---
title: "技研製作所の不正アクセス：約3,200名の情報漏えいのおそれとパスワード変更・保存形式の点検"
url: "https://www.issoh.co.jp/tech/details/19580/"
published: 2026-11-10
updated: 2026-11-10
categories: ["セキュリティ"]
publisher: "株式会社一創"
---

# 技研製作所の不正アクセス：約3,200名の情報漏えいのおそれとパスワード変更・保存形式の点検

油圧式杭圧入引抜機「サイレントパイラー」で知られる技研製作所が、2026年11月9日に業務用サーバー1台への不正アクセスを公表しました。ランサムウェアを含む攻撃で、ユーザーと指定工場の担当者、グループ従業員の約3,200名の情報に漏えいのおそれがあります。顧客支援システムのログインIDと、暗号化した形式で保存されたパスワードも対象です。前半では第1報で分かる経緯と項目、取引先や従業員が確かめることを整理します。後半はパスワードを変える順序、暗号化とハッシュの違い、自社の顧客ポータルの保存形式を判定するPythonの例、報告と本人通知の扱いです。

## まとめ：技研製作所の不正アクセスで分かっていることと取引先・開発者が今週やること

[技研製作所の第1報](https://www.giken.com/ja/news/notices/notice%5F20261109/)によると、11月5日に業務用サーバーの異常を確認し、翌6日に外部からの接続を遮断しました。情報が外部へ送られた痕跡は今のところ見つかっていません。それでも窃取の可能性は否定できないとして、公表に踏み切っています。

| 項目    | 第1報の記載                  |
| ----- | ----------------------- |
| 異常の確認 | 2026年11月5日（翌6日に外部接続を遮断） |
| 攻撃    | ランサムウェアを含む外部からの不正アクセス   |
| 対象    | 約3,200名（取引先の担当者と従業員）    |
| 認証情報  | 顧客支援システムのログインIDとパスワード   |
| 対象外   | カード情報・銀行口座情報・マイナンバー     |
| 未公表   | 侵入経路・攻撃者・パスワードの暗号方式     |

取引先の担当者がやることは2つです。顧客支援システムと同じパスワードを他のサービスに使っていれば、そちらを先に変える。技研製作所を名乗るメールや電話は、受け取った連絡先ではなく普段の窓口で確かめる。自社で顧客向けのログイン画面を運用している開発者は、パスワード列が戻せる暗号化で保存されていないかを点検してください。

## 公表文で分かる範囲：11月5日の異常確認から第1報までの経緯と未公表の事項

### 業務用サーバー1台へのランサムウェアを含む攻撃と、翌6日の外部接続の遮断

第1報が書いている被害は、業務用サーバー1台です。このサーバーにユーザーと指定工場の担当者、グループ従業員の個人情報が保存されていました。工場の生産設備や製品の出荷が止まったという記載はありません。

異常の確認から遮断までは1日、遮断から公表までは3日です。ランサムウェアの被害では、暗号化されたサーバーを特定し、ネットワークから切り離すのが最初の作業になります。技研製作所も外部からの接続を断ってから調査に入りました。感染の発覚から隔離・証拠保全・復旧までの一般的な流れは[ランサムウェアの初動対応の手順](https://www.issoh.co.jp/column/details/18774/)にまとめています。

### 外部送信の痕跡は未確認でも「窃取の可能性を否定できない」とされた理由

痕跡が見つからないことと、持ち出されていないことは同じではありません。通信ログの保存期間が短い、暗号化の過程でログ自体が消えた、正規のクラウドストレージへの送信に紛れた、といった理由で記録が残らない場合があります。

[警察庁のランサムウェア被害防止対策](https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html)は、データを暗号化するだけでなく、窃取したうえで公開をちらつかせて対価を求める二重恐喝が被害の多くを占めると説明しています。リークサイトに財務情報や個人情報が載った例も多数あるという説明です。ランサムウェアが関わる事案で「漏えいのおそれ」として公表するのは、この手口を前提にした判断と読めます。

