株式会社西出自動車工作所様は、大阪市に本社を置く自動車整備・自動車メンテナンス管理を提供している企業様です。自社整備工場での車両整備（管理台数：約1万3,000台）に加え、全国約80社のリース会社から委託を受けたメンテナンス管理業務（管理台数：約16万台）を手掛けています。
2026年1月、同社はLockBitによるランサムウェア攻撃を受け、整備部門の基幹システムが暗号化されました。しかし、システム担当者の迅速な初動対応とベンダーの素早い支援により、被害発覚当日の午後1時には基幹システムを復旧することに成功。翌朝には全システムが通常稼働に戻りました。
GSXは被害発覚後のフォレンジック調査やマルウェア感染調査に加え、セキュリティ対策強化施策としてCrowdStrike Falconの導入・MDR運用、標的型メール訓練まで、幅広い支援を継続しています。
インシデントの実態と復旧までの様々な困難、今後の取り組みについて幅広くお話をお伺いしました。
株式会社西出自動車工作所様の事業は大きく2つの柱からなります。一つは大阪市内に構える自動車整備工場。もう一つは、全国のオートリース会社からメンテナンス管理業務を受託する自動車メンテナンス管理事業です。
メンテナンスリースとは、車両本体のリース料に車検・点検・オイル交換などのメンテナンス費用を組み込んだ契約形態です。リース会社がエンドユーザー（車両を契約する顧客）と契約を締結した後、そのメンテナンス管理業務を同社が一括して請け負います。つまり、サプライチェーンにおいては、リース会社が同社の直接的なお客様になり、エンドユーザーが間接的なお客様になります。北海道から沖縄まで、エンドユーザーの使用地に近い工場をネットワーク化し、現地の工場に再委託することで全国対応を実現しています。同社が現在管理するリース車両は約16万台にのぼり、国内大手オートリース会社のサービス部門に相当する機能を担っています。
大手商社系・銀行系・エネルギー系の企業グループが主要取引先であることもあり、信頼は単なる企業姿勢ではなく、ビジネスの根幹そのものです。物を納めるのではなくサービスを提供する以上、信頼が事業の根幹になる——今回のインシデントは、その信頼の重みを改めて突きつける出来事になりました。
同社は攻撃発覚後、段階的にプレスリリースを公開し、取引先・関係各位への情報開示を継続的に実施しています。以下はその対応の流れです。
被害が発覚したのは2026年1月のある朝、午前8時半頃のことでした。始業と同時に、整備工場の現場スタッフが基幹システムを立ち上げようとしたところ、システムが起動しないことに気づきました。「システムトラブルです」という一報がシステム課長の前田氏のもとへ届きます。前田氏がサーバーを確認すると——壁紙が見覚えのない脅迫文に置き換えられ、デスクトップのアイコンはすべて暗号化された状態に変わっていました。
被害に遭った基幹システムは、自社整備工場が管理する約1万3,000台の車両情報を一元管理するシステムです。顧客情報・車両情報・整備履歴・点検サイクル管理・点検案内の発送業務まで、整備工場のあらゆる業務がこのシステムに依存しています。「病院で言えばカルテ」と前田氏が表現するとおり、このシステムが止まることは整備工場の機能が完全に停止することを意味します。車検期日の管理ができなければ、法的義務である車検を実施できず、自賠責保険も失効します。リース会社との信頼関係にも直結する問題です。
壁紙が脅迫文に置き換わっている状況を確認した前田氏が最初にとった行動は、VPN回線の即時遮断でした。被害発覚の瞬間、確証はなかったものの「VPN経由の侵入である可能性が高い」と判断。そのVPNはバックアップデータをクラウドに待避するためにも使用していましたが、遮断による影響範囲が把握できていたため、即断することができました。
これはマニュアルに定められた手順ではなく、他社のVPN経由被害事例を日ごろから情報収集していた前田氏の知識と判断力が生きた瞬間でした。VPN遮断後、すぐにサーバーを構築・保守しているベンダーに連絡を取り、担当SEが現地に駆けつけました。
