この記事の結論（先に要点）
- 穴吹ハウジングサービスがランサムウェアグループ Qilin の攻撃を受けたのは、報道当初に一部で伝わった「3月」ではなく、2026年2月3日午前にランサムウェア被害を確認したのが起点だ（同社の第1報〜第6報より）。
- 漏洩件数は「49.6万件」で止まっていない。第4報（3月9日）時点で「最大約49万6,000件の可能性」と公表され、その後の精査で**最終的に207,773件が漏洩の可能性ありと確定（5月21日 第6報）**した。この「最大値」と「確定値」を混同した記事が多いので注意してほしい。
- そして中小企業が学ぶべき最大の点は侵入口だ。攻撃者は穴吹ハウジングサービス本体ではなく、グループ会社（穴吹興産）の通信機器を足掛かりに社内ネットワークへ侵入した。つまり「自社の壁」を固めていても、グループ会社・委託先という"横の入口"が弱ければ突破される。
- クレジットカード情報・金融機関口座・マイナンバーは含まれていないことが確認済み。一方で氏名・住所・電話番号・メールアドレスは対象になり得た。約21万件のファイルが流出し、リークサイトへの掲載も確認された。
- あなたの会社が同じ構図に立っていないか——委託先・グループ会社の権限、契約、監査、バックアップの復元性——を、この記事末尾のチェックリストで点検してほしい。3項目以上チェックが付かなければ、優先度をつけて手を打つべきだ。
この記事は、報道の要約ではなく「委託先・グループ会社経由のランサムに、社内にIT専任がいない会社がどう備えるか」を実務に落とすために書いた。事実関係はすべて一次情報（同社リリース、警察庁統計、専門メディアの続報）に当たって確認している。
FREE DOWNLOAD
中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします
多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。
この記事を読むべき人
- 委託先・グループ会社・関連会社とネットワークやデータを共有しているが、相手側のセキュリティ状況を把握できていない経営者・管理部門。
- マンション管理・不動産・士業・医療・製造など、他社の個人情報を預かって業務を回している受託型のビジネス。
- 「うちは規模が小さいから狙われない」と考えているが、根拠を持って言えるわけではない中小企業。
- バックアップは取っているが、復元テストまではやっていない会社。
- セキュリティ担当が兼任・1人情シス・不在で、何から手を付ければいいか分からない状態にある会社。
一つでも当てはまるなら、穴吹の事案は他人事ではない。以下で「何が起きたか」を正確に押さえ、そのうえで「自社に置き換えると何を点検すべきか」へ進もう。
目次
- 確定した事実：時系列と件数の正確な読み方
- 最大の教訓：侵入口はグループ会社の通信機器だった
- Qilinとは何者か（誇張なしの事実）
- なぜ中小企業にこそ効く話なのか：警察庁データ
- GXOの判断軸：委託先・グループ経由攻撃に効く5つの視点
- よくある失敗パターン（発注前・運用の落とし穴）
- 発注前チェックリスト
- コストの考え方：賠償額の過大試算に惑わされない
- 第三者検証の観点：ベンダーに何を聞くか
- GXOに相談すべきタイミング
- よくある質問（FAQ）
確定した事実：時系列と件数の正確な読み方
穴吹ハウジングサービスは、四国（香川・愛媛など）を地盤にマンション管理・不動産サービスを展開する会社で、管理組合や入居者から預かった大量の個人情報を扱っている。事案の経過を一次情報（同社の複数回にわたるリリースと専門メディアの続報）で追うと、次のようになる。
時系列
横にスクロールして確認できます
| 時期 | 出来事 |
|---|---|
| 2026年2月3日 午前 | ランサムウェアによる被害を確認。同日に初動対応・対策本部を設置 |
| 2月〜3月 | 外部専門機関による調査で影響範囲を精査 |
