断定を避けるべき領域だ。リークサイトへの掲載は攻撃者の「主張」であって、確定した被害ではない。

実際、掲載されていても公式開示が見当たらない大手には、いくつかの型が混じっている。ひとつは一括巻き込み掲載で、Clopのように単一のソフトウェア脆弱性を突いて大量の企業名を一斉に列挙するパターン。名前が載っても本人未確認・否認・無関係が混在する。もうひとつは古い漏洩の焼き直しや、AIで生成した偽の情報による誇張・虚偽の主張だ。

つまり「掲載あり・開示なし」には、少なくとも3つの意味がある。①本当に気づいていない、②気づいたが黙っている、③そもそも主張が虚偽。無名の中小企業の長い裾野は①②が多く、大手はむしろ③に吸収されがちだ。

だからこそ ―― 「確認できる体制」を最低限持つべき

ここが実務上の肝である。偽の情報も確かにある。しかし、自社の名前がリークサイトに載ったとき、一度確認してみることは決して無駄ではない。

コストの非対称性を考えればいい。確認する手間は小さい。一方、本物を見逃したときの損失は大きい――樋口商会のように、取引先に教えられるまで気づけないという事態がその証拠だ。だから、たとえ主張の大半が空振りでも、「自社が挙がったら検知し、真偽を確認できる」体制を最低限持っておくべきだ。ダークウェブ・リークサイトの監視と、名前が挙がった際に社内で真偽を判定するプロセス。この二つがあるだけで、「他人に教えてもらう」side から「自分で気づく」side に回れる。

そして ―― バックアップは「隔離」しておく

最後に、暗号化された場合の備えについて。アスクルの復旧が長期化した最大の要因は、ランサムウェア攻撃を想定したバックアップ環境が構築されておらず、バックアップデータごと暗号化されたことだった。攻撃者は権限を奪ったうえで、ランサムウェア展開と同時にバックアップの削除まで行っている。

つまり、ネットワーク上に置いてあるだけのバックアップは、本番と一緒に人質に取られる。守るべきは「3-2-1ルール」――3つの複製、2種類の媒体、そして少なくとも1つはネットワークから切り離した（オフライン／変更不可の）場所に隔離すること。バックアップは、取ってあることではなく、攻撃者の手の届かない場所にあることに意味がある。

まとめ

• 樋口商会は「取引先の通報」で発覚した。自社検知できていない。
• 「暗号化されなくて助かった」は半分正解。暗号化は最悪の通知装置であり、無ければ気づけない。
• 日本企業は公表が遅いのではない。検知に失敗した案件だけが遅い。ボトルネックは検知能力。
• 即検知できるのは「業務が止まった」か「監視がある」時だけ。アスクルは4.5か月、アサヒでさえ約10日、侵入に気づけなかった。気づけたのは暗号化で発火したからだ。
• 被害の入口は海外子会社・委託先に集中する。買収系＝統合されない過去、新設系＝手が回らない現地。海外子会社をセキュリティの外側に置いたままでは、本丸は守れない。
• リークサイトの大手掲載には偽・一括・誇張が混じる。だが確認できる体制は持つべき。コストは小さく、見逃しは高い。
• バックアップは隔離。ネットワーク上のバックアップは本番ごと人質に取られる。

暗号化を免れて「助かった」と感じたときこそ、問うべきだ――もし暗号化されていなかったら、自分たちは気づけていただろうか。 アサヒもまた、この問いの側に立っている。発火してくれたから気づけた。もし攻撃者が暗号化を選ばず、静かにデータだけ抜いて去っていたら、約10日の侵入は、さらに長く気づかれなかったかもしれない。