アサヒグループホールディングスへのサイバー攻撃
- y-sakonji
- 2025年12月15日
- 読了時間: 5分
2025年9月29日、飲料大手メーカーのアサヒグループがサイバー攻撃を受けたことを公表しました。これによりアサヒグループは国内工場の一時操業停止や新商品の発売延期等甚大な被害を受け、消費者や市場全体にも大きな影響を与えました。
今回はこの事件をみていこうと思います。
〈経緯〉
まずサイバー攻撃を受けてからのアサヒグループの公式発表等を下に時系列でみていきます。
〈Qilinとは〉
犯行声明を出しているQilinとは、2022年頃から活動を始め、RaaS（Ransomware as a Service)のビジネスモデルをとるハッカー集団です。RaaSとは攻撃に使うウイルス等を別の犯罪組織（攻撃実行犯）にサービスとして提供し、攻撃は自ら行わず、実行犯と収益を分配する仕組みです。
Qilinの手口は二重脅迫と言われ、データを窃取後暗号化し、身代金が支払われなければ窃取したデータを公開するというものです。
画像出典：日経NETWORK
身代金を支払った場合でも、データが完全に戻る保証も、奪われたデータが確実に消される保証もありません。また、身代金を支払った企業として他の犯罪集団からも再度標的にされる可能性が高まります。
アサヒグループの会見でも、犯人からの接触はなく、身代金の要求はないと説明がありました。また、身代金が要求されたとしても、支払うつもりはないとも述べていました。
〈侵入経緯〉
アサヒグループの会見で侵入経緯について次のような説明がありました。
システム障害が起こる約10日前、ネットワーク機器経由でデータセンターのネットワークに侵入
パスワードの脆弱性をついて管理者権限を奪取し、不正アクセスにてネットワーク内を探索、偵察
9月29日早朝、ランサムウエアが一斉に発動され、ネットワークに接続する範囲で起動中の複数の
サーバーや一部のパソコン端末のデータが暗号化された
11月27日の会見では、侵入口であるネットワーク機器が何かは明言されなかったが、VPNの使用を廃止したとのことからVPNの可能性が高いと推測されます。
またEDR（不審な動きや異常を検知し管理者に知らせるセキュリティ技術）を導入していたが、検知できなかったとのことです。
〈再発防止策〉
サイバー攻撃を受けて以下のような再発防止策が発表されています。
通信経路やネットワーク制御の再設計
外部との接続を安全な領域に限定。システム全体の堅牢性を高める
セキュリティの監視の仕組みを見直す。攻撃検知の向上。
バックアップ戦略や事業継続計画も再設計し、実装。
セキュリティー水準を継続的に見直し、より実効性のある社員教育や外部監査を定期的に実施。組織全体のセキュリティーガバナンスを強化
〈攻撃以降のアサヒグループ〉
システム障害により受注・出荷がストップしてしまったが、手作業にて受注出荷を行い、商品数を絞って順次再開していきました。
10月の販売動向が11月13日に発表され、以下のようになっています。
アサヒビール
・主力商品のスーパードライなどを中心に一部出荷再開
・売上金額（概算）前年比９割超
アサヒ飲料
・主力商品に絞り込み出荷再開
・売上金額（概算）前年比６割程度
アサヒグループ食品
・社会的ニーズの高い商品を優先的に出荷
・売上金額（概算）前年比７割超
システムによる受注・出荷の再開はアサヒグループ食品で12月2日、アサヒビールとアサヒ飲料は12月3日から再開し、2026年2月に全商品の出荷再開のシステムの完全復旧を目指しているとのことです。
バックアップ自体は生きており復旧作業はできるものの、システム障害から約４か月の時間を要することになります。安全かどうかを確認しながら慎重に安全にバックアップを戻す必要があり、システムの復旧作業に時間がかかっている要因となっています。
また数台のサーバと37台の端末がランサムウェア攻撃を受けたため受注・出荷ができなくなっていたが、工場の生産設備には被害は及ばなかったとのことです。元々システムを疎結合にしていたため、被害を軽減できたとみられています。
また流出の可能性のある個人情報は次の表のとおりで、11月27日よりお問い合わせ窓口も設置されています。
個人情報に関するお問い合わせ窓口について
「アサヒグループ個人情報お問い合わせ窓口」
電話：0120-235-923（受付時間 土日祝除く9:00～17:00）
12月10日、アサヒグループから窃取したと思われる大量のデータがダークウェブ上で公開されていると報じられました。取引先との商談資料や人材育成などの社内文書をはじめ、個人情報も含まれている可能性もあるとのことです。現時点で、アサヒグループは調査中とのことですが、新たに対応が必要になってくるかもしれません。
〈まとめ〉
残念ながら今日の高度なサイバー攻撃を100％防ぐということは不可能に近いでしょう。
しかし今回の事件を他人事とせず、被害を最小限にとどめられるよう今一度セキュリティシステムの強化、社内教育、BCP（事業継続計画）等セキュリティ対策の見直しをはかるべきです。
〈参考〉
コメント