ベンダー到着後、担当SEの指示のもとバックアップサーバーの回線も即時遮断。バックアップが同一ネットワーク上で暗号化される——ランサムウェア被害でよく起きる最悪のシナリオを、適切な判断と実行で防いでいます。事前に定めたルールではなく、前田氏個人の知見と冷静な状況判断が、被害拡大を阻止しました。
被害発覚から復旧までの経緯は驚くほど迅速なものでした。
約24時間という短期間での復旧を可能にした要因は3つです。
VPN遮断とバックアップ回線の即時切断により、バックアップデータへの暗号化被害を防止。これが復旧スピードに直結しました。
物理サーバーではなく仮想環境での運用だったため、イメージバックアップからの復元が可能で、復旧時間を大幅に短縮できました。
日ごろから密な関係を築いていたシステムベンダーが、事態の重大さをすぐに理解し迅速に現地対応に移ってくれました。
バックアップが同一ネットワーク上に配置されており、バックアップも暗号化されてしまう、という被害が後を絶ちません。また、ネットワーク構成図も同一ネットワーク上のストレージに保管され暗号化されてしまう、という被害事例もあります。バックアップ、ネットワーク構成図などは復旧・調査に欠かせないアセットであり、適切な保全が求められます。
業務復旧を優先しながら並行して進めたGSXによるフォレンジック調査の結果、攻撃の起点となったのはVPN機器であることが判明しました。VPN機器のアクセスログを精査したところ、VPN機器のファームウェアは最新であったものの、アカウントの脆弱性を突かれ侵入を許していました。
アカウントの脆弱性を突かれて侵入を許してしまうケースは様々な調査機関からレポートでも例示されています。例えば、開発・構築作業の効率化のために一時的に設定した脆弱性のあるアカウントが、カットオーバー時に削除・変更されないまま運用に乗ってしまうケースがあります。GSXがフォレンジック支援を行う案件においても同種の事例が後を絶ちません。攻撃者はこのアカウントの脆弱性を突いてVPN装置に不正ログインし、LockBitランサムウェアを展開したと推定されます。
システムの復旧は翌日には完了しましたが、インシデント後の対外対応はそこから数ヶ月にわたる長期戦となりました。
IPA・警察庁・個人情報保護委員会への報告
まず同社はIPA（情報処理推進機構）に報告し、自社Webサイトでも事案を公表しました。その後、個人情報保護委員会と警察庁にも届け出を提出しています。 顧問弁護士のアドバイスを受けながらエビデンスを丁寧に示すことで、個人情報保護委員会からは「漏洩の痕跡なし」という評価も得られました。
取引先からの要請と情報伝達のミスマッチ
直接の取引先である大手リース会社からは「フォレンジック調査を実施したか」という問い合わせをいの一番に受けました。説明を尽くしても「安全な状態になっているかどうか」という取引先の懸案を払拭することができない場面もありました。
営業担当者として最前線に立った音羽氏の声
取引先への説明対応に実際に走り回ったのは、メンテナンス営業部の音羽氏をはじめとする営業担当の方々でした。会社からは「回答は慎重に」という指示が出る一方、現場では技術的な詳細を問われる場面が続きます。お客様に相対する営業の方は、当時はサイバー攻撃に対する知識や技術的な知見が十分ではない状態で、数十社を回らなければならないという状況は、営業担当の方々にとって過酷なものでした。有事の際に社内の技術担当と営業担当が連携して動けるよう、職種・役職を問わず全社員が平時からの教育・情報共有体制を整えておくことの重要性を、まさに身をもって経験することになりました。
フォレンジック調査の依頼先を探す過程は、想定以上に難航しました。既存のシステムベンダーはセキュリティ専門業者ではないためフォレンジック対応は難しく、取引先から紹介された別のセキュリティ会社も、取引先である大手リース会社から求められる調査内容には不十分と判断せざるを得ない事態が発生しました。
そこで複数社のセキュリティベンダーに声をかけるも、日程が合わない、対応は半年先になるなど色よい回答を得ることができませんでした。GSXを最終的に選んだ決め手は2点です。
問い合わせに対する回答が迅速だっただけでなく、担当営業が「近くに伺える機会がある」として早々に訪問を申し出ました。Web面談に続いて直接面談を実施し、気さくに話を聞いてもらえたことで「ここなら大丈夫」という確信が生まれました。
