2025年9月29日に発覚、日本、製造 (飲料・食品)

アサヒグループランサムウェア被害

認証
権限
検知
復旧

管理者権限を奪われ侵入に気づけず、受注・出荷と相談窓口が止まった

何があったか

2025年9月29日の午前7時ごろ、アサヒグループホールディングスのシステムに障害が発生し、調査の中で暗号化されたファイルがあることを確認した。午前11時ごろにはネットワークを遮断し、データセンターを隔離した。その日のうちに国内グループ各社の受注と出荷、お客様相談室などのコールセンター業務を止めた。その後の調査で、障害発生の約10日前に外部の攻撃者がグループ内拠点のネットワーク機器を経由して侵入し、主要データセンターでパスワードの脆弱性を突いて管理者権限を奪っていたことが分かった。

奪った権限で内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返していたとみられる。9月29日にランサムウェアが一斉に実行され、起動中の複数のサーバーと一部のパソコン端末のデータが暗号化された。データセンターを通じて従業員に貸与していたパソコン端末のデータも流出した。受注と出荷は手作業での対応が続き、アサヒビールとアサヒ飲料は12月3日、アサヒグループ食品は12月2日にEOSによる受注を再開した。

配送のリードタイムは2026年2月までに通常化した。会社は2025年9月30日に個人情報保護委員会へ速報を出し、11月26日に確報、12月10日に追加報告をした。2026年2月18日に漏えいが確認された個人情報の件数と再発防止策を公表し、7月17日には漏えいのおそれがある個人情報の対象範囲を改めて修正して公表した。

入口: 外部の攻撃者が、グループ内拠点にあるネットワーク機器を経由して内部ネットワークに侵入した (具体的な侵入の日時や経路の詳細は特定されていない)
決め手の失敗: 主要データセンターでパスワードの脆弱性を突かれて管理者権限を奪われ、奪われたアカウントで業務時間外を中心とした複数サーバーへの侵入と偵察を長期間気づけなかった
被害: 国内グループ各社の受注・出荷業務とお客様相談室などのコールセンター業務が停止し、受注・出荷は手作業での対応が続いた。従業員5,117件と取引先関係者110,396件の個人情報の漏えいを確認し (2026年2月18日時点)、お客様相談室への問い合わせ者ら最大152.5万件などを含む範囲で漏えいのおそれがあるとした (2026年7月17日時点)

攻撃の流れ

入口システム障害発生の約10日前、外部の攻撃者がアサヒグループ内の拠点にあるネットワーク機器を経由してグループのネットワークに侵入した。具体的な侵入の日時は特定できていない
権限の奪取主要なデータセンターに入り込み、パスワードの脆弱性を突いて管理者権限を奪った
偵察・広がり奪ったアカウントを不正利用してネットワーク内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返したとみられる
暗号化9月29日、ランサムウェアが一斉に実行され、ネットワークに接続していた起動中の複数のサーバーと一部のパソコン端末のデータが暗号化された
持ち出し・影響データセンターを通じて、従業員に貸与していた一部のパソコン端末のデータが流出した。データセンターのサーバー内に保管されていた個人情報についても漏えいのおそれがあるとされたが、インターネット上への公開は確認されていない

数字で見る

5,117件漏えいが確認された個人情報 (従業員)[5] 2026年2月18日時点
110,396件漏えいが確認された個人情報 (取引先の役員・従業員等)[5] 2026年2月18日時点
152.5万件漏えいのおそれがある個人情報 (お客様相談室への問い合わせ者)[6] 2026年7月17日時点に修正された数字
11.7万件漏えいのおそれがある個人情報 (慶弔対応をした社外の関係先)[6] 2026年7月17日時点に修正された数字
10.7万件と16.2万件漏えいのおそれがある個人情報 (従業員とその家族)[6] 2026年7月17日時点に修正された数字
37.8万件漏えいのおそれがある個人情報 (取引先の役員・従業員等)[6] 2026年7月17日に新たに加わった区分
約10日間侵入から障害発覚まで[5] 具体的な日時は特定できていないと公表されている
65日受注・出荷停止からEOSによる受注再開まで[5] 9月29日から12月3日 (アサヒビール、アサヒ飲料) を資料の日付から数えた