| 3月9日（第4報） | 漏洩の可能性がある個人情報を「最大 約49万6,000件」と公表。ランサムウェアグループ Qilin の関与が確認される |
| 4月3日 | ファイルサーバーから約21万件のファイルが外部に流出していたことを確認。リークサイトへの掲載も判明 |
| 5月21日（第6報・最終報） | 漏洩の可能性がある個人情報を207,773件と最終確定 |
ここで最も誤解されているのが「49.6万件」という数字だ。これは調査初期に「可能性が否定できない最大値」として示された概数であり、その後の精査で最終確定したのは207,773件である。スラッグや旧タイトルに残る「49.6万」はニュース初報時の見出し由来であって、確定被害規模ではない。数字を引用するときは「最大約49.6万件（初期公表）→確定207,773件（最終報）」と両方を正確に扱うのが誠実な書き方だ。
漏洩の対象になり得た情報 / 含まれなかった情報
横にスクロールして確認できます
| 区分 | 内容 |
|---|---|
| 対象になり得た情報 | 氏名・住所・電話番号・メールアドレスなど（対象者や保有状況により項目は異なる） |
| 含まれないことが確認された情報 | クレジットカード情報／金融機関口座情報／マイナンバー |
| 派生被害 | 松山市営住宅の入居者情報 約7,237件の漏洩など、委託元（公共）にまで波及 |
カード・口座・マイナンバーが含まれていなかったのは不幸中の幸いだが、「決済情報が漏れなければ軽い」わけではない。氏名・住所・電話番号・メールは、標的型のフィッシングやなりすまし、不審な電話・郵送物の起点として十分に悪用される。そして注目すべきは、穴吹が受託していた松山市営住宅の入居者情報にまで被害が及んだ点だ。受託側が破られると、委託元（この場合は自治体と住民）が被害者になる。あなたの会社が「預かる側」なら、破られたときに迷惑をかけるのは自社だけではない。
このセクションの要点： 被害の起点は2月3日。件数は「最大約49.6万件（初期）→確定207,773件」。カード・口座・マイナンバーは対象外だが、約21万件のファイルが流出し、委託元である公共の入居者情報にまで波及した。
最大の教訓：侵入口はグループ会社の通信機器だった
この事案を「大企業が狙われた話」で終わらせると、最も重要な学びを取り逃す。外部専門機関の調査で判明した侵入の流れは、次の通りだ（同社リリース・日経クロステック等の続報より）。
- 入口はグループ会社（穴吹興産）の通信機器。ここが攻撃を受け、そこを足掛かりに社内ネットワークへ不正アクセスされた。
- 侵入後、攻撃者は業務時間外を中心にリモートデスクトップ（RDP）等で複数サーバーへのログインを繰り返し試行。
- 管理者権限を不正に奪取し、ネットワーク全体へ侵入範囲を横展開（ラテラルムーブメント）。
- 業務システムのファイルを暗号化し、同時にデータを窃取（二重脅迫）。
つまり、堅牢さで劣る「グループ会社の一台」が全体の弱点になった。これは中小企業に置き換えると、次のような日常のあちこちに潜む構図だ。
- 経理や勤怠を委託している会社とVPNや共有フォルダでつながっている。
- 保守・清掃・設備管理の業者に、建物内ネットワークやカメラ・入退室システムへのアクセスを渡している。
- グループ会社・関連会社・別法人の店舗と、同じADドメインや同じVPN機器を共有している。
- 会計事務所・システムベンダーが、リモートで自社サーバーに入れる状態になっている。
これらは「取引のために必要だから」と作った"横の入口"だが、相手のセキュリティ水準を自社では管理していないことがほとんどだ。攻撃者は、いちばん堅い正面ではなく、いちばん緩い横から入る。穴吹の事案は、その典型を大規模に見せてくれた。
だからこの記事のテーマは「ランサムウェア対策」ではなく、正確には**「委託先・グループ会社という他者の弱点が、自社の被害になる構造にどう備えるか」**である。技術的なパッチ当てだけでは足りず、誰にどの権限を渡しているかの棚卸し／契約でのセキュリティ要件／相手の監査／万一のバックアップ復元性という、経営マターの設計が要る。ここが本記事の核だ。