他社は東京拠点のみで、有事の際に関西に来られる体制がないという回答でした。一方GSXは神戸に拠点を構え、関西エリアでの対面支援が可能でした。「日ごろから関係のある会社が近くにいてくれることは、何かあった時の安心感がまったく違う」と前田氏は言います。
GSXのフォレンジック担当者は、西出自動車工作所様からのご依頼を受けてヒアリング対応から調査までを一貫して担当しました。調査開始時点では、VPN経由での侵入であることは判明していたものの、被害がどのサーバーまで及んでいるかは明確になっていない状況でした。そのためGSXでは、被害範囲の特定にとどまらず、環境全体の実態を正確に把握するため、フォレンジック調査とマルウェア感染調査の両方を提案し実行することとなりました。
今回の調査では、3台のサーバーに対するフォレンジック調査を実施しました。いずれのサーバーでもイベントログが削除されている状態が確認されましたが、ログの復元処理を行うことで、侵入経路・侵入日時・攻撃者が使用したユーザー名の特定に成功しました。近年の攻撃者はイベントログを削除するケースが増加しており、削除されたログを復元したうえで解析することが、現在の脅威環境においては必須の対応となっています。
なお、GSXでは年間300件以上のサイバー攻撃被害のご相談をいただきますが、調査した中には安易なID・パスワードが使用されている事案が少なくありません。今一度ID・パスワードについてご確認ください。
GSXは感染端末の詳細調査（フォレンジック）と環境全体の現状確認（マルウェア感染調査）を同時並行で実施できます。被害の把握と現状の安全確認を一体的に進めることで、お客様への迅速かつ包括的な支援が可能となっています。
西出自動車工作所様では、フォレンジック調査・マルウェア感染調査を経て、GSXとともに複数のセキュリティ対策を実施・強化しています。以下に一例をお示しします。
従来のウイルス対策ソフトから、GSXの支援のもとEDR製品であるCrowdStrike Falcon を全端末に導入。さらにMDR（Managed Detection and Response）サービスとして運用することで、24時間365日の監視・検知・対応体制を整えました。
数年間手をつけられなかった標的型メール訓練を、今回のインシデントを契機にGSXのトラップメールサービスを活用して初めて実施。「定期的に繰り返して、社員のリテラシーを継続的に高めていきたい」（前田氏）
アカウントの脆弱性を踏まえ、社内のパスワードポリシーを文書として明確化し全社に展開。「パスワードのセキュリティレベルが低かったことが原因の一つでもあったので、ここはきちんと整備する」（前田氏）
マルウェア感染調査の目的は「今この瞬間、端末が感染しているかどうか」を正確に確認することです。GSXが提供するCrowdStrike Falconを活用したマルウェア感染調査サービスでは、24時間365日のリアルタイム監視が可能なため、感染状況が不明なPCやサーバーにインストールすることで、業務を継続しながら安全性を確認することができます。西出自動車工作所様での調査の結果、マルウェア感染は確認されませんでした。
既存端末の利用継続を判断しながら調査を進めるため、全台初期化や一斉買い替えを行わず、最小限の対応で済みます。
アラート発生時にはGSXのシステムと連携して一次レポートを送付。翌営業日以内（ベストエフォートで当日中）にアラート解析結果をご連絡します。
感染調査完了後、CrowdStrike FalconをそのままEDR（恒久的なセキュリティ対策）として継続利用することができます。GSXでは調査から対策強化まで一気通貫で対応します。
もし感染が確認された端末がある場合は、初期化が必要か、対象ファイルを削除するだけで利用継続できるかをGSXが判断し対応方法をご案内します。感染していない端末はそのまま継続利用いただけるよう案内するため、業務への影響を最小限に抑えた対応が可能です。
西出自動車工作所様では調査後、CrowdStrike FalconおよびMDRサービスを導入し、GSXが運用監視を行っています。