## 漏えいのおそれがある約3,200名の情報と、取引先・従業員が確かめること

### ユーザー・指定工場担当者・グループ従業員・ログインIDの4区分と対象外の情報

第1報が挙げる情報は次の区分です。いずれも「など」と書かれており、項目はこれで全部とは限りません。

- ユーザーと指定工場の担当者（海外企業を含む）：氏名、会社名、部署・役職、メールアドレス、電話番号など
- グループ従業員：氏名、メールアドレス、社員番号など
- 顧客支援システムのログインIDとパスワード（暗号化した形式で保存）
- 含まれないもの：クレジットカード情報、銀行口座情報、マイナンバー

金銭の情報は外れています。ただし会社名・部署・役職・メールアドレスがそろっているので、取引先を狙った業務メールのなりすましには十分な材料です。海外企業の担当者も含まれるため、英語の不審メールにも同じ注意が要ります。

### 個別連絡と問い合わせ窓口、技研製作所を装う不審なメール・電話の見分け方

対象者には技研製作所から個別に連絡が届きます。連絡がつかない人には、第1報そのものが通知の代わりになります。問い合わせ先は、公表文に記載された個人情報に関する窓口のメールアドレスです。

第1報も、技研製作所や関係者を装う不審なメール、SMS、電話への注意を呼びかけています。見分けるときは、届いたメールの返信先や電話で告げられた番号ではなく、技研製作所の公式サイトや契約時の書類にある連絡先から折り返します。請求先口座の変更や、パスワード再設定のリンクを含む連絡は、確認が取れるまで応じないでください。

## 顧客支援システムのログインID：暗号化した形式のパスワードで利用者がやること

### 暗号化は戻せる、ハッシュは戻せない：OWASPが示す保存方式の違いと漏えい時の差

第1報はパスワードを「暗号化した形式で保存」と書いています。この表現だけでは、どの方式かは分かりません。保存方式によって、漏れたときの危険度は大きく変わります。

[OWASPのPassword Storage Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Password%5FStorage%5FCheat%5FSheet.html)は、ハッシュを一方向の処理、暗号化を双方向の処理と区別しています。暗号化された値は、鍵があれば元のパスワードに戻せる仕組みです。そのためパスワードに暗号化を使うのは元の値が必要な例外的な場合だけとし、通常は Argon2id（メモリ19MiB・反復2回・並列度1以上）や bcrypt（コスト係数10以上）などの遅いハッシュを勧めています。サーバーごと奪われた場合、暗号化の鍵が同じサーバーにあれば、パスワードは平文と同じ扱いになります。

### パスワード使い回し先の変更とNIST SP 800-63B-4の強制変更基準

利用者の側で急ぐのは、同じパスワードを使っている他のサービスです。顧客支援システムそのもののパスワード再設定は、技研製作所が案内する手順に従う対応です。攻撃者は奪ったIDとパスワードの組を、メールサービスや業務クラウドのログイン画面にまとめて試します。ログインIDがメールアドレスなら、その組がそのまま使われます。

米国の認証ガイドラインである[NIST SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html)の3.1.1.2は、定期的なパスワード変更を求めてはならない一方、侵害の証拠がある場合は変更を強制すべきだとしています。今回はこの「証拠がある場合」に該当する事案です。新しいパスワードは漏えい済みの値の一覧と照合し、ほかのどのサービスとも重ならない文字列にします。

