アサヒのランサムウェア被害事例から学ぶ、企業が見直すべきセキュリティ対策
2026年7月22日(水)
ランサムウェア被害は、単に「データが暗号化される」「システムが使えなくなる」というIT上のトラブルだけでは終わりません。受注・出荷、顧客対応、取引先への連絡、復旧作業、情報漏えい調査など、企業活動のあらゆる部分に影響が広がる可能性があります。
2025年9月に発生したアサヒグループのサイバー攻撃によるシステム障害は、国内グループ各社の受注・出荷業務やコールセンター業務の停止など、企業活動に大きな影響を与えた事例です。
この記事では、公式発表で確認できる情報をもとに、アサヒのランサムウェア被害事例から企業が学ぶべきポイントと、同じリスクに備えるためのポイントを解説していきます。
アサヒのランサムウェア被害事例とは
まずは、アサヒグループのランサムウェア被害において、どのような被害が起こったかを整理しましょう。
2025年9月に発生したシステム障害の概要
アサヒグループホールディングスは2025年9月29日、サイバー攻撃の影響によりシステム障害が発生したことを公表しました。初報では、国内グループ各社の受注・出荷業務、お客様相談室などのコールセンター業務が停止していることが示されています。
企業にとって受注・出荷業務は、売上や顧客対応に直結する重要な業務です。
そこが停止すると、社内の情報システム部門だけでなく、営業・物流・販売・カスタマーサポートなど、複数の部署に影響が及びます。
また、第2報では、アサヒグループが緊急事態対策本部を立ち上げ、調査を進めた結果、サーバーがランサムウェアによる攻撃を受けたことを確認したと公表しています。
あわせて、被害拡大を防ぐために障害が発生したシステムの遮断措置を講じたことも明らかにされました。
ランサムウェア実行とデータ暗号化が確認された流れ
その後の調査結果では、9月29日午前7時ごろにシステム障害が発生し、調査の中で暗号化されたファイルが確認されたことが公表されています。同日午前11時ごろには、被害を最小限にとどめるため、ネットワーク遮断とデータセンターの隔離措置が実施されました。
さらに、攻撃者がグループ内の拠点にあるネットワーク機器を経由してデータセンターに侵入したこと、パスワードの脆弱性を悪用して管理者権限を奪取したこと、複数のサーバーへの侵入や偵察を繰り返したことも公表されています。最終的に、侵害された認証サーバーを起点としてランサムウェアが一斉に実行され、複数のサーバーや一部PCのデータが暗号化されたとされています。
この流れから分かるのは、ランサムウェア被害は「ある日突然、暗号化だけが起きる」ものではなく、侵入・権限奪取・内部探索・暗号化というように、複数の段階を経て被害が顕在化するということです。つまり、暗号化が見つかった時点では、すでに攻撃者が一定期間システム内で活動していた可能性があります。
個人情報漏えい・業務停止が企業に与えた影響
アサヒグループは2025年11月27日、調査結果として、情報漏えいが確認された、または情報漏えいのおそれがある対象者に順次通知すること、11月26日に個人情報保護委員会へ確報として報告したことを公表しました。公表内容では、お客様相談室への問い合わせを行った顧客情報、社外関係先情報、従業員・退職者情報、従業員・退職者の家族に関する情報などが対象として示されています。
また、同社はクレジットカード情報は対象に含まれていないと説明しました。ランサムウェア被害では、実際に漏えいした情報と、漏えいのおそれがある情報を慎重に切り分けながら調査・公表が進められます。
企業にとって大きいのは、システム復旧だけでなく、情報漏えいの調査、対象者への通知、問い合わせ対応、取引先への説明が同時に発生する点です。
被害が大規模になるほど、復旧作業と対外対応が並行して進むため、現場の負担は一気に重くなります。
アサヒのランサムウェア被害から見える企業リスク
アサヒの事例は、ランサムウェア被害が単なるシステム障害ではなく、企業全体の業務継続に関わる問題であることを示しています。
ここでは、どのようなリスクが企業に広がるのかを整理していきます。
受注・出荷停止は売上だけでなく取引先にも影響する
ランサムウェア被害によって受注・出荷業務が停止すると、最初に見える影響は売上機会の損失です。しかし実際にはそれだけではなく、納品遅延、在庫調整、取引先からの問い合わせ、代替手段の検討など、連鎖的に対応が増えていきます。
