アスクルのサイバー攻撃から学ぶランサムウェア対策

2025年10月19日午前、アスクル株式会社はランサムウェアによるサイバー攻撃を検知しました。

ランサムウェアとは、会社のコンピューターの中のデータを勝手に暗号化して使えなくし、「元に戻してほしければお金を払え」と要求する攻撃です。

アスクルでは物流システムが使えなくなり、同日午後に受注と出荷が止まりました。

個人向けサービス「LOHACO」の注文受付は2026年1月20日に再開しました。

2026年2月以降、主要なサービス水準は障害前の水準まで復旧しています。

数字で見る

• 情報流出が確認されたのは約73万9,700件（約74万件）です
• FAXでの出荷トライアルは、停止から10日後の10月29日に始まりました
• 通期のシステム障害対応費用は51億8百万円です
• 侵入口は、追加確認（MFA）のない委託先の管理者アカウントと推定されています

アスクルのランサムウェア攻撃で何が起きたのか

アスクルは、物流センターの自動倉庫や、商品を集める仕組みを動かす物流システムが暗号化されたと公表しています。

そのため、物流センターからの出荷業務が全面的に止まりました。

物流が止まれば、商品を売る画面が開いていても届けられません。

アスクルは、他社の商品を保管・発送する仕事（3PL）もしていました。

このため、無印良品、ロフト、ネスレ日本のネット通販にも影響が出たと報じられています。

会社の倉庫を、棚から商品を自動で出す大きな台所だと考えてみてください。

注文票はあっても、台所の機械が止まれば、料理を運べないのと同じです。

アスクルは、受注や会計など会社の土台となる仕組みと、ネット上の販売サイト（ECサイト）には、入り込まれた痕跡がなかったとしています。

時系列で見る

安全を確かめながら戻すため、復旧には時間がかかりました。

別の被害の流れも、サイバー攻撃の事例一覧で見比べられます。

犯人はどうやって入り込んだのか（公表されている範囲）

アスクルは、追加確認（MFA）のない委託先の、システムを広く管理できるID（管理者アカウント）のIDとパスワードが漏れ、不正に使われたと推定しています。

社外から社内につなぐ仕組み（VPN）の、侵入されやすい弱点（脆弱性）を突かれた痕跡は確認されていません。

原因を完全に調べきることは、当時のコンピューターの記録が削除されていたため困難だとしています。

多要素認証（MFA）とは: パスワードに加えて、スマホの確認コードなどもう一つの確認を求める仕組みです。

家にたとえると、正しいカギを持つ人だけを通すはずの入口に、一つだけ追加確認のない通用口が残っていたような状態です。

どれくらいの被害が出たのか

2025年12月12日時点で、情報流出が確認された件数は合計約73万9,700件です。

内訳は、事業所向けサービスの顧客情報が約59万件、個人向けサービスの顧客情報が約13万2,000件、取引先情報が約1万5,000件、役員・社員などが約2,700件です。

一部の通信ログとアクセスログが失われたため、攻撃者が見た可能性のある情報の範囲を完全に特定することは難しいと説明されています。

LOHACOの個人顧客については、カード情報をアスクルが受け取らない仕組みであり、同社はカード情報を保有していないとしています。

参考: 障害対応費用として約51億円を計上しました。

アスクルの対応から学べること

アスクルは検知当日に、感染の疑いがあるネットワークを物理的に切り離し、データセンターと物流センターの通信も遮断しました。

対策本部を設け、外部専門機関にログ解析と影響調査を依頼しています。

同社は攻撃者と接触せず、身代金の支払いも交渉も行わなかったと公表しました。

復旧では、汚染の可能性がある既存の環境を部分的に直すのではなく、安全を確認した新しい環境をゼロから作る方法を選びました。

EDRとは: パソコンやサーバーの中で、怪しい動きがないかを見張るソフトです。

アスクル自身は、サーバーを置く設備（データセンター）のサーバーにEDRがなく、24時間監視もなかったことを課題として示しています。

同社の公表した原因分析から、中小企業が学べる点は3つです。

1. MFAの例外を作らず、委託先を含む強い権限を持つIDを一覧にして確認する
2. バックアップを本番環境と離し、戻せるか実際に試す
3. 自社の停止が取引先の仕事まで止めないか、平時に確かめる

バックアップはデータの控え（コピー）です。

控えを本物と同じ場所に置けば、同時に使えなくなります。

自分の会社を守るために、今できること

今日の3問

保守会社やIT担当者に、次の3点を聞いてください。

• 管理者アカウントと委託先アカウントに、MFAの例外はないか
• バックアップは本番のサーバーと別の場所にあり、戻す訓練をしたか
• 夜間・休日も、パソコンやサーバーの異常を見つけて連絡できるか

後で確認する5項目

• 使っていないIDと管理者権限を消しているか
• 委託先の作業が終わったら権限を外しているか
• パスワードの変更と保管のルールが決まっているか
• 注文、出荷、問い合わせを手作業で続ける手順があるか
• 自社が止まったときに困る取引先を把握しているか

自分でまず見るなら、セキュリティチェック で不足を整理できます。

点検や対策の費用感は、料金プラン も参考にしてください。

答えられない項目が1つでもあれば、今週中に保守会社へ点検を依頼してください。

参考にすべき一次情報・公的資料

まず読むならこの1本: アスクル「第13報: 影響調査結果および安全性強化」 https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf

さらに詳しく:

• アスクル「第16報: 復旧状況」
  https://pdf.irpocket.com/C0032/KfQV/Wj5n/HFvd.pdf
• アスクル「中間決算短信」
  https://pdf.irpocket.com/C2678/ikpa/wnGE/HEKP.pdf
• アスクル「通期決算短信」
  https://finance-frontend-pc-dist.west.edge.storage-yahoo.jp/disclosure/20260703/20260703587650.pdf
• アスクル「アスクルのサイバーセキュリティ」
  https://www.askul.co.jp/corp/security/