新菱冷熱工業にランサムウェア攻撃、エネルギーマネジメントサービス「SEMS」に影響 復旧時期は未定

事案の概要データ

図解：この事故の構造

何が起きたのか

新菱冷熱工業は2026年10月21日、「サイバー攻撃によるシステム障害発生について」を公表しました。空調設備工事を手がける大手の設備会社です。

初報によれば、2026年10月17日に不正アクセスによるシステム障害が発生。「第三者からのサイバー攻撃によって被害が発生していることが判明しております」としていました。この段階では攻撃の種類は特定されていません。

7日後の10月28日に第2報が出ます。ここで「第三者によるランサムウェア攻撃が原因と判明しております」と明記されました。詳細な侵入経路は、外部の専門機関と連携して調査中です。

影響範囲は「当社のエネルギーマネジメントサービス『SEMS』をご利用のお客様および取引先の皆様」。対象には個別に案内済みとしています。

情報流出については「現時点において、個人情報や顧客データが外部へ流出した事実は確認されておりませんが、引き続き調査を進めてまいります」。件数は公表されていません。

復旧時期については、「被害を受けた一部サービスにつきまして、現時点では明確な復旧時期をお伝えできる状況にございません」としています。

第2報で「ランサムウェア」と書いたことの意味

初報は「サイバー攻撃」、第2報は「ランサムウェア攻撃」。この書き換えは、小さいようで大きい違いです。

「サイバー攻撃」は、ほとんど何も言っていません。 不正アクセスも、ウイルス感染も、DDoSも、すべて「サイバー攻撃」です。読んだ側は、何を警戒すればいいか分かりません。

「ランサムウェア攻撃」と書くと、起きていることの形が見えます。 ランサムウェアは、データを暗号化して業務を止め、復旧と引き換えに金銭を要求する攻撃です。近年は「払わないならデータを公開する」と脅す二重恐喝が主流になっています。

だから「ランサムウェア」と書いた時点で、取引先は次のことを想定できます。①システムが止まっているので、普段の連絡手段が使えないかもしれない。②データが公開される可能性があるので、自社が渡した情報も対象かもしれない。③復旧には時間がかかる。

一方で、「ランサムウェア」と書くことは会社にとってリスクでもあります。株価にも、取引先の与信判断にもひびきます。それでも書いたのは、書かないと取引先が備えられないからです。

中小企業が同じ立場になったとき、初報で攻撃の種類が分からないのは普通です。初報は「サイバー攻撃」でよい。ただし、分かった時点で第2報に書き直す。 この順番を守るだけで、公表の質は大きく変わります。

「PHPは使用していないことの調査と確認（完了）」という1行

第2報の「対応状況」に、見慣れない項目が入っています。

「本件の影響範囲についてPHPは使用していないことの調査と確認（完了）」

これは、2026年10月に大きく報じられたPHPの深刻な脆弱性（本サイトでも複数の事案で触れています）と、自社の事故が関係ないことを確認した、という記述です。実際に同社は、10月22日に「PHPの脆弱性対応に伴うホームページの一部利用制限について」を別途公表し、10月27日に復旧を公表しています。つまり同社は、同じ時期に2つの別件を抱えていたわけです。

この1行が優れているのは、取引先が当然抱く疑問を、先に打ち消している点です。

10月下旬の時点で、取引先の情報システム担当者はこう考えます。「新菱冷熱がやられたのは、あのPHPの脆弱性か？ だったら自社も同じ経路で危ないのでは」。この疑問に答えないと、問い合わせが殺到します。

だから「PHPは使っていないことを確認した（完了）」と書く。たった1行で、問い合わせの何割かが消えます。

中小企業の公表文でも、この考え方はそのまま使えます。「世の中で話題になっている原因と、自社の事故は関係があるのか」を、先に書く。 関係があるなら「同じ脆弱性です」と書く。関係ないなら「別件です」と書く。分からないなら「現在確認中です」と書く。どれでもいいのですが、触れないのが一番よくありません。

復旧時期を言えないときに、何を書けるか

「現時点では明確な復旧時期をお伝えできる状況にございません」。これは言いにくい一文です。しかし、適当な見通しを出すよりはるかに誠実です。

ランサムウェアからの復旧には、最低でも数週間かかることが多く、数か月に及ぶこともあります。「来週には復旧します」と言って守れなければ、信頼は二重に失われます。

では、復旧時期を言えないときに何を書けるか。第2報は、4つの対応項目に（完了）（対応中）を付けて並べています。

「ネットワークの遮断（完了）」「感染状況および侵入経路の調査（対応中）」「警察・情報処理推進機構等への報告（完了）」「PHPを使用していないことの確認（完了）」。

復旧の日付は言えなくても、進捗は言えます。 これが読み手にとっての安心材料になります。「何も進んでいない」のではなく「3つ終わって1つ進行中」だと分かるからです。

中小企業が事故で業務を止めたとき、取引先への連絡文は、この形がそのまま使えます。①やったこと（完了）②やっていること（対応中）③まだ言えないこと（復旧時期など）の3つに分けて書く。これだけで、「状況が分からない」という不安はかなり減ります。

そしてもう1つ。同社は管轄警察署と情報処理推進機構（IPA）への報告を完了しています。ランサムウェアの被害に遭ったときの通報先は、この2つです。警察（都道府県警のサイバー犯罪相談窓口）とIPA。被害届を出すと復旧が遅れると考える方がいますが、逆です。同種の被害の情報が集まっている場所に相談したほうが、復旧の手がかりが得られます。

時系列で見る経過

• 2026年10月17日第三者による不正アクセスに伴うシステム障害が発生。一部サービスに影響
• 2026年10月21日初報「サイバー攻撃によるシステム障害発生について」を公表（発生から4日）
• 2026年10月22日（別件）「PHPの脆弱性対応に伴うホームページの一部利用制限について」を公表
• 2026年10月27日（別件）ホームページの一部利用制限の復旧を公表
• 2026年10月28日第2報。ランサムウェア攻撃と判明。影響はエネルギーマネジメントサービス「SEMS」の利用者と取引先。ネットワーク遮断・関係機関への報告は完了、侵入経路の調査は対応中
• 2026年10月28日時点個人情報や顧客データの外部流出は確認されず。復旧時期は明確に伝えられる状況にないとする

中小企業が学ぶべきポイント

1. 初報で攻撃の種類が分からないのは普通。ただし分かった時点で第2報に書き直す。
2. 「サイバー攻撃」はほとんど何も言っていない。「ランサムウェア」と書くと、相手は備えられる。
3. 世の中で話題になっている原因と自社の事故が関係あるかを、先に書く。触れないのが一番よくない。
4. 復旧時期が言えなくても、対応項目に（完了）（対応中）を付ければ進捗は伝えられる。
5. 取引先への連絡文は、やったこと／やっていること／まだ言えないことの3つに分ける。
6. ランサムウェアの通報先は、都道府県警のサイバー犯罪相談窓口とIPA。被害届は復旧を遅らせない。
7. 被害拡大を防ぐ最初の手は、やられた機器につながるネットワークの遮断。
8. 自社が提供するクラウド型サービスが止まると、止まるのは顧客の業務。影響範囲は社外に出る。

出典・参考

• サイバー攻撃によるシステム障害発生について（新菱冷熱工業・2026年10月21日）
• 【第2報】サイバー攻撃によるシステム障害発生について（新菱冷熱工業・2026年10月28日）
• 新菱冷熱工業にサイバー攻撃、システム障害で一部サービスにも影響（ScanNetSecurity）