「思い出すと震える」悪夢のランサムウェア攻撃、被害からの回復、そしてセキュリティ企業の立ち上げへ――その生々しい経緯をCyber Governance Labの達城利元社長が語る

Cyber Governance Lab株式会社代表取締役社長の達城利元氏

　ランサムウェアの脅威は日本でも日増しに高まっていると、多くの方が感じているだろう。報道も多い。しかし現実感をともなっているだろうか？　攻撃は深夜だったのか、それとも退勤間際の夕刻なのか。何日、営業できなくなったのか。そして、被害額は実際いくらだったのか。

　サイバーセキュリティ専門のイベント「Security Days Fall 2026」で10月22日、Cyber Governance Lab株式会社代表取締役社長の達城利元氏による講演が行われた。かつて自身が経験したランサムウェア被害の実態を、リアルな数値とともに開示。そして、セキュリティ専門企業の設立までに至った経緯を生々しく語った。

2024年9月12日18時15分、「インターネットにつながらない」から始まった

　今回の講演のベースとなっている事例は、兵庫県尼崎市に本社を置く、関通ホールディングス株式会社で実際に発生したランサムウェア被害である（被害発生時は社名変更前のため、株式会社関通）。同社は東京証券取引所グロース市場に上場しており、主力事業はEC・通販事業者向けの物流実務代行サービス、いわゆる「3PL（サードパーティロジスティクス）」だが、独自に開発した「WMS（倉庫管理システム）」の外販も行っている。

　Cyber Governance Labは2026年4月、関通ホールディングスの子会社として設立された。設立のきっかけは、その関通を襲ったランサムウェア攻撃だった。攻撃を目の当たりにし、「教科書通りの対策では現場は守りきれない」「同じ痛みを、他の企業に味わわせてはならない」と考えるに至ったことが、設立発表のプレスリリースで言及されている。

　登壇した達城氏は、Cyber Governance Labの社長就任前、関通の一社員としてランサムウェア対応にあたった。当時を振り返って「めっちゃツラい……本当にツラいんです。全てを思い出して話そうとしても、途中で話せなくなると思います。思い出すと震えます」と語り、壮絶さの一端を伺わせた。

　事件は2024年9月12日の18時15分に起きた。発端は、「インターネットにつながらない」という従業員からの一報だった。

達城氏が言うところの“悪夢”の始まり

　このときの関通の体制では、データセンターに6台のサーバーを保有。4台を通常稼働させ、2台をバックアップとしていた。通常稼働する4台のサーバー上では仮想サーバーが約200台動いていた。

　インターネットが一時的につながらなくなるというのは、ある意味、よくある話だ。しかし、ネットワーク連携している勤怠管理システムで打刻できないとの報告が次第に挙がり始める。販売したWMSの利用企業からも、トラブルの相談が届いた。

　この段階で、システム開発担当役員がデータセンターにアクセスしてサーバー状況を確認。すると、ファイルを示すアイコンが全て見たことのないものに変わっており、脅迫文にあたるランサムノートが残されていた。ファイルが暗号化され、人質にとられてしまったのだ。

算定被害額17億円、財務体質回復には「計画通りでも4年」

　攻撃に使われたランサムウェアは「Akira」。同名の攻撃グループがRaaS（Ransomware as a Service）を展開していることで知られる。ただこの時点で達城氏らは、Akiraはおろかランサムウェアについての知識もほとんどなく、Google検索で調べて分かったという。この後、データセンターのサーバーはLANケーブルを全て抜き、社内LANも遮断した。

　被害としては、6台のサーバーが全て暗号化された。バックアップにも被害は及んでおり、Active Directory関連、基幹サーバー、勤怠管理システムなどが動作不能に陥った。

　一方、Google Workspaceや各種SaaSなど、クラウドで運用していたサービス・機能は被害を免れた。偶然にも、関通は2024年9月1日付で財務会計システムをデータセンターからクラウドへ移行しており、これが数少ない救いとなった。データセンターは全滅したがクラウドは無事だった──これが今回の事案の1つのポイントになった。