アサヒグループは第2報で、システムによる受注・出荷業務は停止している一方で、商品の供給を最優先業務と位置づけ、部分的に手作業での受注を進め、順次出荷を開始しました。
ただ、手作業による代替運用には限界があります。通常よりも処理に時間がかかり、ミスの確認や社内調整も増えるため、現場への負荷は避けられません。
情報漏えいは調査・通知・問い合わせ対応まで長期化する
ランサムウェア被害では、データ暗号化だけでなく、情報漏えいの有無を確認する調査も大きな課題になります。攻撃者がどの情報にアクセスしたのか、どの情報が外部に流出した可能性があるのかを確認するには、ログや痕跡の調査が必要です。
アサヒグループは、情報漏えいが確認された方および情報漏えいのおそれがある方に順次通知、個人情報保護委員会にも確報として報告したとしています。
情報漏えい対応は「調査して終わり」ではありません。
対象者への通知、問い合わせ窓口の設置、取引先への説明、社内ルールの見直しなど、復旧後も続く対応があります。顧客情報や従業員情報が関係する場合は、信頼回復にも時間がかかります。
復旧には「戻す」だけでなく安全確認が必要になる
ランサムウェア被害からの復旧では、バックアップからシステムを戻すことだけがゴールではありません。
侵入経路が残ったまま復旧すれば、再び攻撃を受ける可能性があるため、マルウェアや不正な設定が残っていないか、復旧対象のシステムが安全な状態かを確認する必要があります。
アサヒグループは、再発防止策として通信経路やネットワーク制御の再設計、セキュリティー監視の見直し、バックアップ戦略や事業継続計画の再設計・実装などを挙げています。
この点は、多くの企業にとって重要な学びです。
バックアップがあっても、すぐに元の状態へ戻せるとは限りません。安全性を確認しながら慎重に復旧する必要があるため、システム構成が複雑なほど、時間がかかることになります。
ランサムウェア被害で企業が陥りやすい誤解
ランサムウェア対策については「うちはバックアップがあるから大丈夫」「EDRを入れているから安心」と考えてしまう企業もあります。
もちろん、それらの対策は重要ですが、それだけで十分とは言い切れません。
バックアップがあればすぐ復旧できるとは限らない
バックアップはランサムウェア対策に欠かせない備えですが、バックアップが存在することと実際に安全に復旧できることは別問題と考えた方が良いでしょう。
復旧時には、どの時点のバックアップを使うのか、バックアップ自体が攻撃の影響を受けていないか、復元後に再感染しないかを確認しなければなりません。基幹システム同士が連携している場合、一部のシステムだけを戻しても業務全体が正常に動かないこともあります。
そのため、企業に必要なのは「バックアップを取っている」という状態ではなく、「攻撃を受けても守られ、実際に戻せる」状態です。
復元テストや復旧手順の確認まで含めて、はじめて実効性のあるバックアップ運用といえます。
セキュリティ製品を導入していれば安心とは限らない
セキュリティ製品を導入していれば安心とは限らない
EDRやウイルス対策ソフト、ファイアウォールなどのセキュリティ製品は、企業を守るうえで大切な役割を持っています。ただ、製品を導入しているだけで攻撃を完全に止められるわけではありません。
攻撃者は、認証情報の悪用・管理者権限の奪取・正規機能の悪用など、検知されにくい方法を組み合わせます。アサヒグループの公表内容でも、攻撃者が管理者権限を奪取し、複数のサーバーへの侵入や偵察を繰り返したことが示されています。
製品を機能させるには、監視する人・アラートを判断する仕組み・緊急時に動ける体制が必要です。「入れている」ことよりも、「異常を見つけて対応できる状態にあるか」が問われます。
大企業だけが狙われるわけではない
大手企業の被害が報道されると「自社は規模が小さいから関係ない」と感じる方もいるかもしれませんが、攻撃者は必ずしも企業規模だけで標的を選ぶわけではありません。
狙われやすいのは、外部接続機器の管理が不十分な環境・脆弱な認証情報が残っている環境・重要データにアクセスしやすい環境です。中小・中堅企業であっても、取引先とシステム連携していたり、業務に欠かせないデータを持っていたりすれば、攻撃対象になり得ます。
むしろ、専任のセキュリティ担当者が少ない企業ほど、発見や初動対応が遅れてしまう面もあります。ランサムウェア被害は「有名企業だけの問題」ではなく、どの企業にも起こり得る事業リスクとして捉えることが必要です。
アサヒ事例から企業が見直すべきセキュリティ対策