自社と関係会社を含めたセキュリティ体制の再構築は、ツールを一つ買って終わる話ではない。現状の権限・ログ・運用体制を整理し、優先度の高いところから直していく——その考え方と進め方は、セキュリティ体制の再構築の整理プロセスが参考になる。
このセクションの要点： 侵入口はグループ会社の通信機器。堅い正面ではなく緩い横から入られた。中小企業に必要なのは「他者に渡した権限・入口」の棚卸しと管理設計であり、パッチ当てだけでは防げない。
Qilinとは何者か（誇張なしの事実）
犯行声明を出した Qilin は、実在するランサムウェアグループだ。過度に神話化せず、公開情報で分かっている範囲を正確に押さえておく。
横にスクロールして確認できます
| 項目 | 内容 |
|---|---|
| 出自 | 2022年7月に「Agenda」として登場し、同年9月に「Qilin」へ改称したとされる |
| ビジネスモデル | RaaS（Ransomware-as-a-Service）。攻撃基盤を実行犯（アフィリエイト）に提供する分業型 |
| 脅迫手法 | 二重脅迫（データを暗号化しつつ窃取し、身代金を払わなければリークサイトで公開すると脅す） |
| 活動規模 | 2025年にはリークサイトへの掲載数が世界最多クラス（年間1,000件超の報道）。2026年1月だけで新規55件との集計もある |
| 主な初期侵入経路 | VPN機器の脆弱性、フィッシング、認証情報の使い回し悪用、RDPの悪用 |
重要なのは、Qilinという固有名詞を覚えることではなく、手口の"型"を理解することだ。RaaSは分業制なので実行犯は次々入れ替わり、標的も業種も広い。「有名だから」「大企業だから」狙うのではなく、入りやすい入口があるから入る。初期侵入経路の筆頭がVPN機器とRDPである点は、後述する警察庁統計とも完全に一致している。つまり、対策の優先順位は明快だ——VPN／RDPを含む外部からの入口を、脆弱性放置・多要素認証なしのまま放置しないこと。
このセクションの要点： QilinはRaaS・二重脅迫型で、実行犯は入れ替わる。狙いは「有名企業」ではなく「入りやすい入口」。VPNとRDPが主戦場である点を押さえれば、優先すべき対策は自ずと決まる。
なぜ中小企業にこそ効く話なのか：警察庁データ
「穴吹は規模が大きいから狙われた」という理解は、統計的に間違っている。警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月公表）から、経営者が押さえるべき数字を挙げる。
横にスクロールして確認できます
| 指標 | 数値（令和7年上半期） | 経営への含意 |
|---|---|---|
| ランサムウェア被害報告件数 | 116件（過去最多水準） | 攻撃はむしろ増えている |
| うち中小企業 | 約66.4%（77件、約3分の2） | 主な被害者は中小企業 |
| 侵入経路：VPN機器 | 62.2% | 入口の過半はVPN |
| 侵入経路：リモートデスクトップ（RDP） | 22.2% | VPNとRDPで大半を占める |
| 復旧・調査費用が1,000万円以上 | 59%（前年50%から増加） | 一度やられると高くつく |
要するに、被害の主役は中小企業であり、入口はVPN／RDPに集中し、いざ起きると復旧費用は1,000万円級——これが現在の相場観だ。しかも警察庁のアンケートでは「VPN機器を利用している組織の半分以上が最新のパッチを未適用」という指摘もある。やられている会社の多くは、特別な標的だったからではなく、当たり前の入口を当たり前に閉め忘れていた。
穴吹の「グループ会社の通信機器から侵入」も、この構図の延長線上にある。あなたの会社、あるいは取引先・グループ会社のVPN機器が何年前のファームウェアで動いているか、即答できるだろうか。即答できないなら、それ自体がリスクの可視化されていない状態だ。
このセクションの要点： 被害の約3分の2は中小企業。入口の8割超はVPN＋RDP。復旧費用は1,000万円級が過半。派手な標的化ではなく「入口の閉め忘れ」が原因の大半だ。