サーバーの被害規模

　気になる被害額は、約17億円と算出された。なお、攻撃発生時の関通の通期売上高は152億円である。

　被害額17億円の内訳としては、顧客対応で約10億円。これには賠償金や、本来なら請求できる金額（サービス利用料等）を請求しなかった分などが含まれる。そのほかに、復旧・フォレンジック費用（調査費、弁護士関連、従業員の残業代等）が4億円。そしてランサムウェア被害が発生したサーバー類を廃棄するため、固定資産除却損3億円がかかった。しかし被害はこれだけで終わらない。

　「9月から12月までの約3カ月間、新規の営業が一切できませんでした。関通は2020年に上場し、中期経営計画を発表しています。その計画進捗に対して、少なくとも“ウン十億”の影響はあったと思います。」

　会計・財務面でのダメージも際立つ。17億円の損失は、会社の自己資本比率をそれまでの29.2％から20.2％へと押し下げた。帳簿額的には純資産が30.2億円から20.9億円へと、約9.3億円減った。また、これだけの被害に対する復旧費用として、約20億円を借り入れることとなった。

　自己資本が減ったうえに借入をするというのは、財務的には重大な事案だ。達城氏は「財務体質を元に戻すには、今立てている計画通りに業績が推移しても4年かかる計算。2024年9月12日に受けた1回の攻撃で、上場企業の財務体質を元に戻すのに4年かかるんです」と、懐事情を吐露した。さらには、銀行との融資を巡る交渉力にも影を落としているという。

VPNをあてにしていいのか

　関通は、この被害が発生するより前から、一定のセキュリティ対策を推進していた。Active Directoryによる管理、サーバーアクセス可能者の制限、ウイルス対策ソフトの全社的導入、監査法人の要請によるID統制検査などだ。

　しかし「権限管理」は不十分だったという。従業員のパスワード使い回しは管理できておらず、VPN周りでは“野良アカウント”が残った。結果的に今回の事例では、VPNから攻撃者に侵入された。VPNの脆弱性も放置されていた。

　「我々はずっと、この無防備な入り口、玄関を、安心して大丈夫だと思っていました。VPNがあるから大丈夫、社外から入れないと完全に信じていた。でも、いざ入られるとやりたい放題。」

認証基盤は、万全とは言えなかった

　達城氏が得た教訓は「セキュリティ対策をしていると言われても、VPNを残している限り、無理」。あくまで個人の意見であり、VPNそれ自体を否定するつもりはないとしたが、確固たる決意を感じさせる発言だった。

　被害発生後に模索されたのは、ツール導入ありきではない、完全なゼロベースからの対策立案だった。実際、復旧後のシステムではActive Directoryや社内ファイルサーバー、そしてなによりVPNは導入していないという。

被害発生後の対策

フルクラウドへの移行を決断

　次に実施したのが、社内で契約しているあらゆるSaaSの見直しだ。機能が重複していて不要なものを解約する。単純なコスト節減策にも見えるが、真の意図は「管理すべき対象を減らすこと」にある。管理すべきSaaSが減れば、それは自然と「管理すべきアカウントも減る」ことになる。つまり、管理の手間が低減する。

　「攻撃対象をどうやったらゼロにできるか」も、重要な検討項目だった。攻撃されるポイントがあるということは、その防御のために工数がとられる。ならばアタックサーフェス（攻撃対象領域）を減らすか、無くせないか。それこそVPN、社内サーバーは攻撃対象になりやすい。高い防壁を築くのではなく、防壁そのものを要らないようにしたほうが効率的ではないか。

アタックサーフェスそのものを減らすことを目指した

　保守・運用も重要だ。サーバーなどのインフラを企業・法人品質で運用する場合は、24時間365日体制の運用と、パッチ適用体制が必要になる。社内で全てやるのが人員面で非現実的なら、外部委託しかない。しかし委託に頼り切ると、初動対応が遅くなってしまう懸念がある。