ここからは、アサヒの事例を踏まえ、企業が実務として見直したいポイントを紹介していきます。すべてを一度に完璧にすることではなく、自社にとって止まると困る部分から優先順位をつけて整えていきましょう。
ネットワーク機器・認証情報の管理を見直す
アサヒグループでは、攻撃者がグループ内の拠点にあるネットワーク機器を経由してデータセンターに侵入されました。さらに、パスワードの脆弱性を悪用して管理者権限を奪取したことも公表されています。
このことから、企業がまず見直したいのは、VPNなどの外部接続機器・ネットワーク機器・管理者アカウント・認証情報の管理です。外部から接続できる機器は攻撃の入口になりやすく、管理者権限が奪われると、被害が一気に広がる可能性があります。
具体的には下記のような確認が必要です。
- 外部接続機器に不要な公開設定が残っていないか
- 管理者アカウントの権限が過剰になっていないか
- 多要素認証が必要な範囲に適用されているか
- 退職者や委託先の不要なアカウントが残っていないか
- パッチ適用や設定見直しが継続的に行われているか
これらは一度確認して終わりではありません。システム構成や利用者が変わるたびに、定期的に棚卸しすることが大切です。
重要データ・バックアップを守る設計にする
ランサムウェア対策では、重要データとバックアップをどのように守るかが重要です。
攻撃者は業務に大きな影響を与えるデータや、復旧に必要なバックアップを狙うことも多いため、もしバックアップが暗号化・削除されてしまえば、復旧自体が困難になってしまう可能性があります。
そのため、企業は「何を守るべきか」を明確にする必要があります。
すべてのデータを同じ優先度で守るのではなく、止まると業務影響が大きいシステム、顧客対応に必要なデータ、復旧に不可欠なバックアップファイルなどを洗い出すことが第一歩です。
あわせて、バックアップを本番環境と同じ権限で簡単に書き換えられる状態にしていないかも確認が必要です。バックアップは「保存されている」だけでなく、「攻撃から守られている」ことが重要です。
監視と検知の仕組みを「運用できる状態」にする
アサヒグループは再発防止策として、セキュリティー監視の仕組みを見直し、攻撃検知の精度を向上させることを挙げています。
これは、多くの企業に共通する課題です。
監視ツールを導入していても、アラートを誰が確認するのか、どのレベルで緊急対応するのか、夜間や休日にどう動くのかが決まっていなければ、実際の防御力にはつながりません。
監視と検知は、仕組みと運用がセットで初めて機能します。
特にランサムウェア攻撃では、侵入から暗号化までの間に、内部探索や権限奪取などの兆候が現れる場合があります。そこで気づけるかどうかが、被害規模を左右します。
BCPとセキュリティ対策を切り離さない
ランサムウェア被害では、システム復旧だけでなく、事業をどう続けるかが問われます。
受注・出荷、顧客対応、社内連絡、取引先対応をどのように維持するかは、BCPと密接に関係します。
アサヒグループは再発防止策として、バックアップ戦略や事業継続計画を再設計・実装すると公表しましたが、これはサイバー攻撃への備えを単なるIT対策ではなく、事業継続の問題として捉えていることを示しています。
企業にとって重要なのは「システムが止まらないようにする」だけではありません。
もし止まった場合に、どの業務を優先して再開するのか、手作業で代替できる範囲はどこまでか、顧客や取引先にどう説明するのかまで、平時に決めておくことが必要です。
ランサムウェア被害を最小化するために企業が今できること
ランサムウェア対策は、完璧な防御を目指すだけではなく、万が一侵入された場合の被害を広げない仕組みと、業務を止めにくくする備えを行っておくことが求められます。
まずは守るべきデータ・システムを明確にする
最初に取り組みたいのは、自社にとって本当に守るべきデータやシステムを明確にすることです。
例えば、受注システム・出荷システム・顧客情報・会計データ・バックアップファイル・設定ファイルなど、止まると業務に大きな影響が出るものを整理し、その上で、どのデータが暗号化されたら困るのか、どのシステムが止まると取引先に影響するのかを確認しましょう。
攻撃を受けても業務を止めない考え方を持つ
ランサムウェア対策では、感染を防ぐことと同じくらい、攻撃を受けても被害を広げないことが大切です。特に重要なデータやバックアップが暗号化・改ざん・削除されなければ、復旧の選択肢を残せます。
従来型の多くの対策は、攻撃を検知して止めることに重点を置くものでしたが、最近はゼロデイ攻撃や認証情報の悪用など、検知が難しい攻撃も存在します。そのため、検知に頼るだけでなく、守るべきファイルやシステムへの不正な変更を防ぐ考え方も重要になります。
