サイバー攻撃に遭ったパルグループ、なぜ2カ月で復旧できたのか？ 「侵入は防げない」前提への転換の背景【更新】：AWS Summit Japan 2026

店舗とECは動いていたが、発注は手作業で対応した――。2024年6月に不正アクセスを受けたパルグループホールディングスは、約2カ月でインフラ環境を再構築した。復旧を支援したTOKAIコミュニケーションズが明かした4つのステップと、「侵入は防げない」ことを前提にした備えとは。【更新】

[山下竜大，ITmedia]

　2024年6月16日、パルグループホールディングス（以下、パルグループ）のシステムに障害が発生した。パルグループは、衣料品や雑貨の企画、製造から販売までを手掛ける企業グループの持ち株会社だ。グループ企業にパルやナイスクラップなどがある。「CIAOPANIC」「un dix cors」「Kastane」「3COINS」などのブランドを展開し、連結売上高は2347億円（2026年2月期）、店舗数は1151店に上る。

　システム障害についてパルグループが調査・分析したところ、グループの複数のサーバが第三者による不正アクセスを受けていたことが判明した。同社は対策本部を設置し、外部の専門家の助言を受けながら、影響範囲の調査と復旧を進めた。警察などの関係機関にも相談し、同年6月17日には個人情報保護委員会に報告した。同社によると、ECサイト会員の情報は別システムで運用していたため漏えいしていないとしている。

　店舗とECサイト「PALCLOSET」は通常営業を続けたが、発注システムは稼働できず、2024年6月下旬〜8月上旬にかけて手作業で発注する状態が続いた。仕入れ金額と発注アイテム数を抑えざるを得ず、一部の商品では納期のずれも生じ、販売機会のロスが発生した。

　ここからパルグループは2024年8月の初めにITインフラ環境を再構築し、システムを復旧させた。直接の損失は想定していた範囲内に収まり、発生から復旧までにかかった期間は約2カ月だった。

　この復旧を支援したのが、TOKAIコミュニケーションズ（以下、TOKAIコム）だ。同社はシステムインテグレーション事業やデータセンター事業、通信事業の3つを柱とする情報通信サービス企業で、法人向けにはクラウドサービス「Amazon Web Services」（AWS）を中心としたクラウドインテグレーションや回線、通信サービス、システム開発などを提供している。

　パルグループがサイバー攻撃の被害に遭ってから約2カ月という短期間で復旧できた背景を紹介する。

「侵入は防げない」前提で何から着手した？　復旧の4ステップ

　TOKAIコムの渡邉直秀氏（法人営業本部 西日本事業部 営業一部 首席主幹）は、AWSでの早期の業務復旧と、将来の攻撃に備えたセキュアなインフラ環境の提供を目的に進めた4つのステップを紹介した。

1. AWS環境整備
2. 業務復旧
3. セキュリティ強化
4. DR（災害復旧）対策・復旧訓練

図1 パルグループの緊急事態を4つのステップで復旧（出典：TOKAIコムの講演資料）

　2024年6月16日のインシデント発生を受け、パルグループは調査とシステムの検証、経営層への説明資料の作成に着手した。同年6月17日からは原因究明と封じ込めに当たり、警察への報告（同年6月21日）やプレスリリースの発表と並行して、ネットワーク対応を実施した。フォレンジック調査とエンドポイント対応により、侵入経路の特定も急いだ。

　この間、TOKAIコムはステップ1の「AWS環境整備」としてAWS環境を短期間で構築し、2024年7月6日までにシステムベンダーに引き渡した。

　ステップ2の「業務復旧」では、2024年7月22日から同年8月2日にかけて、マルウェア感染の恐れがある全てのPCを再キッティングし、安全を確認してシステムに接続する準備を整えた。同年8月5日には、販売管理システムやPOSシステム、RFIDサーバ、ADサーバを含む重要システムを新環境で同時に公開し、販売管理システムを再稼働させた。

侵入された後に何が残る？　「壊されても戻せる」環境の条件

　続くステップ3の「セキュリティ強化」とステップ4の「DR対策・復旧訓練」は、将来の攻撃に備える段階だ。TOKAIコムはその前提となる考え方を、講演で次のように整理した。

