漏えいの可能性2026.05.20 第5報

YCC情報システムの情報漏えい

自治体や企業の情報処理を受託するYCC情報システムがランサムウェアに感染した。山形市の健康情報約50万件など、複数の委託元の情報に漏えいの可能性が及んでいる。

管理用の入口は、外から見えない場所に置く。

公表された内容

第5報によると、攻撃者は認証の試行などでネットワーク機器の管理者アカウントの認証情報を推測または取得し、それを使って内部のネットワークに入ったと推定されている。

外部の専門機関は、実際に情報が漏えいしたことを裏付ける痕跡は確認していないとしている。一方で会社は、漏えいの可能性を完全には否定できないとして監視を続けている。

受託事業者が攻撃されると、その会社に情報を預けたすべての委託元が巻き込まれる。IPAの「情報セキュリティ10大脅威 2026」でも、委託先を狙った攻撃は組織編の2位に挙がっている。

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。

ネットワーク機器の管理用の画面やログイン口は、社内の管理用ネットワークからだけ使えるようにする。外から届かなければ、パスワードを推測される機会そのものがなくなる。

パスワードが推測・取得されても、それだけではログインできないようにする。初期設定の管理者名を変え、パスワードは長くランダムなものにする。

同じアカウントへのログイン失敗が続く、普段ない場所から管理者がログインした、といった兆候を検知の対象にする。推測による侵入は、成功する前に失敗の山を残す。

委託元ごとに保管場所と接続できる範囲を分けておけば、1か所の侵入がすべての委託元に広がりにくい。ネットワークから切り離したバックアップを持ち、実際に戻せるかを定期的に試す。

委託先に預ける情報を必要な分だけにし、契約で多要素認証やバックアップなどの要件と、事故時の報告期限を決めておく。委託しても、預けた情報の管理責任は委託元にも残る。

内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。