## 自社の顧客ポータルを点検する：パスワード列の保存形式を判定するPythonの実装

### パスワード列のargon2id・bcrypt・scrypt・素のハッシュ・不明判定

取引先向けのポータルやサポートサイトを自社で持つ企業は、同じ事態に備えて保存形式を確かめておきます。次のコードは、利用者テーブルから書き出したCSVのパスワード列を、値の先頭の形で分類します。あわせて、標準ライブラリの[hashlib.scrypt](https://docs.python.org/3/library/hashlib.html)で新しい形式へ置き換える関数も入れました。

```
# パスワード列の保存形式を判定し、一方向ハッシュでない行を数える（Python 3.9以上・標準ライブラリのみ）
import base64, csv, hashlib, hmac, os, re, sys

PATTERNS = [
    ("argon2id", re.compile(r"^\$argon2id\$")),
    ("bcrypt", re.compile(r"^\$2[aby]\$\d{2}\$")),
    ("scrypt", re.compile(r"^scrypt\$")),
    ("pbkdf2", re.compile(r"^pbkdf2_sha256\$")),
]

def classify(value):
    for name, pat in PATTERNS:
        if pat.match(value):
            return name
    if re.fullmatch(r"[0-9a-f]{32}|[0-9a-f]{40}|[0-9a-f]{64}", value):
        return "unsalted_hex"  # MD5・SHA-1・SHA-256の素のハッシュとみられる
    return "unknown"  # 可逆暗号・平文・独自形式の可能性。人が中身を確かめる

def scrypt_hash(password, n=2**17, r=8, p=1):
    salt = os.urandom(16)
    dk = hashlib.scrypt(password.encode(), salt=salt, n=n, r=r, p=p,
                        maxmem=256 * 1024 * 1024, dklen=32)
    return "scrypt$%d$%d$%d$%s$%s" % (n, r, p, base64.b64encode(salt).decode(),
                                      base64.b64encode(dk).decode())

def scrypt_verify(password, stored):
    _, n, r, p, salt, dk = stored.split("$")
    test = hashlib.scrypt(password.encode(), salt=base64.b64decode(salt),
                          n=int(n), r=int(r), p=int(p),
                          maxmem=256 * 1024 * 1024, dklen=32)
    return hmac.compare_digest(test, base64.b64decode(dk))

if __name__ == "__main__":
    counts = {}
    with open(sys.argv[1], newline="", encoding="utf-8") as f:
        for row in csv.DictReader(f):
            kind = classify(row["password"])
            counts[kind] = counts.get(kind, 0) + 1
    for kind, num in sorted(counts.items()):
        print(f"{kind:13s} {num}")
    h = scrypt_hash("correct horse battery staple")
    print(h[:30] + "...", scrypt_verify("correct horse battery staple", h),
          scrypt_verify("wrong password", h))
```

列名の password は自社のテーブルに合わせて読み替えます。scrypt のパラメータ N=2^17・r=8・p=1 は、OWASPのチートシートが最初に挙げる設定です。CSVには利用者のパスワード由来の値が入るので、作業端末に残さず、判定が終わったら消してください。

### 合成8件で確かめた出力と、unknownの行を次回ログイン時にscryptへ移す手順

argon2id 2件、bcrypt 2件、scrypt 1件、ソルトなしのMD5 1件、可逆暗号を模した値2件を並べた合成CSVで実行しました。Python 3.14.10（Windows）で2026年11月10日に得た出力です。最終行の salt 部分は実行のたびに変わります。

```
argon2id      2
bcrypt        2
scrypt        1
unknown       2
unsalted_hex  1
scrypt$131072$8$1$BqG1KU3Zeqvm... True False
```

unknown と unsalted\_hex が1件でもあれば、移行の対象です。手順は3段階で進めます。

1. 次回ログインで入力されたパスワードを旧方式で照合し、一致したら scrypt\_hash で作り直して保存する
2. 一定期間ログインのない利用者は、旧い値を消してパスワード再設定のメールを送る
3. 旧方式の照合コードと暗号化の鍵を本番から外す

失敗しやすいのは、1だけ実装して2を後回しにする場合です。めったにログインしない取引先の担当者ほど旧方式の値が長く残り、漏えいのときに戻せる行として残ります。bcrypt の72バイト制限や Argon2id への移行は[bcryptのコスト係数とArgon2idへの移行コード](https://www.issoh.co.jp/tech/details/19285/)で扱いました。

## ランサムウェア被害の業務サーバー：侵入口の見直しと二重恐喝を前提にした初動

### 警察庁が挙げるVPN機器・認証情報からの侵入と、外部接続とログイン認証の見直し

技研製作所の再発防止策は、サーバーの入れ替え、外部からの接続とログイン認証の見直し、監視体制の強化です。侵入経路は調査中で、第1報には書かれていません。

警察庁の解説は、ランサムウェアの侵入口として、VPN機器などインターネットに露出した箇所の未修正の脆弱性、漏えいした認証情報、簡易なパスワード、設定の不備を挙げています。再発防止策の「ログイン認証の見直し」は、この類型を意識した対応と読めるものの、経路そのものは未公表です。自社のVPN機器が修正済みの版かは[VPN機器の版確認コマンドとKEV照合スクリプト](https://www.issoh.co.jp/tech/details/18740/)で確かめられます。VPNのアカウントが悪用されて委託元の情報まで広がった例は[両毛システムズのランサムウェア被害](https://www.issoh.co.jp/tech/details/18211/)で追っています。

