アサヒグループ 2025年 ランサムウェアによる受注と出荷の停止

攻撃者は拠点のネットワーク機器から入り、主要なデータセンターでパスワードの弱さを突いて管理者権限を取り、約10日、主に業務時間外に偵察した。9月29日にランサムウェアを一斉に動かし、起動中のサーバーと一部のパソコンを暗号化した。広がりを止めるために網とデータセンターを切り離し、国内の受注と出荷のシステムは約2か月止まった。

アサヒグループホールディングスの2025年9月29日、10月3日、10月8日、10月14日、11月27日、2026年2月18日、7月17日の発表に沿って書いています。2026年2月18日の発表で、システムは安全を確かめたバックアップから復旧し、受注は2025年12月2日と3日に電子受発注で再開し、配送の制限も2026年2月までに解けて物流は正常化したとされました。漏えいのおそれの範囲は2026年7月17日に改めて広げられ、その時点で二次被害は確認されていません。攻撃者の名前、ネットワーク機器の製品と弱点の種類、身代金の扱いは発表に無い。2026年11月時点の公開資料で書いています。

要点

  • 入口は、グループ内の拠点にあるネットワーク機器。侵入は障害の約10日前で、日時は特定できなかった。
  • データセンターで、パスワードの脆弱性を突いて管理者権限を奪い、そのアカウントで内部を探索し、主に業務時間外に複数のサーバーへ侵入と偵察を繰り返した。
  • 暗号化されたのは、ネットワークにつながり起動していた複数のサーバーと、ゼロトラストの形へ移る前の一部の従業員のパソコン。そのパソコンの情報の一部は盗まれた。
  • 封じ込めで VPN、約300拠点の間の網、クラウドとの接続、インターネットの回線を切り、データセンターを隔離した。全システムが止まり、バックアップの仕組みも一時止めた。
  • 漏えいが確認されたのは2026年2月18日時点で11万5,513件。漏えいのおそれは2026年7月17日時点で5つの区分、合わせて約228.9万件。

何が起きたか

約10日前の侵入から9月29日の一斉の暗号化と遮断、12月の受注の再開、2026年2月の物流の正常化と再発防止策、7月の漏えいのおそれの範囲の修正まで 約10日前 拠点の機器から侵入 日時は特定できず その後 管理者権限を奪い 時間外に偵察 9月29日 7時 障害が起き 暗号化を確認 9月29日 11時 網を遮断し DCを隔離 10月3日 ランサムウェアと 公表。手作業で受注 10月8日 流出の疑いの情報を ネット上で確認 11月27日 調査の結果 おそれ191.4万件 12月2日と3日 電子受発注での 受注を再開 2026年2月 物流が正常化 18日 再発防止策 2026年7月17日 おそれの範囲を 約228.9万件へ 始まりは2025年9月中ごろの侵入、気付いたのは9月29日7時の障害。年の無い日付は2025年
図1 発表にある経緯
日付発表の内容
2025年9月中ごろ障害の約10日前に、外部の攻撃者がグループ内の拠点のネットワーク機器を経由して侵入した。具体的な日時は特定できなかった[6]
侵入の後主要なデータセンターに入り込み、パスワードの脆弱性を突いて管理者権限を奪取。そのアカウントで内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返したとみられる[6]
9月29日 7時ごろシステムに障害が起き、調べる中で暗号化されたファイルを確認。同日、ランサムウェアが一斉に実行されていた[6]
9月29日 11時ごろネットワークを遮断し、データセンターを隔離。国内のグループ各社の受注と出荷、お客様相談室などのコールセンターの業務が止まった[1][6]
9月30日個人情報保護委員会へ速報[6]
10月3日サーバーがランサムウェアの攻撃を受けたと公表。情報漏えいの可能性を示す痕跡を確認。社外からのメールを受け取れない状態で、受注は一部を手作業で進め、順に出荷を始めた[2]
10月2日から9日アサヒビールの全6工場で10月2日から製造を再開。アサヒ飲料は10月9日から全7工場で製造を一部再開。アサヒグループ食品の全7工場も10月8日時点で一部再開[3]
10月8日流出した疑いのある情報をインターネット上で確認し、個人情報保護委員会へ続報[3][6]
10月14日攻撃を受けたシステムを中心に調べる中で、個人情報が流出した可能性があると分かったと公表[4]
11月26日、27日26日に個人情報保護委員会へ確報。27日に調査の結果を公表し、漏えいのおそれを4つの区分で示した[5]
12月2日、3日電子受発注による受注を、アサヒグループ食品で2日、アサヒビールとアサヒ飲料で3日から再開[6]
12月10日新たに流出した疑いのある情報をインターネット上で確認し、個人情報保護委員会へ追加の報告[6]
2026年2月18日原因、確認された漏えい、再発防止策とガバナンスの強化を公表。配送のリードタイムは2月までに通常化し、物流は正常化[6]
2026年7月17日個人情報保護委員会との協議も踏まえ、漏えいのおそれを完全には否定できないものも含めて範囲を改め、取引先の関係者を加えた[7]