GXOの判断軸：委託先・グループ経由攻撃に効く5つの視点
ここからがGXOとしての実務的な価値提供だ。世に出回る「ランサムウェア対策10選」のような総花的なリストではなく、穴吹の事案が示した"横からの侵入"に効く順で、経営判断として押さえるべき5つの視点を挙げる。上から着手する優先順位で並べている。
視点1：他者に渡した「権限」の棚卸し（最優先）
まず自社が、誰に・どのシステムへ・どの範囲の権限を渡しているかを一覧化する。委託先、グループ会社、退職者、使われていないアカウント、常時接続のベンダー用RDP——これらは全て"横の入口"だ。穴吹の侵入も、突き詰めればグループ会社という他者の機器が起点だった。
- 委託先・ベンダーに渡しているアカウントと権限の一覧はあるか。
- 「とりあえず管理者権限」で渡していないか（最小権限になっているか）。
- 使っていない共有・VPNアカウントが残っていないか。
- グループ会社と同一のADドメイン・同一VPN機器を共有していないか。
まず棚卸し、それから絞る。 何を持っているか分からないものは守れない。
視点2：契約でセキュリティ要件を縛る
技術だけでは他者の弱点を管理できない。委託契約・業務委託契約に、セキュリティ要件とインシデント時の義務を明記する。東京都産業労働局や公的ガイドラインも、委託先管理の第一歩として「契約時にセキュリティ規則を確認する」ことを推奨している。
- 暗号化・アクセス制限・パッチ適用などの最低要件を契約に盛り込む。
- インシデント発生時の報告義務と報告期限を定める（相手が破られたことを、いつ・誰に知らせるか）。
- 再委託の可否と、再委託先への同等要件の適用を定める。
- 損害・責任分担の条項を入れる。
視点3：定期的な監査・棚卸しを"運用"にする
契約を結んで終わりではない。年1回以上、委託先・自社の状態を点検する運用を回す。ここが1人情シスや兼任担当では続かないポイントで、外部に伴走してもらう価値が最も出る領域でもある。脆弱性・EOL・パッチ適用状況を月次で棚卸しし、判定して対応まで回す——こうした継続運用を外部に委ねる選択肢として、セキュリティ運用の伴走（顧問・リテイナー）のような月額型のサービスがある。単発の診断で終わらせず、日常の運用として回し続けることが穴吹型の攻撃には効く。
視点4：ネットワークを分離し、横展開を止める
穴吹では管理者権限を奪われた後、ネットワーク全体へ横展開された。業務ネットワークと個人情報を扱うネットワークを分離しておけば、1点突破が全体崩壊に直結しにくくなる。
横にスクロールして確認できます
| セグメント | 置くもの | アクセス制限の考え方 |
|---|---|---|
| 業務セグメント | 一般業務PC・業務サーバー | 通常のインターネット接続 |
| 個人情報セグメント | 顧客DB・人事DB | 特定端末からのみ・多要素認証必須 |
| 管理セグメント | AD・監視サーバー | 管理者のみ |
| 外部委託接続 | ベンダー用の接続点 | 用途限定・期限付き・監視付き |
中小企業でも、最低限「業務」と「個人情報」の2つは分けたい。ゼロトラストの考え方まで踏み込むなら、ゼロトラストの段階的な導入の実践ガイドも合わせて読んでほしい。
視点5：バックアップは「復元できて初めて対策」
3-2-1ルール（コピー3つ・メディア2種類・オフサイト1つ）は前提として、穴吹型の二重脅迫では"バックアップがある"だけでは不十分だ。攻撃者は暗号化前にデータを盗んでいるため、復元できても情報漏洩は止められない。それでも事業を止めないために、バックアップの復元テストを最低半年に1回は実施し、少なくとも1つはオフライン（ネットワーク非接続）で保管する。復元手順の設計まで含めた実務はバックアップ3-2-1と復元テストの実践で詳述している。
体系立てて「どこから手を付けるか」を決めたい場合は、NIST CSF 2.0の6機能に沿って自社の抜けを可視化するNIST CSF 2.0に基づく中小企業の体制づくりが地図になる。