　「原則、自分たちでインフラ管理するのはもう嫌。いろいろなSaaSを組み合わせて使おうという考えで、基本的に今の業務は全部フルクラウドで動かしています。我々の場合は、長年ずっと使っていたGoogleのクラウドを選びました。」

　世間的に、システムの認証基盤はマイクロソフトのAzure Active Directory（Microsoft Entra ID）がメジャーどころだが、関通ではGoogleの製品を採用。SSO（シングルサインオン）、CASB（クラウド利用状況監視ツール）、資産管理・ログ製品も全てGoogle製で統一した。現在ではOkta、Zscalerなどは使っていないという（なお、補助的に導入しているSSOサービスはある）。

　では、これらの導入に伴うコストはどうなのか。セキュリティの業界団体であるJCIC（一般社団法人日本サイバーセキュリティ・イノベーション委員会）では企業のITセキュリティ投資の目安額として、連結売上高の0.5％以上を提唱している。これに対して関通は2025年実績で0.1～0.2％ほどという。

被害発生後に関通が選択した対策製品と、コスト感

ツールが多すぎると管理しきれない

　ランサムウェアをはじめとするサイバー攻撃へのレジリエンス（回復力・復元力）を高めたい――その成否を左右する核心は何か。達城氏はあらためて、認証・アイデンティティ基盤だと主張する。ここがしっかりしていなければ、セキュリティ理念としてのゼロトラストは実現しえないと強調した。

認証基盤が特に重要

　従来のセキュリティの発想は、ユーザーアクセスが社内ネットワークか社外ネットワークかが重要で、その例外的な越境のためにVPNが重宝された。

　これに対してゼロトラストは社内・社外を重要視せず、あくまでログインしているかどうかで認証する。いかにログイン部分を強固にするか、EDRもMDMもバックアップも、土台としての認証基盤をしっかり構築したうえでの運用でなければ、効果を発揮しないと達城氏は訴える。

　達城氏らの対策手法では、それまでのインフラ・運用体制と比較すると、機器や利用サービスを結果的に減らしたことになる。できることが減った不便はあっただろう。しかし達城氏は「たくさんのツールがあっても、それを管理できる能力は我々にはない」と、リソース的限界を率直に認める。管理するものを減らして、それだけを徹底的に守ろうと、発想を切り換えた。

　従業員の意識改革にも乗り出している。2025年1月から、パート、アルバイトを含む全従業員を対象に週1回、15分のセキュリティ勉強会を実施。回数はすでに80回を超え、ついにはパート従業員とセキュリティ談義ができるようになったと、達城氏は笑顔だ。

「棚卸」という名の運用

　認証は全てのセキュリティの基本であり、土台だと、達城氏は繰り返し強調する。近年の典型的なサイバー攻撃の手口は、正規のIDとそのパスワードを盗み出すことである。そのIDが使われれば、バックアップ削除などの異常な行動も全て正規のものとして処理されてしまう。

　だが、IDを死守できれば、被害は小さくなる。そのために、複数あった“玄関”を1つに絞りたい。関通では現在、拠点に設置されたPCでは、OSとなるWindowsにログインするのではなく、Google製品にログインするかたちだ。業務環境はフルクラウド化されているので、ChromeにMFA（多要素認証）やパスキーでさらにログインする。さらに、無申請・無許可デバイスはそもそもログインさせない。

現在のログイン周りの実装

　そのうえで、3つの“棚卸”を徹底した。

3.クラウド（SaaS）の棚卸

　被害発生後の対応でSaaSは極力減らしたが、それでも現場の要請などに応じて新規のSaaS契約が発生する場合もある。よって、定期的にチェックし、重複するものは解約する。SaaSが減れば、アタックサーフェスが減る。