気づいたきっかけ

2025年9月29日午前7時ごろ、システムに障害が発生し、調査を進める中で暗号化されたファイルがあることを確認した

対応と復旧

被害を最小限にとどめるため午前11時ごろにネットワークを遮断してデータセンターを隔離し、緊急事態対策本部を立ち上げた。リモートアクセスVPN、拠点間ネットワーク (約300拠点)、クラウド間接続の専用通信回線を全て遮断し、インターネット回線も遮断してデータセンターを完全隔離した。バックアップシステムも健全性を保つため一時停止した。外部専門機関によるフォレンジック調査でシステムごとの健全性と侵害の有無を確認し、安全性の確認されたバックアップデータから段階的に復旧した

組織が認めた原因と、決めた対策

認めた原因

外部の攻撃者がグループ内拠点にあるネットワーク機器を経由して内部ネットワークへ侵入した
主要なデータセンターでパスワードの脆弱性を突かれて管理者権限を奪取された
奪取したアカウントを不正利用してネットワーク内部を探索され、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返されたとみられる

公表した再発防止策

リモートアクセスVPN装置の全面廃止と通信経路の再構築
ゼロトラストモデル対応のパソコン端末への完全移行とクラウド保管への一本化
全パソコン端末とクラウド環境でのEDRの設定強化、ログ分析と監視・遮断の自動化
全システムでのパスワード変更、認証・権限管理の強化とアカウント管理の自動化
情報セキュリティを管轄する独立組織と専任役員の設置、情報セキュリティ委員会の設置

自分のサービスで確かめること

拠点にあるネットワーク機器の台数とファームウェアの状態を棚卸しし、外部から到達できる機器を把握しているか
管理者権限を持つアカウントのパスワード強度と使い回しの有無を定期的に確認しているか
業務時間外のサーバーへのアクセスや偵察的な挙動を検知し、警報する仕組みがあるか
VPN装置など外部接続機器を定期的に点検し、不要な接続経路を廃止しているか
バックアップが本番環境と同時に暗号化されない形で分離されているか

関わる攻撃とレッスン

攻撃の種類

ランサムウェアの侵入の流れ

学べるレッスン

1-5 認証の仕組み
3-3 権限昇格 (準備中)
4-2 検知の決まりの設計 (準備中)
4-3 インシデント対応

時系列

2025年
9月侵入システム障害発生の約10日前、外部の攻撃者がグループ内拠点のネットワーク機器を経由して侵入した (具体的な日時は特定できていない)[5]
9月29日発覚午前7時ごろシステム障害が発生し、暗号化されたファイルを確認した[1]
9月29日対応午前11時ごろネットワークを遮断し、データセンターを隔離した[1]
9月30日対応個人情報保護委員会へ速報を提出した[5]
10月3日公表サーバーがランサムウェアによる攻撃を受けたことを確認したと公表した (第2報)[2]
10月14日公表個人情報が流出した可能性があると公表した (第4報)[3]
11月26日対応個人情報保護委員会に確報として報告した[4]
11月27日公表調査結果と情報漏えいのおそれがある個人情報の件数を公表した[4]
12月2日復旧アサヒグループ食品がEOSによる受注を再開した[5]
12月3日復旧アサヒビールとアサヒ飲料がEOSによる受注を再開した[5]
2026年
2月復旧配送のリードタイムが通常化し、物流業務全体が正常化した[5]
2月18日公表漏えいが確認された個人情報の件数と再発防止策、ガバナンス体制の強化を公表した[5]
7月17日公表漏えいのおそれがある個人情報の対象範囲を改めて精査し、修正して公表した[6]

攻撃した側について

会社は攻撃者名を公表していない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

サイバー攻撃によるシステム障害発生についてアサヒグループホールディングス、2025年9月29日、被害組織の資料
サイバー攻撃によるシステム障害発生について (第2報) アサヒグループホールディングス、2025年10月3日、被害組織の資料
サイバー攻撃によるシステム障害発生について (第4報) アサヒグループホールディングス、2025年10月14日、被害組織の資料
サイバー攻撃による情報漏えいに関する調査結果と今後の対応についてアサヒグループホールディングス、2025年11月27日、被害組織の資料
サイバー攻撃被害の再発防止策とガバナンス体制の強化についてアサヒグループホールディングス、2026年2月18日、被害組織の資料
サイバー攻撃に係る漏えいのおそれがある個人情報についてアサヒグループホールディングス、2026年7月17日、被害組織の資料

アサヒグループ ランサムウェア被害