このセクションの要点： 優先順位は「①権限の棚卸し→②契約で縛る→③監査を運用化→④分離で横展開を止める→⑤復元できるバックアップ」。穴吹型の"横からの侵入"には、技術だけでなく権限・契約・運用の設計が効く。
よくある失敗パターン（発注前・運用の落とし穴）
セキュリティ投資は「やった気になる」失敗が多い。GXOが相談の現場で繰り返し見る、典型的な落とし穴を挙げる。自社に一つでも当てはまるなら、対策の"設計"を見直す合図だ。
- バックアップは取っているが、復元テストを一度もしていない。 いざという日に「復元できませんでした」が最悪。バックアップは"存在"ではなく"復元速度と成功"で評価する。
- 委託先のセキュリティを一度も確認していない。 契約書に「善良な管理者の注意」としか書いておらず、具体的な要件も報告義務もない。穴吹の教訓が最も刺さる部分だ。
- VPN機器・NAS・複合機のファームウェアが数年前のまま。 「動いているから触らない」が最大の脆弱性放置。侵入経路の過半がVPNである以上、ここは最優先。
- 管理者権限を配りすぎている。 全員が管理者、退職者アカウントが生きている、ベンダー用アカウントが常時有効——横展開の高速道路を自前で用意している状態。
- ツールを入れて満足している。 EDRやUTMを"買った"が、アラートを誰も見ていない・運用していない。ツールは運用があって初めて効く。
- インシデント対応が「その時考える」。 誰が指揮を執るか、誰が個人情報保護委員会に報告するか、誰が顧客に連絡するかが未定。初動の遅れが被害を拡大させる。
- 診断を「一度受けて終わり」にしている。 脆弱性もEOLも日々増える。単発診断は健康診断であって、日々の運用ではない。
これらはいずれも、高価なツールの不足ではなく、設計と運用の不足で起きる。逆に言えば、大きな追加投資なしに直せる項目も多い。
発注前チェックリスト
セキュリティ強化をベンダーに相談する前に、自社の現状を以下で点検してほしい。チェックが付かない項目が3つ以上あれば、早急な見直しが必要だ。相談時にこのリストをそのまま持ち込めば、話が具体的に進む。
入口（VPN・RDP・機器）
- VPN機器・リモートアクセス環境のファームウェアは最新版か（何年前のものか即答できるか）
- リモートデスクトップ（RDP）を不用意にインターネットへ公開していないか
- 全システムで多要素認証（MFA）を有効化しているか
- OS・ソフトウェアのパッチを定期適用する運用があるか
権限（他者に渡した"横の入口"）
- 委託先・ベンダーに渡したアカウントと権限を一覧化しているか
- 最小権限になっているか（不要な管理者権限を配っていないか）
- 退職者・不使用アカウントを棚卸しし、無効化しているか
- グループ会社と同一ドメイン・同一VPN機器を無防備に共有していないか
委託先・契約
- 委託先のセキュリティ対策状況を契約時に確認しているか
- 契約にセキュリティ要件（暗号化・アクセス制限・パッチ）が明記されているか
- 委託先でインシデントが起きた際の報告ルート・期限を合意しているか
- 再委託の可否と再委託先の要件を定めているか
バックアップと復旧
- バックアップは3-2-1ルールに従っているか
- 少なくとも1つはオフライン（ネットワーク非接続）で保管しているか
- 復元テストを直近6か月以内に実施したか
インシデント対応
- インシデント対応手順書が文書化され、指揮者が決まっているか
- 個人情報保護委員会への報告手順（速報・確報の期限）を把握しているか
- 初動で相談できる外部の連絡先を事前に確保しているか
コストの考え方：賠償額の過大試算に惑わされない
情報漏洩の記事では「1件○円 × ○万人 = ○十億円」という賠償試算をよく見るが、実際の賠償額は事案・情報の機微度・過失の程度・裁判の経緯で大きく変わるため、単純な掛け算を鵜呑みにするのは危険だ。過去の裁判例では一人あたり数千円規模の慰謝料が認められた例もあるが、それを穴吹の207,773件に機械的に掛けて「○十億円の損害」と断じるのは、事実に基づかない飛躍になる。ここでは経営判断に使える形で、実際に発生するコストの構造を押さえる。