　TOKAIコムが重視するのは、侵入されることを前提にした備えだ。渡邉氏は予防と検知の面で、次の3つの要件を挙げる。

　1つ目は、最小権限の原則に基づくきめ細かな権限管理だ。AWSリソースへのアクセス権限を管理するサービス「AWS Identity and Access Management」（IAM）や多要素認証（MFA）、暗号鍵を管理するサービス「AWS Key Management Service」（KMS）などで実現する。

　2つ目は、操作範囲と影響範囲の隔離だ。仮想サーバ単位で通信を制御するセキュリティグループや、Webアプリケーションへの攻撃を防ぐWAF、ネットワークファイアウォールなどを使う。

　3つ目は、全ての操作ログと改ざんできない監査ログの取得だ。AWSアカウント内の操作をイベントとして記録するサービス「AWS CloudTrail」、AWS環境のログを継続的に分析して脅威を検出するサービス「Amazon GuardDuty」、複数のソースからのセキュリティ情報を集約して優先順位を付けるサービス「AWS Security Hub」などが該当する。

　復旧の面では、バックアップデータをイミュータブル（改ざんや削除ができない状態）に保つことを要件に挙げる。オブジェクトストレージサービス「Amazon Simple Storage Service」（Amazon S3）のObject Lock機能や、バックアップを一元管理するサービス「AWS Backup」のVault Lock機能など、保存したデータを一定期間削除や上書きをできなくする仕組みで実現する。システムが壊された後にも迅速に戻せるリストア環境も要件の一つで、AWSのデータセンター群の単位であるアベイラビリティーゾーンを複数またぐMulti-AZ構成などがこれに当たる。

　対策は構築して終わりではない。TOKAIコムは継続的な運用として、復旧テストと継続改善のサイクルを回すべきだとする。教育や訓練、インシデント発生時のフローの明確化もその一部だ。運用フェーズでは、構成変更の監査や自動チェックを続ける。

　ネットワークは、今回の復旧で最も重要だった要素だ。「今回、最も重要だったのはネットワークです。TOKAIコムには、AWS閉域接続回線2300回線超という国内トップレベルの実績があります」（渡邉氏）。閉域網には、TOKAIコムが提供する企業向け通信サービス「BroadLine」を使った。BroadLineは東京と大阪に、オンプレミス環境とAWSを専用線で接続するサービス「AWS Direct Connect」の収容局を持ち、オンプレミスとクラウドのハイブリッド運用やリスク分散、災害時の事業継続に対応した冗長接続を特徴とする。

　AWS環境の整備と業務復旧、侵入を前提にした備え、それらをつなぐ閉域網を短期間で積み上げたことが、パルグループの約2カ月の復旧につながった。では、同じ事態に直面する前に、企業は何を押さえておくべきなのか。

　渡邉氏は講演の最後に、「AWSには侵入を前提に予防、検知、復旧に対応するサービスがそろっている」と言及しつつ、侵入されることを前提としたインシデント対策の2つのポイントを示した。

1. 侵入を完全に防ぐことはできないという前提に立つ。侵入されても被害を抑制し、確実に復旧できる状態を作っておくことが重要
2. インシデント対策は特定の準備で完了するものではなく、継続的な運用が最も重要

　なお、パルグループは2025年度にIT統括室をグループ全体の情報セキュリティ責任部署として新設し、ITインフラの刷新など対策のレベルを引き上げた。

本稿は、AWSが主催したイベント「AWS Summit Japan 2026」（開催日：2026年6月25〜26日）で、TOKAIコミュニケーションズの渡邉直秀氏（法人営業本部 西日本事業部 営業一部 首席主幹）がパルグループホールディングスと共同で「パルグループのインシデント対応 −サイバー攻撃という最大の危機を AWS 移行で乗り越えた経営判断− (sponsored by TOKAI Communications)」というテーマで講演した内容を編集部で再構成したものだ。

【更新：2026年10月2日10時38分　本記事は、イベントの取材規定に沿って取材・掲載したものですが、講演内容の公開範囲について、イベントの取材規定と講演企業の意向との間に認識の相違がありました。そのため、講演企業からの申し出を受け、タイトルおよび本文の一部非公開化および追記・更新を行いました。】