漏れたもの

区分件数発表の時点
漏えいが確認された 従業員と退職者5,117件2026年2月18日[6]
漏えいが確認された 取引先の役員と従業員、取引先の個人事業主など110,396件2026年2月18日[6]
おそれ 3社のお客様相談室への問い合わせ者152.5万件2026年7月17日[7]
おそれ 祝電や弔電を送った社外の関係先11.7万件2026年7月17日[7]
おそれ 従業員と退職者10.7万件2026年7月17日[7]
おそれ 従業員と退職者の家族16.2万件2026年7月17日[7]
おそれ 取引先の役員と従業員、取引先の個人事業主など37.8万件2026年7月17日[7]
  • クレジットカードの情報は含まれない[6][7]。
  • データセンターのサーバーにあった個人情報は、外へ流出した事実は確認されていない。それでも7月17日に、二次被害を防ぐ観点と法令に基づき、漏えいのおそれを完全には否定できないものを範囲に含めた[7]。
  • 確認された漏えいは、ゼロトラストの形へ移る前のパソコンから盗まれた情報である。11月27日の発表は、このパソコンのデータがデータセンターを通じて流出したとした[5][6]。
  • 影響は日本で管理しているシステムに限られる[6]。2025年10月から12月の累計の売上は前年比で、アサヒビールが8割台前半、アサヒ飲料が7割程度、アサヒグループ食品が9割程度だった[6]。

通った道筋

拠点のネットワーク機器からグループの網へ入り、データセンターで管理者権限を奪い、起動中のサーバーとゼロトラスト移行前のパソコンを暗号化し、パソコンの情報を持ち出した インターネット グループ内の拠点 主要なデータセンター 攻撃者 外部 ネットワーク機器 ここから侵入 管理者権限 パスワードの弱さ 探索と偵察 主に業務時間外 9月29日 一斉に実行 ランサムウェア サーバー 起動中を暗号化 従業員のパソコン ゼロトラスト移行前 暗号化と持ち出し 盗まれた 情報の一部
図2 発表にある侵入から暗号化までの道筋。パソコンの置き場所は図のための便宜で、発表は場所を書いていない

発表が示す段は4つある。拠点のネットワーク機器から入る、データセンターでパスワードの弱さを突いて管理者権限を取る、取ったアカウントで探索と偵察を重ねる、一斉に暗号化する[6]。ネットワーク機器の製品、弱点の種類、パスワードがどう弱かったかは書かれていない。

暗号化の範囲は「ネットワークに接続する範囲で起動中の」サーバーとパソコンだった[6]。管理者のアカウントで届く所なら、どこでも暗号化できたことになる。逆に、ゼロトラストの形へ移った後のパソコンは暗号化の対象に挙がっていない[6]。再発防止策は、攻撃された時に他のパソコンへ広がるのを防ぐ専用の端末への完全な移行を挙げた[6]。

封じ込めの代償

リモートアクセスVPN、約300拠点の間の網、クラウドとの接続、インターネットの回線を切り、データセンターを隔離した結果、全システムが止まり、バックアップの仕組みも一時止めた データセンター 完全に隔離 全システムが停止 リモートアクセスVPN 約300拠点の間の網 クラウドとの接続 インターネットの回線 切断 切断 受注と出荷 約2か月 手作業で対応 バックアップの仕組み 健全さを守るため一時停止
図3 横への広がりを止めるために切ったものと、止まったもの

