ニュース
アサヒ、サイバー攻撃による影響の調査結果を報告。商品の受注・出荷は12月より順次正常化へ
2025年11月27日 17:33
- 2025年11月27日 発表
アサヒグループホールディングスは、9月に発生したサイバー攻撃による商品の受注・出荷への影響や情報漏洩などに関して11月27日に会見を開き、詳細な調査結果を報告するとともに、現在の状況と今後の対策、システムを利用した受注・出荷再開の見込みについて明らかにした。
サイバー攻撃によるシステム障害発生の経緯と被害の詳細
同社によると、9月29日午前7時ごろにシステム障害が発生。以降、外部からサイバー攻撃を認知し、午前11時ごろに自らネットワークの隔離処置を行なった。緊急事態対策本部を立ち上げ、外部専門家を複数社入れて原因調査・復旧対応を開始し、同社サーバーがランサムウェアによる攻撃を受けたことが10月3日に確認されている。
攻撃を受けたのは物流関連の中核システムなどで、これによってグループ会社のアサヒビール、アサヒ飲料、アサヒグループ食品の商品受注・出荷業務が一時停止。一部商品については同システムを使用しない手作業での対応により受注・出荷が続けられたが、出荷機能の低下に伴う工場での生産停止、店舗での取扱品目の減少など、広い範囲に影響が及んだ。
同社はインシデント発生以降、社外のセキュリティ専門家らを交えた調査や、攻撃の封じ込め、二次的被害の防止も含めた慎重なシステム復旧作業、再発防止のためのセキュリティ強化を施すなどの対応を行なってきた。そうした調査・復旧・対策が進んだことで被害の詳細が判明し、本来のシステムを利用した商品受注・出荷業務の再開目処がある程度たったことから、今回の発表に至ったという。
アサヒグループホールディングスGroup CEOの勝木氏は会見で、システム障害が発生する10日ほど前に同社のネットワークに侵入した形跡があったことを明かした。攻撃者がアサヒグループのネットワーク機器を経由してデータセンターのネットワークに入り込み、パスワードを盗み取って「管理者権限を奪取し、業務時間外にサーバーへの侵入と偵察を繰り返した」と見られるという。
その後、9月29日早朝にランサムウェアが一斉に実行され、複数のサーバー機器やPCのデータが暗号化されたことで機能停止を余儀なくされた。また、このインシデントを調査していくなかで、従業員に貸与しているPCに一時的に保存していた情報がデータセンターを通じて流出し、インターネットに公開されたことも判明。また、データセンター内のサーバーで管理している個人情報についても、インターネットでの公開は確認していないものの、流出の可能性があることが分かった。
漏洩したとされる個人情報は計191万件余りで、内訳は「お客様相談室にお問い合わせいただいた方」が152万5000件、「祝電、弔電などの慶弔対応を実施した社外関係者」が11万4000件、「退職者を含む従業員」が10万7000件、「それら従業員の家族」が16万8000件となっている。これら個人情報の漏洩に関しては11月26日の時点で個人情報保護委員会に報告済みだとし、該当する個人に対しては個別に通知したうえで、「アサヒグループ個人情報お問い合わせ窓口」も設置して対応に当たるとした。
12月2日からシステムを再開、全商品の出荷は2026年2月以降に
被害を受けたサーバー等のシステムについては、バックアップデータがあったことから、それらを用いて「安全性が確認されたシステムおよび端末から段階的に復旧」しているところ。この物流関連システムによる受注出荷業務は「出荷できる商品やリードタイムに制限は残るものの、12月からの再開を予定」しているとした。
具体的には、12月2日よりアサヒグループ食品でシステムによる受注を再開（12月11日以降の納品分から商品をお届け）し、翌12月3日よりアサヒビールおよびアサヒ飲料でもシステムによる受注を再開（12月8日以降の納品分から商品をお届け）する。また、2026年2月までに「制限が残る配送のリードタイムを通常化させることで、物流業務全体の正常化を目指す」としており、全商品の出荷再開はそれ以降になる見込み。
今回のインシデントを受け、同社は再発防止に向けてセキュリティや社員教育、外部監査などを強化する。ネットワークについては接続制限をさらに厳格にし、VPN接続についてはすでに廃止。「ゼロトラストの概念に従い、より安全なネットワークを構築」するとともに、「個々のサーバーのEDR（Endpoint Detection and Response）をより強化するなど、監視の仕組みを見直し、攻撃検知の精度を向上」させるとした。
加えて、今後同様のインシデントが再び発生してしまった際に備え、「迅速に復旧できるよう、バックアップ戦略や事業継続計画についても再設計し実装する。セキュリティ水準を継続的に見直し、より実効性のある社員教育や外部監査を定期的に実施することで、組織全体のセキュリティガバナンスを強化していく」と説明した。
なお、攻撃者から直接的な接触がなかったことと、安全なバックアップデータが複数存在していたことなどから、いわゆる「身代金」の支払いはせずに復旧を進めているという。「今回の出来事がサイバーセキュリティの意識を高める機会になり、これからのIT戦略、DX戦略を考えるにあたっていい教訓にもなった。対策を取るにあたっては外部のいろいろな方から協力の申し出もあり、知見が広がる機会にもなった」とした。
勝木氏は「経営として重大な責任を痛感しております。お客さま、お取引先、従業員をはじめ、あらゆる関係先の皆さまに多大なるご迷惑とご心配をおかけしておりますこと、重ねてお詫び申し上げます」と謝罪するとともに、「再発防止策を速やかに実行し、経営陣一同、信頼回復に向けて全力で取り組んでまいります」と述べた。
そして「最後に一言」として、「本件を通じて、私どもの商品・サービスが、美味しさ、楽しさ、豊かさ、喜び、つながり、潤い、こうしたものをいかにお届けしていたかを実感し、また（手作業での受注・出荷作業などで）社員がいかに頼もしいかということも実感しました。復旧の目処がここまで立ってきたのは社員の驚くべき頑張り（のおかげ）。こうした社員がいる限り、今後さらにお客さまの信頼を頂戴して、お客さまに、社会に、より価値を提供して強い会社となって戻ってこれると信じて疑っておりません」と涙ぐみながら語った。
