2026年7月、ランサムウェアグループ「LockBit 5.0」が、自動車部品メーカーである”大協西川株式会社（DaikyoNishikawa Corporation）”をリークサイトへ掲載しました。
同社は既に海外子会社に対する不正アクセスを公表しており、その後、リークサイトへの掲載についても公式に認めています。
ネット探検ラボでは今回の事案について、企業の公表内容だけではなく、LockBit 5.0のリークサイトそのものをOSINT（公開情報）に基づいて分析しました。その結果、攻撃者側の公開インフラや運用方法について、いくつか興味深い特徴が確認できました。
大協西川とは
大協西川株式会社は、広島県東広島市に本社を置く自動車部品メーカーです。
樹脂成形技術を強みとし、自動車の内外装部品を中心に世界各国で事業を展開しています。マツダをはじめ、多くの自動車メーカーへ部品を供給するグローバル企業として知られています。
今回影響を受けたのは海外子会社であり、日本国内の生産拠点への直接的な影響は現時点では確認されていません。
不正アクセスからリークサイト掲載まで
大協西川による公表内容を整理すると、今回の事案は概ね次のような流れになります。
| 日時 | 内容 |
|---|---|
| 2026年5月下旬 | 攻撃者側で窃取データのRARアーカイブが作成されたとみられるタイムスタンプを確認 |
| 2026年6月17日 | 海外子会社で外部へのデータ送信を確認 |
| 2026年6月19日 | 大協西川が不正アクセスを公表 |
| 2026年7月 | LockBit 5.0のリークサイトへ掲載 |
| 2026年7月 | 同社がリークサイト掲載を公式に公表 |
RARファイルの作成日時だけで窃取日時を断定することはできません。しかし、「侵入」「データ窃取」「アーカイブ作成」「交渉」「リークサイト掲載」という段階的な運用を示唆する材料として興味深い点です。
リークサイトへの掲載を確認
今回掲載されたリークページには、
- 企業ロゴ
- 企業概要
- 文書サンプル
- Deadline（交渉期限）
- ダウンロードリンク
などが表示されていました。
なお、ネット探検ラボでは、窃取データの拡散を避ける観点から、掲載画像については一部、モザイク処理を施しています。
私たちの目的は漏えいデータを見ることではなく、攻撃者の運用実態を分析することにあります。
約227GBもの公開データ
リークページのダウンロードリンクを確認したところ、
part01.rar ～ part64.rar
まで、64分割されたRARファイルが公開されていました。
容量は、
- 約3.6GB ×63
- 最終ファイル 約435MB
合計すると、
約227GB
にも達します。
これは一般的な文書数点ではなく、共有ファイルサーバーやNASなど、大規模なデータ領域が窃取された可能性を示唆しています。
Torrentを全面採用
RARファイルにはすべて
.partXX.rar.torrentが添付されていました。
つまり、HTTPによるダウンロードだけではなく、BitTorrentを利用した配布にも対応しています。
これは
- 配布サーバーへの負荷軽減
- ミラーサイト停止への耐性
- 長期間の公開維持
などを目的としている可能性があります。
近年のランサムウェアグループは、データ窃取だけではなく、公開インフラそのものも高度化していることがうかがえます。
LINK1〜LINK10を調査した結果
リークページには
LINK1
LINK2
・・・
LINK10
という10本のリンクが用意されていました。
当初は、「データが10種類に分割されているのではないか」とも考えましたが、
調査した結果、LINK1からLINK10まではすべて同一内容でした。
つまり、約227GBの同じRARファイル群へ接続されていたのです。
このことから、
- ミラーサーバー
- 負荷分散
- 障害対策
- 将来的なリンク差し替え
などを目的とした複数のアクセスポイントである可能性が考えられます。
File Treeが7Bytesだった意味
さらに興味深かったのが、『 part01.rar-file-tree.txt 』というファイルです。
通常、この種のファイルには…
Finance
HR
CAD
Mail
など、窃取データのフォルダ構成が記録されていることがあります。
ところが今回は、すべて7Bytesでした。
考えられる可能性としては…
- ツリー生成の失敗
- ダミーファイル
- 空ファイル
- 後日差し替え予定
…などがあります。
過去にネット探検ラボで分析したThe GentlemenやAiLockでは、数十MB規模のファイル一覧が公開されていたことを考えると、今回の構成は大きく異なります。
LockBit 3.0のエラーページも確認
調査中、存在しないページへアクセスした際には、
「LOCKBIT 3.0」
と表示されたエラーページも確認しました。
画面には、
You request not existing page.
Or this site suffered a DDOS attack and is temporarily unavailable.
との表示があります。
ただし、この画面だけで実際にDDoS攻撃を受けていると判断することはできません。
これは汎用的なエラーページであり、
- URLの入力ミス
- ページ削除
- サーバーメンテナンス
- 一時的な障害
などでも表示される可能性があります。
一方で、LockBit 5.0のリークサイトを調査しているにもかかわらず、「LockBit 3.0」のロゴが表示された点は興味深い観察結果です。
旧テンプレートや旧インフラの一部を流用している可能性も考えられますが、現時点では断定できません。
ネット探検ラボの視点
今回の調査で最も印象的だったのは、攻撃者が「暗号化」だけではなく、「公開インフラ」そのものを進化させている点です。
約227GBという大容量データを64分割し、Torrentによる配布を採用し、さらに複数のダウンロードリンクを用意する構成は、単なるデータ公開ではなく、継続的な配布を前提とした設計であることをうかがわせます。
その一方で、フォルダ構成を示すFile Treeは実質的に利用できない状態であり、従来のリークサイトと比較すると、公開方法にも変化が見られます。
現時点では、今回の事案の侵入経路や攻撃手法について公式な情報は公表されておらず、推測だけで結論を出すべきではないと考えています。
しかし、攻撃者がどのようなインフラを構築し、どのような方法で情報を公開しているのかを継続的に観察することは、防御側にとって有益な脅威インテリジェンスとなります。
ネット探検ラボでは、窃取データそのものではなく、その運用・構造・変化に着目し、ランサムウェアグループの活動をOSINTの視点から今後も継続して分析していきます。
コメント