「侵入されない」だけでなく、「侵入されても重要資産を壊されない」「暗号化されない」「復旧不能にされない」状態を目指すことが、これからのランサムウェア対策には求められます。
平時から復旧手順と連絡体制を確認しておく
ランサムウェア被害が起きたとき、最初に混乱するのは技術対応だけではありません。
誰が判断するのか、どのシステムを止めるのか、取引先へいつ連絡するのか、顧客対応をどう進めるのかといった意思決定も必要になります。
そのため、平時から情報システム部門だけでなく、経営層・広報・法務・営業・顧客対応部門まで含めて、役割を整理しておくと、有事の動きが大きく変わります。
ランサムウェア被害では、初動の遅れが被害拡大につながります。逆に、連絡先や判断基準が決まっていれば、早い段階で封じ込めや代替運用に移ることができます。
DIT Securityで支援できること
ここまで見てきたように、ランサムウェア被害を最小化するには、検知や監視だけでなく、重要なデータやシステムを守る仕組みが欠かせません。
特に、業務停止や信用失墜につながる情報資産をどう保護するかは、企業の事業継続に直結するテーマです。
重要なデータ・システムをランサムウェアから守るSentinelARGUS
DIT Securityが提供するSentinelARGUSは、守りたいデータやシステムをイミュータブル、つまり変更不可の状態にすることで、ランサムウェアによる暗号化・改ざん・削除から保護するソリューションです。
ランサムウェアは、企業にとって重要なデータやシステムを暗号化し、業務を止めることで大きな被害を与えます。
SentinelARGUSでは、アプリケーションデータ・DBファイル・一般データ・設定ファイル・バックアップファイルなどを保護対象に設定できます。
業務停止・信用失墜を防ぐための“自衛型”対策
従来型のセキュリティ製品は、シグネチャーや振る舞い検知によって攻撃を見つける考え方が中心です。もちろん、こうした対策は重要ですが、検知をすり抜ける攻撃や設定不備・認証情報の悪用を起点とする攻撃に対しては、検知だけでは間に合わない場面もあります。
SentinelARGUSは、監視対象への不正な書き込みや変更を防ぐ仕組みがあります。
正規ユーザや正規プロセスをホワイトリスト化することで、通常業務への影響を抑えながら、守るべき対象を保護できます。
ランサムウェア被害で怖いのは、データが暗号化されることだけではありません。
受注・出荷の停止、顧客対応の混乱、取引先への影響、信用失墜までつながってしまうことです。重要なデータやシステムを自ら守る仕組みを持つことは、企業の信頼を守ることにもつながります。
BCPを見据えたランサムウェア対策の相談先として
ランサムウェア対策は、製品を導入して終わりではありません。
どのデータを守るのか、どのシステムを優先するのか、通常業務に影響を出さずにどう運用するのかを考える必要があります。
DIT Securityでは、ランサムウェア被害を「起きた後の復旧」だけでなく、「被害を最小化し、事業を止めにくくするための備え」として捉え、企業ごとの状況に合わせた対策をサポートします。
アサヒの事例からも分かるように、ランサムウェア被害はIT部門だけの問題ではなく、事業継続に関わる問題です。SentinelARGUSの詳細ページでは、重要なデータやシステムを守る仕組み、導入構成、運用イメージを確認できます。
まとめ
アサヒのランサムウェア被害事例は、特定の大企業だけに起こる特殊な出来事ではありません。
受注・出荷業務の停止、コールセンター業務への影響、情報漏えい調査、復旧対応など、ランサムウェア被害が企業活動全体に広がることを示した事例です。
この事例から学べるのは、バックアップやセキュリティ製品を導入したうえで、実際に運用できる状態にしておくこと、重要データやバックアップを攻撃から守ること、BCPとセキュリティ対策を一体で考えることが必要だということです。
ランサムウェア対策では、侵入を防ぐ取り組みとあわせて、攻撃を受けても重要なデータやシステムを壊されない備えが求められます。
業務停止や信用失墜を防ぐためにも、自社にとって守るべき情報資産を見直し、必要な対策を段階的に整えていくことが大切です。
重要なデータやシステムをランサムウェアから守る対策を検討している場合は、ぜひDIT SecurityのSentinelARGUSページをご覧ください。
執筆者情報
