HOYAのサイバー攻撃から学ぶランサムウェア対策と情報漏えい対応

インシデント事例

2024年の春、メガネ店の店頭で「レンズの入荷が遅れています」という案内を見かけた方もいるのではないでしょうか。

その裏で起きていたのが、眼鏡レンズ大手HOYAへのサイバー攻撃です。

2024年3月30日、HOYAグループのシステムで障害が発生し、レンズの生産と受注が止まりました。 報道では、ランサムウェアによる被害の可能性が伝えられています（HOYA自身は攻撃の種類を公表していません）。

ランサムウェアとは: 会社のデータを勝手に暗号化して使えなくし、「元に戻してほしければお金を払え」と要求する攻撃です。

「大きな会社の話で、うちには関係ない」と感じるかもしれません。

ただ、困ったのはHOYAだけでなく、レンズを仕入れる全国の眼鏡店にも影響が広がりました。

この記事は、中小企業の経営者や、IT専門の担当者がいない会社の方に向けて書いています。

読み終わる頃には、HOYAで何が起きたのか、どこまでが公表された事実なのか、自分の会社を守るために今日から何をすればよいかがわかります。

内容はHOYAの公表資料など出どころを確認できる情報をもとにし、報道でのみ伝えられている部分には「（報道ベース）」と付けます。

HOYAで起きたことを、数字で見るとこうなります。

HOYAのサイバー攻撃被害を数字で見る

  • 流出した個人情報は合計 約6,500名分（医療受診者・採用応募者・取引先・従業員など）
  • 生産ラインと受注システムが止まり、眼鏡チェーン各社が一部商品の販売見合わせに（報道ベース）
  • 「生産と供給は概ね正常に戻りつつある」と発表されたのは、発生から約3週間半後の2024年4月23日（報道ベース）
  • 個人情報流出の正式な公表は、発生から約1年後の2025年4月14日

HOYAのサイバー攻撃で何が起きたのか

2024年3月30日、HOYAグループの本社と複数の事業部門で、システム障害が発生しました。

同社は翌31日以後、システムをネットワークから切り離し、4月1日に第一報を公表します。

4月4日には「不正アクセスに起因する可能性が高い」と発表しました（報道ベース）。

止まったのは、社内の事務システムだけではありません。

眼鏡レンズの生産ラインと、注文を受け付ける受注システムが止まりました。 HOYAは国内有数の眼鏡レンズメーカーです。

影響は全国の眼鏡チェーンに広がり、各社が一部商品の販売を見合わせる事態になりました（報道ベース）。

たとえるなら、町のパン屋さんに小麦粉を届ける製粉会社が止まったような状態です。

自分の店は無事でも、売るものが入ってこない。

サイバー攻撃の被害が、攻撃された会社の「外」にあふれ出した事例です。

時系列で見る

時期 何が起きたか
2024年3月30日 HOYAグループの本社と複数の事業部門でシステム障害が発生
3月31日以後 システムをネットワークから遮断。4月1日に第一報を公表
4月4日 「不正アクセスに起因する可能性が高い」と公表。特定サーバーへのアクセスとファイルの一部窃取を確認
4月23日 「生産活動と供給体制は概ね正常に戻りつつある」と発表
2025年4月14日 合計 約6,500名分の個人情報の外部流出を正式に公表

この間、4月12日と15日には一部商品の出荷が段階的に再開されています（報道ベース）。

なお、4月4日と23日の発表は原文が現在確認できず、内容は報道を通じて伝えられているものです。

同じような事案の流れは、サイバー攻撃の事例一覧でも確認できます。

犯人はどうやって入り込んだのか（公表されている範囲）

結論から言うと、入り口は公表されていません。 わかっているのは、「不正アクセスに起因する可能性が高い」「グループ内の特定のサーバーにアクセスされ、ファイルの一部が盗まれた」というところまでです（2024年4月の発表内容。

