ランサムウェアに会計データを暗号化されたトンボ飲料、被害経験から導いた「再発防止策」とは？：被害を繰り返さないために、何を見直すのか

ランサムウェア被害を経験したトンボ飲料は、同様の被害を繰り返さないためにセキュリティ対策を強化している。脆弱性情報の把握を効率化するなど、既に具体的な成果も上がっているという。対策をどう見直したのか。

[＠IT]

　ラムネやシャンメリーで知られる飲料・食品メーカーのトンボ飲料は2026年1月、ランサムウェア（身代金要求型マルウェア）によるサイバー攻撃を受けた。会計システムのデータが暗号化されるといった被害に遭ったという。

　感染原因は脆弱（ぜいじゃく）性の放置ではなかったものの、同様の被害を繰り返さないために、トンボ飲料は脆弱性対策の強化に優先的に取り組んでいる。対策を進める上では、利用しているソフトウェアについて、各ベンダーのWebサイトを個別に確認したり、脆弱性対策情報ポータルサイト「Japan Vulnerability Notes」（JVN）から自社に関連する情報を探したりする必要があり、情報収集に手間がかかっていた。

　トンボ飲料はセキュリティ強化のために、USBデバイスの制御や、未許可端末の社内ネットワークへの接続検知といった仕組みが必要だと考えていた。2027年3月に申請受付が始まる見込みの「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）に備えて、セキュリティ対策の状況を客観的に示せるようにする必要もあった。

ランサムウェア被害を経験した企業は、セキュリティ対策をどう見直した？

　こうした状況を踏まえて、トンボ飲料はセキュリティ対策を見直した。脆弱性情報の効率的な把握に加えて、操作ログを基にした労働時間の改善といった成果が上がっているという。どのような手を打ったのか。

　トンボ飲料はセキュリティ対策を見直す一環として、IT資産管理ツールをＳｋｙの「SKYSEA Client View」に切り替えた。脆弱性対策では同ツールの「CPE製品名管理」機能を利用し、管理対象の製品に関連する脆弱性情報をまとめた「CPE製品名の脆弱性情報一覧」を参照するようにした。CPE（Common Platform Enumeration）は、ソフトウェアなどの製品を識別する標準的な命名体系だ。

　SCS評価制度の認定取得に向けた準備では、SKYSEA Client Viewの保守契約ユーザー企業が利用できる「SCS評価制度対策支援ツール」に含まれる、「要求事項セルフチェックシート」を活用。SCS評価制度の要求事項に対する、自社の取り組み状況を自己点検できるようにした。

　資産管理では、SKYSEA Client Viewが自動収集するPCのハードウェアやソフトウェアの情報に加えて、PCの入れ替え時期やソフトウェアのライセンス更新時期といった、自動では収集できない情報も登録し、一覧画面に集約して管理するようにした。導入前は収集していなかったクライアントPCの操作ログも収集するようにしたという。

脆弱性対策を効率化、操作ログで労働時間も改善

　脆弱性対策では、CPE製品名の脆弱性情報一覧を活用することで、社内で使っているソフトウェアに脆弱性があるかどうかを一目で把握できるようになった。脆弱性の深刻度を表す指標であるCVSS（共通脆弱性評価システム：Common Vulnerability Scoring System）の値も確認できることから、対策の優先順位を判断しやすくなったという。SCS評価制度についても、要求事項セルフチェックシートの活用により、取り組むべき対策項目が明確になった。

　操作ログの確認機能により、セキュリティの観点で注意すべき操作が見つかった場合には、あらためて従業員にルールを周知したり、全社のセキュリティポリシーの見直しに生かしたりできるようになった。副次的な効果として、従業員の勤務実態をより明確に可視化できるようになったという。明らかに働き過ぎとみられる従業員が見つかった際には、業務フローの改善を促すなどして、労働時間の適正な把握と改善につなげている。

　トンボ飲料は、USBデバイスの制御や、許可していない端末の社内ネットワーク接続の検知といった、求めていた機能が備わっていることを評価してSKYSEA Client Viewを導入した。今後も同製品を活用し、脆弱性対策の強化とSCS評価制度の認定取得に向けた取り組みを進める考えだ。

本稿は、Ｓｋｙが2026年8月27日に公開したプレスリリースおよび導入事例を基に作成しました。