2025年10月19日に発覚、日本、小売・EC・物流

アスクルランサムウェア被害

認証
委託
検知
復旧

委託先の管理者アカウントだけ多要素認証の例外にしていて、物流が全面停止した

何があったか

2025年10月19日の午前、アスクルはランサムウェアによる攻撃を検知した。感染の疑いのあるシステムを切り離してネットワークを遮断し、データセンターや物流センターの間の通信も止めた。16時半には「ASKUL」「ソロエルアリーナ」「LOHACO」の受注と出荷の業務を止めた。物流センターは自動倉庫やピッキングの仕組みで高度に自動化されており、それを動かす物流システムが暗号化されたため、出荷の業務が全面的に止まった。

同じデータセンターにあったバックアップのファイルも暗号化され、復旧に時間がかかった。10月22日には、外部のクラウドサービス上のお問い合わせ管理システムにも不正なアクセスがあった。攻撃者は盗んだ情報を10月30日、11月10日、12月2日の夜に公開し、会社はそのたびに中身を確かめた。

流出を確かめた情報は、事業所向けのお客様の情報約59万件、個人向けのお客様の情報約13万2,000件、取引先の情報約1万5,000件、役員と社員等の情報約2,700件。11月4日には情報流出の専用の問い合わせ窓口を開いた。出荷は10月29日にFAXの注文と2拠点、37品目のトライアルから始め、12月3日にソロエルアリーナとASKULのWebサイトの受注を再開した。

12月12日の第13報で、例外的に多要素認証を掛けていなかった業務委託先向けの管理者アカウントのIDとパスワードが漏れて使われたこと、侵害されたデータセンターのサーバにEDRがなく24時間の監視もなかったことを原因として認めた。

入口: 例外的に多要素認証を適用していなかった業務委託先向けの管理者アカウントのIDとパスワードが何らかの方法で漏れ、不正に使われた
決め手の失敗: 委託先の管理者アカウントだけ多要素認証の例外にしていた。侵害されたデータセンターのサーバにEDRがなく、24時間の監視もなかった。バックアップがランサムウェアを想定した環境になく、一部が一緒に暗号化された
被害: ASKUL、ソロエルアリーナ、LOHACOの受注と出荷を止め、物流センターの出荷業務が全面停止した。事業所向けのお客様の情報約59万件、個人向けのお客様の情報約13万2,000件、取引先の情報約1万5,000件、役員と社員等の情報約2,700件の流出を確かめた

攻撃の流れ

入口多要素認証を例外的に掛けていなかった、業務委託先向けの管理者アカウントのIDとパスワードが漏れ、不正に使われた。漏れた経路は、委託先が管理するノートPCのログがOSの更新で消えていたため確かめられなかった
偵察入ったあと、攻撃者はネットワークを偵察し、複数のサーバに入るための認証情報を集めようとした
広がりEDRなどの対策ソフトを無効にしたうえで複数のサーバの間を移り、必要な権限を取ってネットワーク全体に届くようになった
暗号化複数の種類のランサムウェアを複数のサーバに置き、ファイルを一斉に暗号化した。同時にバックアップのファイルも消された。当時のEDRのシグネチャでは検知の難しい物も含まれていた
影響物流システムと社内システムのデータの一部が盗まれて公開された。外部のクラウドサービス上のお問い合わせ管理システムのアカウントも何らかの形で盗まれ、その情報の一部も公開された

数字で見る

約59万件事業所向けのお客様の情報[1]
約13万2,000件個人向けのお客様の情報[1]
約1万5,000件取引先の情報[1]
約2,700件役員と社員等の情報 (グループ会社を含む)[1]
45日受注と出荷を止めてからWebの受注を再開するまで[1] 10月19日から12月3日。資料の日付から数えた
13回公表の回数[1] 2025年12月12日の第13報まで

気づいたきっかけ

2025年10月19日の午前、ランサムウェアによる攻撃を検知した。侵害されたデータセンターのサーバにはEDRがなく24時間の監視もなかったため、不正アクセスや侵害をその場では検知できなかったと会社は書いている

