事案の概要データ
| 侵入 | 2026年8月12日（VPNアカウントの悪用） |
|---|---|
| 犯行声明 | 2026年9月15日（ランサムウェアグループ「SafePay」） |
| ランサムウェア確認 | 2026年9月25日（第3報） |
| 大東ガス | 約12万4,000件の個人情報漏えいの可能性 |
| 伊勢崎市 | 3,789件 |
| 名張近鉄ガス | 約6,800件 |
| 漏えいのおそれがある情報 | 営業情報、取引情報、取引先顧客や従業員などの個人情報 |
図解：この事故の構造
何が起きたのか
両毛システムズは、自治体やガス事業者などにシステムを提供・運用する企業です。2026年8月12日、攻撃者がVPNアカウントを悪用して同社の社内ネットワークに侵入しました。
2026年9月15日、ランサムウェアグループ「SafePay」が同社のドメインで犯行声明を出し、9月25日の第3報でランサムウェア攻撃であることが正式に確認されました。
被害は同社だけにとどまりませんでした。委託元である大東ガスで約12万4,000件、伊勢崎市で3,789件、名張近鉄ガスで約6,800件の個人情報漏えいの可能性が判明しています。
VPNアカウントという定番の入口
侵入経路はVPNアカウントの悪用でした。2026年に入ってから、この経路での被害が繰り返されています。9月のデジタル庁GSS（VPN機器の脆弱性）、2025年のアサヒグループ（ネットワーク機器の脆弱性）、矢崎総業（海外拠点のVPN）——いずれもVPNが入口です。
VPNは「社外から社内に安全に入るための仕組み」ですが、裏を返せば「ここを突破すれば社内に入れる」入口でもあります。しかも、インターネットに常時公開されています。
対策は2つです。1つは機器の脆弱性を放置しないこと。もう1つは、VPNのアカウントに必ず多要素認証をかけることです。この事案では「アカウントの悪用」とされており、認証情報が盗まれていた可能性が高く、多要素認証があれば防げた可能性があります。
自治体とガス事業者という委託元
この事案の委託元には、伊勢崎市という自治体と、大東ガス・名張近鉄ガスというガス事業者が含まれます。いずれも住民・利用者の生活に密着した組織です。
住民から見れば「市役所の情報が漏れた」「ガス会社の情報が漏れた」という事案ですが、攻撃されたのはシステムを請け負っていた民間企業です。2026年4月のYCC情報システム（複数自治体に波及・約51万件）、2024年のイセトーと同じ構図です。
2026年の事案を通じて明確になったのは、「システムを委託する側の管理責任」が避けられなくなっているということです。委託先に預けるデータを最小限にすること、事故時の報告期限を契約に書くこと、委託先のセキュリティ体制を定期的に確認すること——この3点は、規模を問わず必要になっています。
時系列で見る経過
- 2026年8月12日攻撃者がVPNアカウントを悪用し、両毛システムズの社内ネットワークへ侵入
- 2026年8月一部サーバに第三者による不正アクセスの痕跡を確認し、公表
- 2026年9月15日ランサムウェアグループ「SafePay」が同社ドメインで犯行声明を出す
- 2026年9月25日第3報でランサムウェア攻撃であることを正式に確認
- 2026年9月以降大東ガス 約12万4,000件、伊勢崎市 3,789件、名張近鉄ガス 約6,800件の漏えいの可能性が判明
中小企業が学ぶべきポイント
- VPNのアカウントに多要素認証をかける。2026年で最も多い侵入経路。
- VPN機器の脆弱性情報を追い、パッチを最優先で適用する。
- 委託先に預けるデータを最小限にする。「念のため全件」をやめる。
- 委託契約に、事故時の報告期限と報告先を明記する。
- 侵入（8月12日）から正式確認（9月25日）まで約6週間。調査には時間がかかる前提で備える。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。