アサヒグループホールディングス（GHD）で発生したランサムウエア（身代金要求型ウイルス）によるシステム障害は、企業の想定を凌駕する勢いでサイバー攻撃が進化し、手口が巧妙化している現実を突きつけた。セキュリティー対策を強化していたさなかでの被害だったことが、その深刻さを物語る。今回の事例は、攻撃対策やBCP（事業継続計画）の重要性を改めて認識させる教訓となりそうだ。

　「多くのお客様、関係先の皆様に多大なるご迷惑をおかけしていることを、心よりおわび申し上げる」。アサヒGHDは27日、9月29日にサイバー攻撃によるシステム障害が起きてから初の記者会見を東京都内で開催。会見の冒頭で勝木敦志社長はこう述べて、陳謝した。商品の出荷を順次通常の状態に戻し、来年2月までの物流システムの正常化を目指す。

　アサヒGHDによると、同日午前に自社のシステムで障害が発生し、調査を進める中で暗号化されたファイルがあることを確認。被害を最小限にとどめるためにネットワークを遮断し、データセンターの隔離措置を講じた。

「ゼロトラスト」への移行期に

　調査の結果、攻撃者はグループ内の拠点にあるネットワーク機器を経由してデータセンターのネットワークに侵入し、ランサムウエアが一斉に実行。ネットワークに接続する範囲で起動中の複数のサーバーや一部のパソコンのデータが暗号化されたことが判明した。

　さらに攻撃を受けたシステムを中心に影響する範囲や内容の調査を進めたところ、従業員に貸与している一部のパソコン端末のデータが流出したことも分かった。データセンターにあるサーバー内に保管されていた個人情報は流出の可能性があるが、インターネット上に公開された事実は確認されていないという。

　漏えいの恐れがある個人情報は、27日時点で191万4000件。アサヒグループ各社に問い合わせした人の152万5000件や祝電や弔電などの対応を行った社外関係者の11万4000件などが含まれるという。

　サイバー攻撃を受けて、約2カ月にわたりランサムウエア攻撃を封じ込める対応やシステムの復元作業などを実施。攻撃の原因や経路を突き止めるための鑑識調査やセキュリティー対策の強化などを経て、安全性が確認されたシステムや端末から段階的に復旧していく方針だ。

　アサヒGHDによると、ネットワークの境界を守る「ファイアウォール」型のセキュリティー体制を、クラウドを使う環境を前提にすべてのアクセスを疑い検証する「ゼロトラスト」型へ移行するさなかにサイバー攻撃を被った。パソコンやサーバーなどのエンドポイント端末を監視・防御する「EDR（エンドポイント検知・対応）」も導入していたが、攻撃者の侵入を許した。

想定を超える高度な出口

　そこでアサヒGHDは、ゼロトラスト体制への移行を前倒しで進める考えだ。今回の攻撃を踏まえた再発防止策には、通信経路やネットワーク制御を再設計し接続制限を厳しくする対応に加えて、攻撃を検知する精度を向上させる措置も明示。より実効性のある社員教育や外部監査を定期的に実施することで、組織全体のセキュリティーガバナンスを強化する方針も盛り込んだ。

　勝木社長は「サイバーセキュリティーは必要かつ十分な対策を取っていた」とした上で、「私どもの認識を超えるような高度で巧妙な攻撃がシステム障害につながった。安全性を高めることには限界はない」と強調。経験を今後のセキュリティー対策に生かす姿勢を示した。

　国内企業のシステムの脆弱性を突くサイバー攻撃が9月以降に相次ぎ発生。10月には、オフィス用品通販大手のラックがランサムウエア攻撃によるシステム障害を確認したと公表。攻撃の影響は同社に物流を委託する身近な企業にも広がり、サイバーリスクを広く社会に認知させる契機にもなった。

　セキュリティー大手のトレンドマイクロによると、2025年上半期（1～6月）に国内組織が公表したインシデント（事故）は247件。2番目に件数の多いのがランサムウエアで、前年同期を上回る42件に達した。近年を振り返ると、特定の組織を標的としたランサムウエア攻撃を相次ぎ表面化し、攻撃の対象が多様な業種に広がっている。医療機関のランサムウエア被害も多く、中には電子カルテシステムに障害が発生し通常診療を行えない状況に陥った施設もあった。

AI時代の新たな脅威も押し寄せる

　同社シニアスペシャリストの高橋昌也氏は「経営者はサイバー攻撃を経営や事業に直結する重大なリスクとして認識する必要がある」と強調。続けて、攻撃者が取引先などの関連会社を足がかりに標的企業のネットワークへ侵入する「サプライチェーン攻撃」を経営リスクとして捉える必要性も説いた。

　警察庁が今年上半期にランサムウエアの被害に遭った企業・団体を対象に行った調査によると、VPN（仮想私設網）機器からの侵入が感染経路全体の約6割を占めた。さらに高橋氏は「企業にはVPN機器の脆弱性の対策や自社組織のサイバーリスクの可視化といった基本を徹底する対応が求められる」とした上で、「AI（人工知能）を活用して自動的に防御する対策の検討なども必要になる」と課題を投げかけた。

　AIの急速な進化を背景にサイバー攻撃はより洗練され、速度が高速化する方向にある。実際に25年に入り、AIを悪用したウイルスや不正サイトなどの証跡を確認。今後は、AIを駆使して標的の弱点を探し出し侵入するという攻撃への警戒感が高まる可能性もあるという。新たな脅威が押し寄せる中で企業には、セキュリティーを経営戦略に組み込み、事業継続力を高める対応が急務となっている。