事例S=1:500S=1:100
関通のランサムウェア被害：侵入経路と経過
侵入者は外部ネットワークとの接続口から入った。それがどの機器だったかを会社は公表していない。
1 概要
2024年9月12日18時ごろから、勤怠システムを皮切りに関通のシステムが次々に止まった。担当者はサーバの暗号化とランサムノートを確認した。会社はその夜サーバを物理的に切り離し、翌13日の夜には環境をすべて捨てて作り直すと決めた。荷主の出荷に停止や遅延が生じた。会社は、侵入は外部ネットワークとの接続口からだったとしている。
推定原因: 侵入者は外部ネットワークとの接続口から入った。それがどの機器だったかを会社は公表していない。
出典: 株式会社関通 【第3報】当社におけるサイバー攻撃によるシステムの停止事案発生のお知らせ
会社の発表は「外部ネットワークとの接続口」までである。関通の情報システム部門への取材に基づくソフトバンクのビジネスブログ記事（2025年）は、記事の地の文で、フォレンジック速報により VPN 認証情報の漏洩によるサーバ侵入が原因と判明したと書いている。会社自身の発表は VPN に触れていない。
S=1:100 2 事実情報
2.1 侵入口
会社は「本事象は、外部ネットワークとの接続口からの侵入であり、外部ネットワークから当社の複数のサーバへ侵入し、暗号化を実施したことが判明しました」と発表した。
出典: 株式会社関通 【第3報】当社におけるサイバー攻撃によるシステムの停止事案発生のお知らせ
- 製品
- 記載なし
- CVE
- 記載なし
2.2 侵入後
侵入者は複数のサーバに入り、暗号化した。会社は被害を受けた環境とは別に新しい環境を作り、常時監視の仕組みを入れ、外部のセキュリティ専門業者の確認を経てから業務を再開した。PC 約450台とサーバを入れ替えた。
2.3 被害
荷主の出荷が停止または遅延した。ソフトバンクのブログ記事によれば、在庫システムがおおむね戻ったと感じられたのは約1か月半後だった。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2024-09-12 18:00ごろ | 会社 | 勤怠システムから順に障害。サーバの暗号化とランサムノートを確認。 | ソフトバンク ビジネスブログ |
| 2024-09-12 | 会社 | 同日夜、サーバをネットワークから物理的に切り離す。 | ソフトバンク ビジネスブログ |
| 2024-09-13 | 会社 | 初回の開示。同日夜、「すべて捨ててやり直す」方針を決定。 | 株式会社関通 |
| 2024-09-20 | 会社 | クラウドの勤怠システムが稼働。 | ソフトバンク ビジネスブログ |
| 2024-09-28 | 会社 | 第3報で、外部ネットワークとの接続口からの侵入と発表。 | 株式会社関通 |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| 外部ネットワークとの接続口から複数のサーバに侵入された。 | 記載 | 株式会社関通 |
| 情報システム部門への取材に基づくソフトバンクのブログ記事は、約2週間後のフォレンジック速報で VPN 認証情報の漏洩が原因と分かったと書いている。引用された発言ではなく記事の地の文である。 | 推定 | ソフトバンク ビジネスブログ |
| 接続口がどの機器だったか、認証情報と脆弱性のどちらが使われたか。会社は公表していない。 | 不明 | 株式会社関通 |
S=1:100 4 結論
会社は、外部ネットワークとの接続口から侵入され、複数のサーバが暗号化されたと発表している。機器の名前は挙げておらず、調査報告書も公表していない。情報システム部門への取材に基づくソフトバンクのブログ記事は、原因を VPN 認証情報の漏洩としている。
S=1:100 5 再発防止策
提言・実施の主体: 会社
- 被害環境とは別に新環境を構築し、常時監視の仕組みを入れる。
- 業務再開の前に外部のセキュリティ専門業者に新環境を確認させる。
- 再発防止策を委託先にも展開・共有する。
出典: 株式会社関通 【第3報】当社におけるサイバー攻撃によるシステムの停止事案発生のお知らせ
出典
出典: 株式会社関通 【第3報】当社におけるサイバー攻撃によるシステムの停止事案発生のお知らせソフトバンク ビジネスブログ サイバー攻撃の教訓～関通 情シスが語る、全て捨てて挑んだ再構築。防御から復旧へ～