風邪をひいてもいい（企業であっても）

　ただ、これだけやっても完璧ではない。達城氏も「やられることを前提に、考えないといけないだろう」と、率直に語る。

　「『風邪をひいてもいいよ』と。人間なら体調を崩します。体調管理を万全にしろといっても、風邪をひきます。でも、すぐに治して翌日にちゃんと仕事ができるようになっていれば、それで私はOKだと思います。」

いくら対策しても風邪をひくときはひくように、会社もまた攻撃被害を100％完全に防ぐことは難しいのが現実

　その現実論のもと、企業のレジリエンスを考えるとどうなるか。まずはシンプルで強固な認証基盤を作る。これは達城氏が講演で繰り返し強調した部分である。

　次に被害範囲の極小化だ。ある1つのIDが侵害されても、ファイルサーバーを無くしたり、クライアントPCの独立性を高めるなどの工夫によって被害の横展開は減る。そして被害が小さくなれば、復旧に要する時間も短くなる。事業停止という最悪の事態が発生する確率も減らせる。完全に防ぐより、復旧する時間をどれだけ短くするかに投資した方がコストメリットは大きいだろう……という発想だ。

強固な認証基盤を軸に、被害の最小化を図る

　関通では、社内LAN自体は整備されているものの、各PC同士、各サーバー同士での直接通信はせず、ほぼ全てのデータはクラウド上でやり取りする構成へと変えた。これにより、あるPCが1台攻撃されても、基本的に他の端末に影響は出ないようになっている。

理想は「被害に遭っても、買ってきたPCですぐに復旧できる」

　ランサムウェア攻撃に対しては、バックアップが有効な対策とされる。だが、関通のケースでは、バックアップもしっかり攻撃された。災害対策としての重要性はあるが、この経験に基づけば「同一ネットワーク内のバックアップは無意味」とさえ言える。

　だが、わざわざバックアップをとる以上、ランサムウェア対応か災害対応かに関係なく、同一ネットワークは避けるべきだと達城氏。一度書き込んだら一定期間は管理者でも削除できないイミュータブル（不変）なクラウドストレージへの保管、バックアップだけを行う専用アカウントの準備などは、その現実解だ。

バックアップに対する考え方

　そして達城氏が真のBCP（事業継続計画）として思い描くのは、「家電量販店で新品PCを買ってくれば、その日のうちに仕事ができる」という世界の実現だ。ランサムウェアで攻撃された、ならば新しいPCを買ってきて即座に復帰できる。そのためには、普段からPCにデータを蓄積させず、アプリのインストールが不要で仕事ができるだけの体制を作らなければならない。

PCが攻撃されても、手近な新品PCですぐ復帰できるのが理想

社会に役立つために――被害企業として、隠さない

　講演の終盤、達城氏は関通での被害発生直後をこう振り返っていた。

　「被害を受けたとき、『システムをどう復旧しようか』ではなく、『会社がこれからどうなるんだろう』『従業員はどうなるんだろう』『会社のお金は大丈夫なのかな』──こういったことが知りたかった。でも（被害を受けた多くの）企業は“隠す”んです。だったら自分たちで喋るしかない。」

　実態がよく分からない攻撃を受けた企業としては、その実態をなるべく包み隠さず開示することが、企業の社会的責任なのではないか。この想いが結果的に、達城氏の講演活動であり、Cyber Governance Labの設立につながった。

ランサムウェア被害を受けた企業だからこそ、語れることがある

　関通でのランサムウェア被害、その後の復旧活動で見出したセキュリティ哲学を反映させるかたちで、Cyber Governance LabではSaaS「RASHIN（羅針）」を開発した。セキュリティ状況の可視化を目的としたツールで、運用端末やSaaSの管理・把握のための機能なども備える。

　昨今は、ランサムウェア攻撃がある種ビジネス化され、RaaS（Ransomware as a Service）という俗称で知られるようになった。不健全とも言える状況に対し、一般の企業は「Resilience as a Service」という新概念の経済圏で立ち向かっていくべきではないかと達城氏は呼び掛け、講演を締めくくった。