原文は現在確認できず、報道を通じて伝えられています）。

HOYA自身の言葉では、「害意ある第三者からのサイバー攻撃」（2025年4月14日の公表資料）です。

報道では、海外の攻撃グループの関与や、身代金の要求も伝えられています。

ただし、攻撃グループの名前も、身代金の金額も、ランサムウェアだったのかどうかも、HOYAは公表していません。 この記事でも断定はしません。

新聞やネットで見かける「犯人は◯◯」という情報と、会社自身の公表は、分けて受け取ってください。

どれくらいの被害が出たのか

被害は大きく2つです。

業務が止まったことと、個人情報が流出したこと。

業務面では、生産ラインと受注システムが止まり、眼鏡レンズの納期に影響が出ました。

4月23日に「概ね正常に戻りつつある」と発表された後も、たまった注文に対応するため、一部では納期の延長が続きました（報道ベース）。

金額や数量など、定量的な事業被害は公表されていません。

個人情報は、合計 約6,500名分の流出が公表されました（2025年4月14日）。

内訳は次のとおりです。

眼鏡レンズの会社になぜ内視鏡の患者情報が、と思うかもしれませんが、HOYAグループには複数の事業部門があり、眼鏡レンズ以外の事業に関わる情報も含まれていました。

  • 医療受診者の情報 約1,000名分: 2016〜2022年に広域関東圏の4つの医院・クリニックでPENTAX内視鏡検査を受けた方の氏名・性別・年齢
  • 採用関連の情報 約500名分: 2024年3月末までに提出された履歴書など
  • 取引先の情報 約2,000名分: 取引会社の名称・代表者氏名・住所・電話番号・銀行口座
  • 従業員関連の情報 約3,000名分: 従業員・退職者とその家族の氏名・社員番号・銀行口座・身分証明書・給与情報

クレジットカード情報の流出は確認されていません。

流出した情報が悪用されたという報告も、公表時点では受けていないとしています。

見てほしいのは、内訳の広さです。

患者さん、就職の応募者、取引先、従業員の家族まで。

会社のサーバーには、思っている以上に「社外の人の情報」が眠っています。 自社の顧客名簿だけ守ればよい、という話ではありません。

HOYAの対応から学べること

この事案では、行政からの指導や勧告は確認されていません。

ここでの整理は、HOYAの公表資料と報道に基づくものです。

HOYAが公表した対応は次のとおりです。

  • 発生翌日からシステムをネットワークから遮断
  • セキュリティ対策ソフトの導入やパスワードの強化を含む、システムと監視体制の強化
  • 個人情報管理の再点検と管理体制の強化
  • 影響を受けた医院・クリニックへの個別連絡、コールセンターの開設、個人情報保護委員会への報告

ここから自社に持ち帰れる教訓は、3つです。

教訓1: 「どこに誰の情報があるか」の一覧が、調査期間を左右する

  • なぜ1年かかったか: 盗まれたファイルに個人情報が含まれるかの特定に時間がかかり、外部のデータ分析専門会社への依頼も行われました（報道ベース）
  • だから何をするか: 日頃から「どのサーバーに、誰の、何の情報があるか」を一覧にしておく。家にたとえると、どの引き出しに通帳を入れているか分かっていれば、泥棒に入られた後の確認は早く済みます

教訓2: 止まったときの立て直し計画は、「自社の復旧」だけでは足りない

受注システムの停止は、眼鏡チェーン各社の販売見合わせに直結しました。

こうした計画はBCP（事業継続計画）と呼ばれますが、自社の復旧時間だけでなく、「止まっている間、取引先はどうなるか」まで考えておく必要があります。

教訓3: 入り口が公表されない事例もある

HOYAの事例では、初期の侵入経路が公表されていません。

「同じ入り口を塞ぐ」形の学びが得られない以上、入り口によらない基本の守りを固めることが、現実的な備えになります。

自分の会社を守るために、今できること

HOYAの事例では、入り口が公表されていません。

それでも、やるべき基本は変わりません。

今日の3問

保守会社やIT担当者に、次の3点を聞いてください。

  • 社外から社内のシステムにつなぐための機器は何台あり、更新と点検はいつしたか
  • 管理者アカウントに、多要素認証（パスワードに加えて、スマホの確認コードなどもう一つの確認を求める仕組み）は必ず付いているか
  • バックアップ（データの控え）は、普段のサーバーが止まっても戻せる場所にあり、実際に戻す練習をしたことがあるか

答えられない項目が1つでもあれば、今週中に保守会社へ点検を依頼してください。

少し余裕ができたら、この事例ならではの5項目も確認します。

  • どのサーバー・パソコンに、誰の・何の個人情報があるかを一覧にする（流出時の調査を大きく縮められます）
  • 受注・出荷など、お客様との接点になるシステムが止まったときの代わりの手段（電話・FAX・紙）を決めておく
  • 自社が止まったとき、取引先へ何をどう連絡するかの手順を決めておく
  • 退職者や応募者の情報など、使っていない個人情報の保管期限を決めて、不要な分は消す
  • 異変に気づいたら、すぐネットワークから切り離す（LANケーブルを抜く・Wi-Fiを切るなど）手順を全員で共有しておく

まずは上の3問が先です。

あわせて、会社の外から見える自社サイト側の状態は、無料のセキュリティチェックで調べられます。

専門家による本格的な診断の費用感は脆弱性診断の費用にまとめています。

参考にすべき一次情報・公的資料

まず読むならこの1本:

さらに詳しく:

関連記事

同じテーマを深掘りしやすい記事を優先して表示しています。