横にスクロールして確認できます
| コスト区分 | 内容 | 参考となる相場観 |
|---|---|---|
| 調査・復旧費用 | フォレンジック調査、システム再構築、業務停止による損失 | 警察庁調査で1,000万円以上が59%（令和7年上半期） |
| 事故対応費用 | 被害者通知、コールセンター設置、広報対応 | 件数に比例して増加 |
| 法対応 | 個人情報保護委員会への報告、法律相談 | 報告義務の不履行にはペナルティも |
| 損害賠償 | 被害者への賠償 | 事案により大きく変動。単純な掛け算はしない |
| 信用・営業影響 | 契約解約、新規受注減、採用への悪影響 | 金額化しにくいが長期に効く |
法律面で押さえるべき最低限として、改正個人情報保護法では、一定の漏洩（またはその恐れ）が生じた場合、個人情報保護委員会への速報（速やかに、目安として概ね3〜5日以内）と確報（30日以内、不正アクセス等では60日以内）、本人への通知が原則として求められる。穴吹が複数回にわたって「第○報」を出し続けたのは、この報告・通知義務に沿った対応だ。あなたの会社は、いざ漏洩の恐れが生じたとき、この速報を期限内に出せる体制があるだろうか。 これも「その時考える」では間に合わない。
このセクションの要点： 賠償額の過大な掛け算に惑わされず、調査・復旧（1,000万円級が過半）・事故対応・法対応・信用影響という"実際に出ていく"コスト構造で判断する。報告義務の期限を守れる体制づくりも投資の一部だ。
第三者検証の観点：ベンダーに何を聞くか
セキュリティを外部に相談すると、ベンダーは自社が売りたいものを勧めがちだ。「その提案は本当に自社の穴に効くのか」を第三者の目で検証するために、発注前に次を聞いてほしい。これはGXOが「セカンドオピニオン」として大切にしている観点でもある。
- なぜその対策が"最初"なのか。 権限の棚卸しやVPNのパッチより先に高価なツールを勧めてくるなら、その理由を説明できるか。
- 委託先・グループ会社の"横の入口"を評価対象に含めているか。 自社の壁だけを見て、穴吹型の横からの侵入を無視していないか。
- 導入後の運用は誰がやるのか。 ツールを入れて終わりか、アラートを見て判定・対応まで回す前提か。運用の担い手が曖昧なら、宝の持ち腐れになる。
- 復元テストまで設計に入っているか。 バックアップ提案が"取得"で止まっていないか。
- インシデント時に本当に動けるのか。 初動で誰が何時間以内に何をするか、具体的に答えられるか。
これらに明快に答えられないベンダーの提案は、いったん保留してよい。判断に迷うとき、あるいは既存ベンダーの提案が妥当か不安なときは、GXOのような特定製品に縛られない第三者に整理してもらうという選択肢がある。
GXOに相談すべきタイミング
次のいずれかに当てはまるなら、被害が起きる前に一度相談する価値がある。
- 委託先・グループ会社とネットワークやデータを共有しているが、相手の状態を把握していない。 ——穴吹と同じ構図に立っている可能性が高い。まずは権限と入口の棚卸しから。
- ベンダーからセキュリティ製品を提案されているが、妥当か判断できない。 ——発注前のセカンドオピニオンで、優先順位と過不足を第三者視点で整理する。
- 社内にセキュリティ専任がおらず、日々の脆弱性・パッチ運用が回っていない。 ——セキュリティ運用の伴走（顧問・リテイナー）で月次運用を外部に委ねる。
- すでに攻撃の兆候・不審なアクセス・暗号化被害が起きている。 ——迷わずインシデント対応の初動相談へ。初動の速さが被害規模を左右する。
- 何から手を付ければいいか分からない。 ——現状のリスク・権限・運用体制を整理し、優先度の高い対策から進めるセキュリティ体制の再構築から始める。
GXOは特定製品の販売代理ではなく、現状を整理し、優先順位を付け、実行まで伴走する立場でセキュリティを支援している。「大きな案件だけ」ではなく、権限の棚卸しやVPNの点検といった足元の一手からでも相談してほしい。