9月29日11時ごろ、リモートアクセスの VPN、約300拠点の間の網、クラウドとの接続の専用の回線を全部切り、さらにインターネットの回線も切ってデータセンターを完全に隔離した[6]。全システムが止まり、業務システムへは入れなくなった。バックアップのデータの健全さを保つため、バックアップの仕組みも一時止めた[6]。

受注と出荷のシステムは障害の後ずっと止まり、手作業で受けた[6]。電子受発注の再開は12月2日と3日である[6]。復旧は、複数の外部の専門機関と安全な手順を組み、安全を確かめたバックアップから戻し、影響を受けた全サーバーを作り直した後に健全さを確かめ、健全と保証できたものから順に再開した[6]。外とのファイルの受け渡しは、ウイルスの検知と駆除の機能を持つクラウドの保管場所から再開し、メールは経路を作り直してから再開した[6]。

発表に無いこと

報道では、犯行を名乗る集団の名前や身代金の扱いが取り上げられたが、会社の発表はどちらも書いていない。10月3日の発表は、被害の拡大を防ぐため攻撃の詳細の開示を控えるとした[2]。

どこで止められたか

入る、握る、探る、広がる、暗号化し持ち出す、戻すの6段それぞれの下に、止める仕組みを置く 1 入る 拠点の機器 2 握る 管理者を奪う 3 探る 約10日 時間外 4 広がる 届く所すべて 5 壊す 暗号化と持出し 6 戻す 約2か月 入口の台帳 機器を数え 不要は廃止 管理者の認証 強い認証と 権限の分離 検知 時間外の管理の 操作を見る 分離 網を分け接続を 絞る 端末 EDRと端末に データを置かない 控え 網から切り離し 戻す訓練 1と2が根本。3から6は、入られた後に被害を小さくする網
図4 攻撃が進む6段と、それぞれで止める仕組み
段この件で発表されたこと止める仕組み
1 入る拠点のネットワーク機器を経由して侵入した[6]外から届く機器の台帳を持ち、使わないものを廃止し、残すものは修正を当て続け、多要素認証を掛ける[8]。会社はリモートアクセスの VPN 装置の全面の廃止と、外から入られる危険のある機器の全面の廃止を挙げた[6]
2 握るデータセンターで、パスワードの脆弱性を突いて管理者権限を奪った[6]管理者のアカウントを普段のアカウントと分け、権限を最小にする[8]。会社は全システムのパスワードの変更、認証と権限の管理の強化、アカウントの作成と変更と削除の自動化を挙げた[6]
3 探る主に業務時間外に、複数のサーバーへの侵入と偵察を繰り返した[6]管理者のアカウントの、時刻、接続元、触ったサーバーの数の外れを警告にする。会社はログ分析の仕組みと、監視と遮断の自動化を挙げた[6]
4 広がるネットワークにつながり起動していたものが暗号化された[6]網を分け、必要な通信だけを許す[8]。会社は全システムでの網の分離と接続の制限、安全な網の領域の新設を挙げた[6]
5 壊す移行前のパソコンが暗号化され、情報の一部が盗まれた[6]端末の不審な動きを検知して止める。データを端末に残さない。会社は全端末の EDR の設定の強化と、クラウドへの保管の一本化を挙げた[6]
6 戻す封じ込めで全システムを止め、受注の電子化の再開まで約2か月[6]網から切り離し暗号化した控えを持ち、戻せるかを定期に試す[8]。会社はバックアップの仕組みの強化、復旧の手順の定期の見直しと訓練を挙げた[6]

1 入る。外から届く機器を数える

再発防止策の最初の項目は、ネットワーク機器からの再侵入を防ぐためのリモートアクセスの VPN 装置の全面の廃止と、攻撃の経路の特定で分かった、外から入られる危険のある機器の全面の廃止である[6]。拠点に置かれた機器は、本社の情報システムの部門の目が届きにくい。インターネットに向いた機器は、どの拠点にあっても、全部を1つの台帳に載せ、版と修正の状態と、認証の方式を持つ。保守用のVPNから入られた件は 半田病院 2021年 と 名古屋港 2023年 にある。