### 暗号化と持ち出しの両方を疑う理由、遮断後に残すログと証拠保全の順序

二重恐喝を前提にすると、遮断の後にやることは復旧だけでは終わりません。持ち出しの有無を判断する材料を、消える前に確保します。優先する順に並べます。

- ファイアウォールとプロキシの通信ログ（外部へ大きな量を送った宛先と時刻）
- VPN機器とリモート接続の認証ログ（成功したログインの送信元と時刻）
- 被害サーバーのイベントログとディスクの複製（再インストールの前に取る）
- バックアップの世代と、最後に正常だった時点の記録

機器のログは保存期間が数日から数週間のものが多く、調査が長引くと上書きされます。共有フォルダごと暗号化される経路と、スナップショットで世代を守る設定は[NASのランサムウェア対策](https://www.issoh.co.jp/tech/details/19293/)にまとめました。

## 個人情報保護委員会への報告：不正の目的による漏えいのおそれと本人通知の扱い

### 件数を問わず報告対象となる類型と、確報を60日以内に出す期限の考え方

[個人情報保護法ガイドライン（通則編）](https://www.ppc.go.jp/personalinfo/legal/guidelines%5Ftsusoku/)では、不正の目的をもって行われたおそれのある漏えい等は、件数にかかわらず報告の対象です。外部からの不正アクセスで「漏えいのおそれ」がある今回は、この類型にあたるとみられます。速報はおおむね3〜5日以内、この類型の確報は事態を知った日から60日以内です。

報告の義務は、漏えいが確定してからではなく「おそれ」の段階で生じます。外部送信の痕跡が見つからなくても公表と通知に進んだ判断は、この規定に沿ったものです。報告と本人通知の実務の流れは[個人情報保護委員会への報告義務の実務](https://www.issoh.co.jp/column/details/17840/)で解説しています。

### 個別に連絡がつかない人への公表による通知と、取引先の担当者情報の扱い

ガイドラインは、本人への通知が難しい場合の代わりの措置として、事案の公表を挙げています。第1報の「個別にご連絡がつかない方には、本お知らせをもって通知とさせていただきます」は、この代替措置にあたります。退職や異動で連絡先が変わった担当者がいるのは、取引先の名簿では珍しくありません。

取引先の企業側では、自社の担当者が対象になったかを技研製作所からの連絡で確かめ、該当者には社内でも周知します。担当を引き継いだ後任者のもとへ、前任者あてのなりすましメールが届く場合もあるためです。

## 判断：取引先として取引を続ける条件と、自社の顧客ポータルを診断に出す範囲

### 続報で確かめる3点と、取引先側でパスワードを変えたあとに残す記録

取引を見直す理由は、第1報の時点ではありません。漏れたおそれがあるのは連絡先と認証情報で、製品や保守の提供が止まったという記載は無いからです。続報では次の3点を確かめます。

- 侵入経路と、顧客支援システムそのものに不正なログインがあったか
- パスワードの保存方式と、全利用者のパスワードを強制的に初期化するか
- リークサイトへの掲載など、持ち出しを示す事実が出たか

取引先の情報システム担当は、パスワードを変えた日時、使い回しを確かめたサービス、届いた不審メールの件名を記録しておきます。続報で範囲が広がったとき、自社でいつ何をしたかの根拠になります。

### 業務サーバーと顧客向けシステムが同居する構成を第三者診断に出すべき企業

今回、取引先の連絡先と顧客支援システムの認証情報は、同じ業務用サーバーにありました。社内の業務用と社外の利用者向けが1台にまとまっている構成では、社内側から入られただけで取引先の認証情報まで届きます。

