長野都市ガス：業務委託先企業における「不正アクセスによるお客さま情報流出の可能性」についてのお詫びとお知らせ （第二報・事案の概要とお客さまへの個別通知について）

長野都市ガスによれば、業務委託先の株式会社両毛システムズから、同社ネットワークへの不正アクセスにより長野都市ガスのお客さま情報が流出した可能性があるとの報告を2026年9月24日に受けた。両毛システムズは翌25日に自社ホームページで案内を掲載し、個人情報保護委員会への報告も済んでいる [s3]。セキュリティ対策Labによれば、両毛システムズの第3報で、外部専門機関の調査によりランサムウェア攻撃だったことが確認された。時系列は、8月12日に外部の第三者がVPNアカウントを悪用して社内ネットワークへ侵入、8月14日に社内の死活監視で異常を検知してネットワークを遮断、8月15日からフォレンジック調査を開始、というものである [s6]。長野都市ガスが報告を受けたのは侵入の約6週間後であり、9月28日の公表時点では件数や項目を精査中だった。10月5日の続報で約3,600件と公表した [s3][s6]。ITmediaの10月1〜9日分のまとめも、この続報を約3,600件として載せている [s4]。

攻撃者側について、セキュリティ対策Labによれば、ランサムウェアグループ「SafePay」が9月15日に両毛システムズのドメインを犯行声明サイトに掲載し、データを公開した。同Labは公開データ内に認証情報とみられる一覧や二要素認証のバックアップコードとみられる情報があるのを確認したという。ただし両毛システムズは第3報でも攻撃者名を公表しておらず、SafePayを侵入主体として公式には認定していない。同Labも、これらが今回のVPN侵入に使われたとする証拠はないとしている [s6]。

侵入経路について、セキュリティ対策Labは、両毛システムズの第3報で確認された経路はVPNアカウントの悪用だと整理している。アカウントが取得された経緯、VPN機器の脆弱性悪用の有無、MFAの設定状況、ランサムウェアの名称、全体の影響件数は公表されていないという [s6]。長野都市ガスについては、同Labによれば対象は2026年4月1日から5月16日の保安調査結果で、両毛システムズ側のファイルサーバーに保存されていた約3,600件の氏名、住所、電話番号、ご契約番号である [s6]。長野都市ガスは、外部からの経路は遮断済みで二次被害は確認されていないとしている [s3]。

影響は長野都市ガスだけにとどまらない。セキュリティ対策Labによれば、大東ガスで約12万4,000件、伊勢崎市で児童生徒3,789件、名張近鉄ガスで約6,800件について、両毛システムズ側に保存されていた情報が流出した可能性が公表された。広島ガスは同社をシステム維持管理事業者として利用しており、9月30日時点で顧客情報の漏えいは確認されず調査中とした [s6]。同Labは、自組織の本番システムが直接侵害されていなくても、委託先に残るデータが影響対象になる点を指摘し、委託先へ渡したデータの保存期限、作業終了後の削除手順と削除証跡、バックアップ上の残存期間などを確認項目に挙げている [s6]。

同種事案との関係では、ITmediaによれば、国家サイバー統括室は10月9日に注意喚起を出し、「Webシステムなどの適切な管理」「サプライチェーンを通じた侵害への対策」「データの適切な管理」の3領域で基本的な対策の徹底を呼び掛けた。同室は被害報告が8月以降に増えているとの見解を示している [s4]。地元報道でも、長野都市ガスの件は県内の不正アクセス事案の一つとして、委託先の被害による約3,600件の流出の可能性が伝えられた [s7]。