2026-09-19／株式会社東京ネット工務店 海老沢敦
① 何が終わったか
医療検査のメディトランセが破産、東京都のPCR補助金は約13億円の返還命令
医療検査受託業の株式会社メディトランセ（東京都新宿区、2011年7月設立）が2026年9月9日、東京地方裁判所から破産手続開始決定を受けた。医療機関・研究機関からの検体集荷・輸送、検体の照合・ラベリング、保管、受託検査などを手がけ、新型コロナウイルスの無料PCR検査事業も請け負っていた。2022年6月期の年間収入高は約8億5500万円。破産管財人は佐野周造弁護士（弁護士法人北村・加藤・佐野法律事務所）。負債総額は現在調査中。
英Jadebay、共同管財人選任 家具通販「Noa & Nani」
インターネット通販業の英Jadebay Limited（会社番号04112177、家具通販ブランド「Noa & Nani」を運営）について、2026年9月3日付でBDO LLPのChris Skey氏（IP番号32500）とKerry Bailey氏（IP番号8780）が共同管財人（Administrators＝事業継続を前提に裁判所の関与のもと会社財産を管理する英国の法的整理手続の担当者）に選任され、英国官報The Gazetteで同9月4日に公告された。裁判所はHigh Court of Justice, Business and Property Courts of England and Wales（事件番号CR-2026-006218）。
山梨大学、共有レンタルサーバの侵害で59サイト中50サイトが今も閲覧不可
山梨大学総合情報戦略機構は2026年8月27日、契約するレンタルサーバで運用する複数のWebサイトが侵害を受けたと公表した。2026年6月上旬、あるWebサイトが利用していたJoomla拡張機能「JCE」の脆弱性が悪用されWebShell（外部からサーバを不正に操作するプログラム）が設置され、7月下旬にかけて同じレンタルサーバ上の他のサイトへ侵害が拡大した可能性が高いとしている。侵害は同大学が契約する1台のレンタルサーバ内のサイトに限られるとしている。同大学が公開する対象サイト一覧を確認したところ、2026年9月19日時点で59サイトのうち50サイトが「閲覧不可」の状態だった。
ホテル白菊運営会社、従業員PCのマルウェア感染から予約システムに不正アクセス
つるみ観光株式会社（大分県別府市、ホテル白菊運営）は2026年8月27日、従業員が使用するパソコン1台がマルウェアに感染し、同社が利用する宿泊予約・販売管理システムへの不正アクセスが行われ、一部の個人データが流出した可能性があるとする最終報告を公表した。対象は2025年10月9日から10月30日、2026年4月9日から2027年1月9日までの宿泊に関し、2026年4月8日以前に予約・変更・取消をした顧客で、氏名・住所・電話番号・メールアドレス・年齢・性別・宿泊日・利用人数が漏えいした可能性がある。漏えいした可能性のある情報にクレジットカード情報は含まれない。
さくらさくみらい、委託先クラウド事業者の不正アクセスでメール関連164件のパスワードを変更
保育事業を運営する株式会社さくらさくみらいは2026年9月7日、契約する外部のクラウドサービス事業者から2026年8月31日に不正アクセスの連絡を受けたと公表した。同社が利用する「2017年までのメールサーバのバックアップ環境」とDNSサーバ（ドメイン管理）のパスワード情報が、不正アクセスを受けた可能性のある環境に保存されていたとしている。同社は、漏えいの可能性があるサーバパスワードと、関連するメールアカウント164件のパスワードを変更・再設定した。公表時点で、メールやDNSサーバへの不正アクセス・データ改ざん・情報流出等の二次被害は確認されていない。
② 当時、それはどう見えていたか
メディトランセについて、2023年5月に東京都が新型コロナ無料PCR検査事業の補助金に関し、約23億円の交付決定取り消しと約13億円の返還命令を公表していた。TDB（帝国データバンク）は、その他複数の自治体からも同様の交付取り消しや返還請求が報じられ、信用が毀損していたと報じている。破産に至るまでの間、同社の事業継続の可否がどう判断されていたかを示す当時の公表資料は確認できなかった。
Jadebayについて、当時の材料は確認できませんでした。官報の管財人選任公告には、選任に至った経緯の記載はない。
山梨大学について、公表文は侵害を受けたWebサイトについて「個人情報や機微情報を取り扱っておらず、現時点で情報の流出も確認されておりません」としている。悪用された「JCE」の脆弱性がいつ公表されていたものだったか、大学側のパッチ適用状況がどうだったかは、公表文に記載がなく確認できなかった。
白菊について、当時の材料は確認できませんでした。最終報告は流出したデータの範囲を示すにとどまり、感染以前の端末管理やセキュリティ対策の状況についての記載はない。
さくらさくみらいについて、当時の材料は確認できませんでした。公表文は、保護者が保育ICTシステムに登録した情報や、入園検討者・求職者がウェブサイトを通じて申し込んだ情報は委託先のサーバーを利用していないため影響範囲外だとし、現時点で二次被害は確認されていないとしている。
③ 構造として残るもの
セキュリティ関連の3件（山梨大学、ホテル白菊、さくらさくみらい）に共通するのは、侵害の起点が、基幹システムに接続する周辺（共有基盤・従業員の端末・委託先）にあったという構図。山梨大学は契約する共有レンタルサーバを経由して1つのサイトの脆弱性が他のサイトへ広がり、ホテル白菊は従業員の端末1台の感染が予約システムへの侵入経路になり、さくらさくみらいは委託先のクラウドサービス事業者側で起きた不正アクセスが自社のパスワード管理に影響した。
数十人規模の会社は、基幹システムの防御と同じだけの注意を、共有ホスティングの契約先や従業員の個人端末、委託先事業者にまで払えているかを、平時に確かめることができる。