診断を急ぐべきなのは、取引先向けのポータルを持ち、パスワード列の判定で unknown が出た企業です。保存方式の移行、外部に開いた接続口、APIの認証の作りを、まとめて確かめます。APIの認可やトークン失効まで含めた対策は[JPCERTの注意喚起に沿うAPI不正アクセス対策の実装手順](https://www.issoh.co.jp/tech/details/18346/)で解説しました。自社の顧客ポータルと業務サーバーの境界を第三者に確かめてもらいたい場合は、[脆弱性診断・セキュリティ診断](https://www.issoh.co.jp/service/system/vulnerability/)で相談できます。

## よくある質問

技研製作所の不正アクセスについて、取引先・従業員・開発者から出やすい質問をまとめました。

### 技研製作所の取引先ですが、自分の情報が対象か知る方法はありますか？

対象となる約3,200名には、技研製作所から個別に連絡が届きます。対象はユーザーと指定工場の担当者（海外企業を含む）、グループ従業員です。連絡がつかない人には、11月9日の第1報が通知の代わりとされています。分からない場合は、公表文に記載された個人情報に関するお問い合わせ窓口のメールアドレスに問い合わせます。届いたメールの返信先ではなく、公式サイトに載っている窓口を使ってください。

### 顧客支援システムのパスワードはどうすればよいですか？

まず、同じパスワードを使っている他のサービスを変えます。ログインIDとパスワードの組はほかのログイン画面で試されるおそれがあるためです。顧客支援システムそのものは、技研製作所から案内される手順で再設定します。第1報はパスワードを暗号化した形式で保存していたと書いていますが、方式は公表されていません。案内を装ったメールのリンクからは再設定しないでください。

### クレジットカードや口座の情報は漏れましたか？

第1報によると、クレジットカード情報、銀行口座情報、マイナンバーは対象に含まれていません。漏えいのおそれがあるのは、氏名、会社名、部署・役職、メールアドレス、電話番号、社員番号、顧客支援システムのログインIDとパスワードなどです。金銭の情報が無くても、会社名と役職がそろった連絡先は、請求先の変更を装う業務メール詐欺に使われやすい情報です。

### パスワードを暗号化して保存していれば安全ではないのですか？

暗号化は鍵があれば元に戻せる処理です。サーバーごと奪われ、鍵も同じサーバーにあれば、平文で保存していたのと変わりません。OWASPのチートシートは、パスワードには戻せないハッシュを使い、Argon2id や bcrypt などの計算に時間のかかる方式を選ぶよう勧めています。暗号化を使うのは、元の値がどうしても必要な例外に限られます。

### ランサムウェアで外部送信の痕跡がないのに、なぜ漏えいのおそれとされるのですか？

ランサムウェアの攻撃では、暗号化の前にデータを持ち出し、公開をちらつかせて対価を求める二重恐喝が多いと警察庁が説明しています。通信ログの保存期間や暗号化の影響で、持ち出しの記録が残らない場合もあり、痕跡が無いことは持ち出しが無かった証明になりません。個人情報保護法のガイドラインでも、不正アクセスによる漏えいの「おそれ」の段階で報告や本人通知の対象になります。

## 関連記事

- [API不正アクセス対策の実装手順：JPCERT注意喚起に沿うレート制限・認可・トークン失効とアプリ解析・SSRF対策](https://www.issoh.co.jp/tech/details/18346/)：顧客向けシステムの入口を固める実装
- [ランサムウェアの初動対応：感染発覚から隔離・証拠保全・報告・復旧までの手順](https://www.issoh.co.jp/column/details/18774/)：遮断の後に進める作業の順序
- [bcryptとは：コスト係数・72バイト制限とArgon2idへの移行コード【2026年】](https://www.issoh.co.jp/tech/details/19285/)：パスワードの保存方式を移すときの実装
- [個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務](https://www.issoh.co.jp/column/details/17840/)：漏えいのおそれがあるときの報告の流れ
- [両毛システムズのランサムウェア被害【第4報】VPN侵入からAD管理者窃取、委託元10組織の漏えい範囲](https://www.issoh.co.jp/tech/details/18211/)：VPN経由の侵入が取引先に広がった事案

---

出典: [技研製作所の不正アクセス：約3,200名の情報漏えいのおそれとパスワード変更・保存形式の点検](<https://www.issoh.co.jp/tech/details/19580/>)（株式会社一創）