前田氏が特に挙げたのは、対応スピードと距離感の近さです。「システム部門は限られた人数で非常に幅広い守備範囲を対応していく過程において、何かモヤモヤした時にタイムリーに相談できることがとても重要です。外部の専門家の時間をお借りして、迷っている時間を少なくすることができた」と語ります。
IT-BCPの整備や、サイバー攻撃を想定した訓練の経験がないなかでサイバー攻撃被害を受けることになりました。VPN遮断という重要な初動対応が「マニュアルではなく個人の判断」で行われたことは幸いにして奏功しました。今後はインシデント対応手順の文書化と定期的な訓練が不可欠です。
バックアップが生存していたことが今回の早期復旧の最大の要因でした。バックアップを本番環境と同一ネットワーク上に置いた場合、バックアップも暗号化されてしまいます。バックアップの分離保管と復旧訓練の定期実施が重要です。
金融情報や機微情報でなくても、氏名・連絡先・車両番号といった情報は個人情報保護法上の重要な個人情報です。インシデント発生時には取引先を含む広範な対応が求められることを、今回身をもって学びました。
「喉元過ぎれば忘れる。それが一番怖い」と三村氏は強調します。メール訓練・EDR運用・パスワードポリシー更新など、定期的な取り組みを組織に組み込み継続して実施することがセキュリティ対策の本質です。
サイバー攻撃被害後のEDR導入、メール訓練による従業員教育に加え、今後の取り組みとして、ゼロトラスト型リモートアクセス環境の整備、パスワードポリシーの全社展開、eラーニングを活用した社内リテラシー向上などサイバーセキュリティ対策強化が進んでいます。GSXは引き続き同社のサイバーセキュリティ対策強化を支援していきます。
始業直後のシステム不具合という形で表面化したインシデント。最初の連絡を受けた段階でサーバーへの不正アクセスまで視野に入れ、迅速に対応を開始したことが被害拡大の防止につながりました。
マニュアルなき状況でVPN遮断という的確な初動対応が取れたのは、前田氏が日ごろからVPN経由の攻撃事例に関する情報収集を継続していたからです。平時の知識の蓄積と意思決定できる体制が有事を支えます。
バックアップを本番ネットワークから切り離せたことが当日中の復旧を可能にしました。バックアップの存在だけでなく、隔離した形での保管と定期的な復旧訓練が不可欠です。
近年ではVPNアカウントの脆弱性を突かれて侵入を許す被害が絶えません。脆弱なアカウント設定は避け、かつ、定期的なアカウントの棚卸しと確認を徹底することが重要です。
システム復旧後も個人情報保護委員会・取引先・警察への対応が数ヶ月続きました。有事の体制・手順・担当者を事前に定め、弁護士など外部専門家との連携体制も平時から整えておくことが不可欠です。
インシデントがもたらした教訓と危機感は時間とともに薄れていきます。メール訓練・EDR運用・ポリシー更新など、定期的な取り組みを組織に組み込み継続して実施することがセキュリティ対策の本質です。
| 会社名 | 株式会社西出自動車工作所 |
|---|---|
| 事業内容 | 自動車整備業・自動車メンテナンス管理業 |
| 管理台数 | 自社整備：約1万3,000台 ／ メンテナンス管理：約16万台 |
| 取引先リース会社数 | 約80社 |
サイバー攻撃被害、ランサムウェア被害、情報漏洩などのセキュリティインシデントに対し、フォレンジック調査、初動対応、復旧支援、復旧後のサイバーセキュリティ対策強化まで、お客様に寄り添ってホスピタリティ高くご支援いたします。
サワイグループホールディングス株式会社様は、情報セキュリティ対策に関する運用負荷の増大を改善するため、自動的に怪しい行動を検知し、情報漏洩リスクの極小化や不正アクセス対策の強化などを実現する次世代SIEMプラットフォームExabeamを導入されました。
ディップ株式会社様は、クラウドサービスの業務利用の拡大によって境界防御に課題を感じ、課題解決のためにGSXから提案した CrowdStrike Falcon / MDR サービスを導入されました。
株式会社ビジネスブレイン太田昭和様は、情報セキュリティアセスメントを行った結果、ログの監視・分析・管理・蓄積を行う基盤の構築が重要課題として抽出され、GSXから提案した次世代 SIEM プラットフォーム Exabeam を導入されました。
