日本脆弱性総合ポータル

柴田工事調査：委託先の柴田工事調査へのランサムウェア攻撃、自治体の委託業務で個人情報漏えいのおそれ

重要度
業務やサービスの停止・延べ31件
公表日
2026.10.02
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 委託先の柴田工事調査がランサムウェアの被害を受け、システムが停止した
  2. 大仙市などの委託業務で個人情報が漏えいした恐れがある
  3. 侵入経路は調査中で、流出は未確認のままである

公共事業の測量設計などを委託していた柴田工事調査が、2026年9月20日未明に不正アクセスを受け、ランサムウェアによりデータが暗号化された。同社が両市から受けた委託業務に関連する個人情報が漏えいしたおそれがあると、大仙市と由利本荘市が公表した。現時点で実際の漏えいは確認されておらず、侵入経路と原因は調査中である。

確認された経路・公表元の推定

  1. 2026年9月20日未明、社内サーバに第三者が不正アクセスした
  2. 同日正午頃、複数のサーバでシステム停止を確認し、一部のデータが暗号化されていた
  3. ネットワークを物理的に遮断し、全システムを緊急停止した
  4. 2026年9月24日、同社が第一報でシステム障害を報告した
  5. 外部のセキュリティ専門会社が侵入経路と原因を調査している
  6. 2026年11月6日、大仙市と由利本荘市が委託業務に関連する個人情報の漏えいのおそれを公表した

根拠の要点

根拠は、同社の第二報と、大仙市・由利本荘市の公表である。第二報は、2026年9月20日未明の不正アクセスでランサムウェアによりデータが暗号化されたと説明し、侵入経路と原因は調査中としている。両市の公表は、委託業務に関連する個人情報の漏えいのおそれを述べ、大仙市は延べ31件とする。

資料の基準時点：市の公表は2026年11月6日更新、同社第二報は基準時点の記載なし（取得日2026-11-08）

当時、対策できたのか

判定保留

第二報は、侵入経路と原因が調査途上で、確定的な報告ができる段階にないとしている。攻撃時点の既知脆弱性への対応や防御条件は資料に書かれていない。そのため、対策の欠落も発覚時の未発見も示されておらず、判定を保留する。

公表された対策

  • 旧ファイアウォール装置を廃止し、ネットワーク機器を全面的に入れ替えた
  • インターネット側からの管理機能へのアクセスを完全に遮断し、通信記録を全件取得して監視する体制を整えた
  • 本社と各拠点を相互に接続していた拠点間VPNを廃止し、一拠点の被害が他拠点へ波及しない構成にした
  • 被害を受けたサーバと端末は、証拠保全の後にすべて初期化した
  • 全サーバ・PCにEDRを導入し、外部のセキュリティ専門会社による監視体制を整えた
  • メールサーバを新たに構築してドメインを刷新し、旧環境は受信のみとした
  • サーバとネットワーク機器のパスワードを全面的に変更し、基準を厳格化した
  • 新しい環境と従前の環境は相互に接続していない
  • 新しいネットワーク機器の設定と脆弱性の有無は外部専門家が検証した
  • PCを使う業務は、専門家の指導のもと動作確認をしたうえで順次利用している
  • 外部の専門機関がダークウェブ上のサイトを継続して監視している
  • 取引先に新しいメールアドレスへの変更を求め、旧ドメインは2026年11月30日まで受信のみ継続する
  • 市は柴田工事調査と連携し、必要な措置を講じるとしている
  • 市民に不審なメール、SMS、電話、郵便物への注意を呼びかけている
  • 身に覚えのないメールやSMSにあるURLや添付ファイルを開かず、不審なWebサイトに個人情報を入力しないよう呼びかけている

この事例を理解するための動画

まだ分からないこと

  • 侵入経路と原因（使われた弱点や認証情報など）は未特定
  • 攻撃が始まった時期の詳細と、侵入経路の詳細
  • 漏えいのおそれのある個人情報の内容と件数（由利本荘市分は調査中で、件数の公表がない）
  • 個人情報が実際に漏えいしたかどうか（現時点で確認されていない）
  • 業務・システム全体の復旧時期（一部のPC業務は順次利用）
  • 調査結果の詳細（判明次第報告するとしている）
  • 第二報の公表日は資料に明記されていない
  • 第二報以降の情報公開の有無（資料の基準時点は不明）
  • 影響を受けた発注者・取引先の範囲（資料に記載がない）

関連する事例

同じ原因分類の事例

事例の一覧に戻る