2 握る。管理者のパスワード

入口を破られても、データセンターの管理者権限が取れなければ、一斉の暗号化はできない。発表はパスワードの脆弱性とだけ書き、短い、使い回し、既定のまま、のどれかは分からない[6]。どれであっても、管理者には推測や流用で破れない認証を掛け、普段のアカウントと分ける。パスワードの規則は A07 認証の不備、盗まれた認証情報でデータセンターまで届いた件は KADOKAWA 2024年 にある。

3 探る。約10日の偵察

侵入から暗号化までの約10日、攻撃者は主に業務時間外に複数のサーバーへ入っては探った[6]。ここで気付ければ、暗号化の前に止められた。管理者のアカウントが、夜間に、普段と違う接続元から、多くのサーバーへ続けて入る動きは、記録していれば外れとして拾える。記録と警告の置き方は A09 セキュリティログとアラートの不備 にある。

4と5 広がる、壊す。届く範囲を絞る

暗号化されたのは、管理者で届き、起動していた所すべてだった[6]。網を分け、必要な通信だけを許していれば、1つの管理者権限で届く範囲が狭くなる[8]。ゼロトラストの形へ移った後のパソコンが暗号化の対象に挙がっていないことは、端末の作りで被害の範囲が変わることを示す[6]。

6 戻す。切り離した控えと、止めても回る業務

封じ込めは網を切る判断で、切れば業務も止まる[6][8]。止まった間、受注は手作業で受け、工場は10月2日から順に製造を再開した[2][3]。どのシステムを、どの順に、どの控えから戻すかを先に決め、訓練しておくと、止める判断が早くなり、戻すまでが短くなる。控えは、管理者権限を取られても消されない場所に置く[8]。

守り方

根本の直し
  • インターネットから届く機器を全部、台帳に載せる。使わないものは廃止し、残すものは修正を当て続け、多要素認証を掛ける[6][8]。
  • 管理者のアカウントを普段のアカウントと分け、推測や流用で破れない認証にし、権限を最小にする[8]。A07 認証の不備
  • 網を分け、1つの管理者権限で届く範囲を絞る[6][8]。
緩和の策
  • 管理者の操作を、時刻、接続元、触ったサーバーの数で記録し、外れを警告にする。A09 セキュリティログとアラートの不備
  • 端末とサーバーに EDR を置き、端末にデータを残さない[6]。
  • 網から切り離し暗号化した控えを持ち、戻す手順を定期に試す[8]。
  • 網を切ったときの業務の代わりの手順と、システムを戻す順を、障害の前に決めて訓練する[6]。
  • 外から侵入を試す検査と、入られていないかを探す調査を続ける[6]。
  • 情報セキュリティを受け持つ独立した組織と専任の役員を置き、取締役会が見張る形にする。会社は2026年2月にこれを決めた[6]。

参照

  1. サイバー攻撃によるシステム障害発生について アサヒグループホールディングス、2025年9月29日
  2. サイバー攻撃によるシステム障害発生について 第2報 アサヒグループホールディングス、2025年10月3日
  3. サイバー攻撃によるシステム障害発生について 第3報 アサヒグループホールディングス、2025年10月8日
  4. サイバー攻撃によるシステム障害発生について 第4報 アサヒグループホールディングス、2025年10月14日
  5. サイバー攻撃による情報漏えいに関する調査結果と今後の対応について アサヒグループホールディングス、2025年11月27日
  6. サイバー攻撃被害の再発防止策とガバナンス体制の強化について アサヒグループホールディングス、2026年2月18日。英語版は Measures to Prevent Recurrence
  7. サイバー攻撃に係る漏えいのおそれがある個人情報について アサヒグループホールディングス、2026年7月17日
  8. #StopRansomware Guide CISA ほか、2023年9月の版。切り離した控え、網の分離、VPNの修正と多要素認証、管理者の分離、隔離の手順