対応と復旧

感染の疑いのあるネットワークを物理的に切り、データセンターと物流センターの間の通信も止めた。全パスワードの変更に手を付け、14時に対策本部を置いた。翌20日に外部の専門機関に支援を頼み、ログの解析と影響の調査を始めた。24日に認証情報をリセットし、管理アカウントに多要素認証を掛け、ランサムウェアの検体を取ってEDRのシグネチャを更新した。汚染が疑われる機器は捨てるかOSを入れ直し、汚染の可能性の残る今の環境を部分的に直すのではなく、新しい環境をゼロから組む方式を取った

組織が認めた原因と、決めた対策

認めた原因

例外的に多要素認証を適用していなかった業務委託先に対して付与していた管理者アカウントのIDとパスワードが、何らかの方法で漏洩し不正利用された
侵害が発生したデータセンターではサーバにEDRが未導入で、24時間監視も行われていなかったため、不正アクセスや侵害を即時検知できなかった
オンラインバックアップは実施していたが、ランサムウェア攻撃を想定したバックアップ環境を構築していなかったため、一部のバックアップも暗号化され、迅速な復旧が困難となった
当時のログが削除されており、原因の完全な究明は困難

公表した再発防止策

当社と業務委託先の全てのリモートアクセスに多要素認証を徹底する
管理者権限を厳格に運用し、従事者を再教育する
24時間365日の監視と即時対応の体制を整え、EDRを含む多層的な検知体制を作る
ランサムウェア攻撃を想定したバックアップ環境を作り、機器管理を詳しくする

自分のサービスで確かめること

委託先や保守用を含め、外から入れるアカウントに多要素認証の例外が残っていないか一覧で確かめる
管理者の権限を持つアカウントの数と持ち主を棚卸しし、使っていない物を止める
サーバにEDRなどの検知が入り、夜間や休日も警報を見る人がいるか確かめる
バックアップが本番と同じ権限では消せない場所にあり、戻す手順を試したことがあるか確かめる
端末の更新や攻撃者の操作でログが消えても困らないよう、ログを別の場所に集めて残しているか確かめる

関わる攻撃とレッスン

攻撃の種類

ランサムウェアの侵入の流れ

学べるレッスン

時系列

10月19日発覚午前にランサムウェアによる攻撃を検知し、システムの切り離しとネットワークの遮断をした[1]
10月19日対応 16時半に「ASKUL」「ソロエルアリーナ」「LOHACO」の受注と出荷の業務を止め、第1報を出した[1]
10月20日対応外部の専門機関に支援を頼み、ログの解析と影響の調査を始めた[1]
10月22日侵入外部のクラウドサービスへの不正アクセスが起きた[1]
10月24日対応認証情報のリセット、管理アカウントへの多要素認証、EDRのシグネチャの更新をした[1]
10月29日復旧出荷のトライアルの第1弾を始めた (FAXの注文、2拠点、ケース品37品目)[1]
10月31日公表犯行声明の報道について、声明を把握していると発表した (第4報)[2]
10月31日公表情報の流出を公表した (第5報)[1]
11月4日対応情報流出の専用の問い合わせ窓口を開いた[1]
12月3日復旧ソロエルアリーナとASKULのWebサイトの受注を再開した[1]
12月12日公表影響の調査の結果と再発防止策を報告した (第13報)。個人情報保護委員会に確報を出した[1]

攻撃した側について

会社は攻撃者の名前を公表していない。2025年10月31日の第4報で、ハッカー集団が犯行声明を出したとの報道について、その声明を把握していると発表した。攻撃者とは接触しておらず、身代金を支払わず、交渉もしていないと公表している (第13報)

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告 (第13報) アスクル株式会社、2025年12月12日、被害組織の資料
一部報道について (第4報) アスクル株式会社 (PR TIMES)、2025年10月31日、被害組織の資料

アスクル ランサムウェア被害