株式会社両毛システムズは、2026年8月14日に社内システムへの不正アクセスを確認し、9月25日の第3報でランサムウェア攻撃だったことを公表しました。
自治体やガス会社などの業務システムを受託している会社で、委託元の情報にも漏えいのおそれが及んでいます。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
この記事では、公表された経緯と、委託する側・される側の中小企業が確認しておきたいことをまとめます。原因や被害範囲は公表時点で精査中で、特定の企業の対応を評価する記事ではありません。
公表された経緯
まず、侵入から調査開始までの3日間を、同社の第3報（2026年9月）で追います。
公表された経緯
- 1
8月12日 侵入
VPNのアカウントを悪用し社内ネットワークへ
- 2
8月14日 検知・遮断
死活監視で異常を検知、ネットワークを遮断
- 3
8月15日 調査開始
外部専門機関がフォレンジック調査
調査の結果、一部のサーバーに第三者による不正アクセスの痕跡が確認されています。件数は精査中です。
漏えいのおそれがあるのは、営業情報・取引情報・個人情報です。個人情報には、取引先の顧客、問い合わせをした事業者、個人の顧客、従業員の情報が含まれる可能性があるとされています。
委託元の大東ガス（約12万4,000件）、伊勢崎市（児童生徒のアカウント情報3,789件）なども、2026年9月28日に漏えいのおそれを公表しました。大東ガスは、自社の顧客情報システムではなく、両毛システムズの社内ネットワークに残っていた過去のファイルが対象になったと説明しています。
2026年10月30日の第4報では、侵入後に認証サーバー（AD）から管理者アカウントの認証情報が盗まれ、社内ネットワークの探索やサーバーへのアクセスの痕跡が確認されたと公表されています（2026年11月時点）。
「VPNのアカウントの悪用」が意味すること
脆弱性ではなく「アカウント」が使われた点が、この事例の要です。
公表では、VPNのアカウントを悪用したとされています。アカウントの取得経路や、多要素認証の有無は公表されていません（第4報時点）。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る正規のアカウントで入られると、攻撃者は「正規の利用者」として扱われます。ログでは通常の接続と区別がつきにくく、機器を最新に保っていても止まりません。警察庁の統計でも、ランサムウェアの侵入経路はVPN機器とリモートデスクトップが大半を占め、機器の脆弱性や強度の弱い認証用パスワードなどを利用した侵入が大半とされています（令和8年版警察白書、VPN脆弱性対策）。
侵入から検知まで2日
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
セキュリティ対策Labの報道によれば、攻撃グループ「SafePay」が2026年9月15日に、犯行声明サイトへ同社のドメインを掲載しています（同社の公表では攻撃グループ名は明らかにされていません）。
SafePayについては2026年10月に米FBI・CISAなどが共同で注意喚起を出しており、流出したパスワードやVPNから入り、正規のアカウントで社内に広がる手口が示されています（SafePayランサムウェアの侵入手口）。
VPNの先にあるサーバー・PCのログイン
入口を通過されたあと、被害の広さを決めるのは社内のログインです。
社内のログインがパスワードだけで通るなら、VPNと同じパスワードや中で手に入れたパスワードで、次々とサーバーに入れてしまいます。
入口と社内の両方で止める
委託する側・委託される側で確認すること
立場ごとに、今日確かめられることを並べます。
委託する側
- 委託先に預けている情報は何か、委託先のどこに保存されているか
- 委託先のリモート接続（VPN）に多要素認証が入っているか、社内のサーバーのログインはどうか（委託先のセキュリティ確認項目）
- 委託先で事故が起きたとき、いつ・誰から連絡が来るか決まっているか
委託される側
- VPNのアカウントを誰に発行しているか、退職者や使われていないアカウントが残っていないか（退職者アカウントの削除）
- VPNのアカウントに多要素認証が入っているか
- VPNを通過した先のサーバー・PCのログインが、パスワードだけで通らないか（Windows OSログインの2要素認証）
- 異常に気づいたとき、ネットワークを遮断する判断を誰がするか
これらを1台ずつ確かめるのは手間がかかります。全PC・サーバーのログイン記録を1画面で見られれば、委託先のアカウントで誰がいつどこから入ったかをすぐ確かめられ、異変はLINEに届くので、外出先からでもその場でネットワークから切り離せます（アプリップリキー）。さらに、VPNや社内Wi-Fiの先のPC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。
委託先の事故の別の事例として、委託先のPC1台の感染で872万件が漏えいのおそれとなった事例も整理しています。
自社なら普段の管理のどこで気づけるか
同社は死活監視で異常に気づき、ネットワークを遮断しています。自社に置き換えると、普段の管理の中にも気づける場面があります。全PC・サーバーを1画面で見られるようにしておけば、24時間通信がないPCは「要確認」と表示されるので、止まっている端末を探して回る必要がありません。VPNの先にあるPC・サーバーへのログインは日時・利用者・接続元で絞り込めるので、退職者や使われていないはずのアカウントのログインがないかを、朝の数分で確かめられます。委託元や取引先のチェックシートで聞かれたときも、ログイン記録をCSVで出して、その日のうちに答えられます。
他の事例：侵入経路と入られた後の広がり方
入口は違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
- サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- 株式会社両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」（2026年9月25日）
- 同「当社社内システムへの不正アクセスに関するお知らせ（第4報）」（2026年10月30日）
- 大東ガス株式会社「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について」（2026年9月28日）
- 伊勢崎市「本市委託先への不正アクセスによる情報漏洩の可能性について」（2026年9月28日更新）
- セキュリティ対策Lab「ランサムウェア グループ SafePayが両毛システムズへの不正アクセスで窃取したデータを公開」
- 警察庁「令和8年版警察白書 第3章 サイバー空間の安全の確保」
記事中の事実関係は、上記の公表内容と報道（2026年11月12日時点で確認。第4報の内容も反映）に基づきます。調査の進展により内容が更新される可能性があります。
いまの運用を棚卸ししてみる
VPNの先にあるPC・サーバーのログインがどう守られているか。applippliの無料棚卸しなら、10問・約3分で、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。