よくある質問（FAQ）
Q1. 穴吹ハウジングの漏洩件数は結局「49.6万件」ですか？「20万件」ですか？
初期（第4報・3月9日）に「最大約49万6,000件の可能性」と公表され、その後の精査で**最終的に207,773件が漏洩の可能性ありと確定（第6報・5月21日）**しました。「49.6万件」は初期の最大値、「207,773件」が最終確定値です。どちらか一方だけを出すと誤解を招くため、経緯とともに扱うのが正確です。
Q2. 自分の情報が含まれているか確認したいのですが。
穴吹ハウジングサービス／穴吹興産が対象者への通知や問い合わせ窓口の案内を行っています。同社サービスを利用したことがある方は、公式の窓口に確認してください。ダークウェブを自分で検索するのはマルウェア感染の危険があるため推奨しません。
Q3. カード情報が漏れていないなら、大した被害ではないのでは？
いいえ。カード・口座・マイナンバーは含まれていないと確認されていますが、氏名・住所・電話番号・メールアドレスは標的型フィッシングやなりすまし、不審な連絡の起点として悪用され得ます。また委託元（松山市営住宅の入居者など）にまで被害が波及した点も重く、「決済情報以外は軽い」という見方は危険です。
Q4. 「うちは中小企業だから狙われない」は本当ですか？
統計的に誤りです。警察庁の令和7年上半期データでは、ランサムウェア被害の約66.4%（約3分の2）が中小企業でした。攻撃者は規模ではなく「入りやすい入口」を狙います。むしろ対策が手薄な中小企業ほど費用対効果の高い標的になります。
Q5. 委託先経由の攻撃は、自社の対策だけで防げますか？
防げません。穴吹の侵入口はグループ会社の通信機器でした。契約でのセキュリティ要件明記、権限の最小化、定期的な確認・監査、インシデント報告ルートの合意という、相手を巻き込んだ管理が必要です。詳しくは本文の「発注前チェックリスト」を参照してください。
Q6. 身代金は支払うべきですか？
警察庁・JPCERT/CC・IPAはいずれも支払いを推奨していません。支払いは犯罪組織の資金源となり再攻撃を招くうえ、払ってもデータの復旧・削除が保証されるわけではありません。復元できるバックアップからの復旧が最善です。
参考情報（一次・公式を優先）
- 株式会社穴吹ハウジングサービス／穴吹興産「不正アクセスによる個人情報漏えいに関するお知らせ」（第1報〜第6報）
- 警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和7年9月）
- 個人情報保護委員会「個人データの漏えい等に関する報告・通知」制度
- IPA「情報セキュリティ10大脅威」／ランサムウェア対策関連ページ
- JPCERT/CC「ランサムウェアの脅威と対策」
- 東京都産業労働局「中小企業サイバーセキュリティ社内体制整備事業」（サプライチェーンの弱点を悪用した攻撃への対策）
※ 事案の詳細な件数・経緯は、上記のうち同社公式リリースおよび専門メディアの続報（ScanNetSecurity、日経クロステック等の二次報道）を照合して確認しています。二次報道に依拠した記述はその旨を本文で明示しました。
関連記事
- バックアップ3-2-1と復元テストの実践ガイド
- ゼロトラストの段階的な導入ガイド
- NIST CSF 2.0に基づく中小企業の体制づくり
- サイバー保険の選び方 2026年版
- セキュリティポリシーテンプレート（最低限そろえる5規程）
委託先・グループ会社の"横の入口"、棚卸しできていますか？
穴吹の事案が示したのは、「自社の壁」ではなく「他者に渡した権限」が破られる時代だということです。委託先やグループ会社のセキュリティ状況を把握していない、VPN機器がいつのものか即答できない、バックアップの復元テストをしていない——一つでも当てはまるなら、次の標的になり得ます。まずは現状のリスク・権限・運用体制を整理するところから始めましょう。特定製品に縛られない第三者の視点で、優先順位をつけてご一緒します。
※ 営業電話はしません ｜ オンライン対応可 ｜ 相談だけでもOK
