アサヒグループホールディングス株式会社は、2025年9月29日に発生したサイバー攻撃の調査結果と、再発防止策ならびにガバナンス体制の強化内容を発表しました。9月29日午前に暗号化ファイルを確認し、被害最小化のためネットワーク遮断とデータセンター隔離を実行しています。調査では、約10日前に外部攻撃者が拠点のネットワーク機器を経由して侵入し、主要データセンターでパスワードの脆弱性を突いて管理者権限を奪取、主に業務時間外に複数サーバーへの侵入と偵察を繰り返したことが判明しました。当日、ランサムウエアが一斉実行され、複数サーバーと一部端末のデータが暗号化されました。影響は日本で管理するシステムに限定されています。
同社は、ゼロトラスト移行前の一部端末の暗号化と情報の一部窃取を確認しました。封じ込めでは、リモートアクセスVPN、約300拠点の拠点間ネットワーク、クラウド間接続の専用回線を遮断し、インターネット回線も停止してデータセンターを完全隔離しました。これに伴いデータセンターの全システムが停止し、業務システムへのアクセス不可とバックアップ一時停止が発生しています。外部専門機関がフォレンジック調査を実施し、システムの健全性検証と侵害有無、影響範囲の精査を進めました。安全性が確認されたシステムから段階的に再開し、必要な追加セキュリティ対策を実装しています。
復旧面では、外部機関と安全性の高い復旧プロセスを構築し、健全なバックアップからシステムを復元しました。影響を受けた全サーバーは再構築後に健全性を確認し、順次再開しています。外部連携は健全性確認済みシステムから再開し、ウイルス検知と駆除機能を備えたクラウドストレージでのファイル授受、再構築したメール経路での送受信も再開しました。業務面では、受注と出荷のシステム停止により手作業対応が続きましたが、アサヒビールとアサヒ飲料は2025年12月3日に、アサヒグループ食品は12月2日にEOS受注を再開しました。配送リードタイムは2026年2月までに通常化し、物流は正常化しています。
売上と品目では、2025年10月から12月の累計売上金額はアサヒビールが8割台前半、アサヒ飲料が7割程度、アサヒグループ食品が9割程度でした。2025年12月時点の取り扱い品目数は、アサヒビールが107品目で売上構成比83％、アサヒ飲料が350品目で95％、アサヒグループ食品が944品目で98％です。出荷可能な品目数は順次拡大予定としています。個人情報は、9月30日に個人情報保護委員会へ速報、10月8日に疑い情報のネット上確認を続報、11月26日におそれありで確報、12月10日に新たな疑い情報を追加報告しました。該当者には順次通知しています。
漏えいのおそれがある個人情報は、2025年11月26日時点で、お客様相談室問い合わせ分が152.5万件、慶弔対応の関係先が11.4万件、従業員が10.7万件、従業員家族が16.8万件で、クレジットカード情報は含まれていません。2026年2月18日時点で漏えいが確認されたのは、従業員に関する5,117件、取引先の役員や従業員、個人事業主等に関する110,396件です。各件に全項目が含まれるわけではないと注記しています。
再発防止とガバナンス強化は、エンタープライズリスクマネジメント上の最重要リスクとしての位置付けを前提に、グループ共通基準と報告ルールの運用を強化してきた取り組みを一段と進めます。具体策は、リモートアクセスVPN装置の全面廃止、古い通信経路の排除、外部侵入リスクのあるデバイス全面廃止、端末データのクラウド保管一本化とキャッシュ非残存対策です。あわせて、ゼロトラスト対応端末への完全移行、安全なネットワークエリア新設、全システムのネットワーク分離と接続制限、全端末のEDR設定強化、クラウド環境でのEDR監視強化、継続的なペネトレーションテストとスレットハンティングを実施します。初動迅速化へルールと体制の見直し、ログ分析や監視・遮断の自動化、全システムのパスワード変更と認証・権限管理強化、アカウントライフサイクル自動化にも取り組みます。さらに、接続制限の強化やクラウドの継続チェックと是正自動化、バックアップ強化と訓練、システム統合のスリム化、教育と実践訓練の継続を推進し、独立組織と専任役員、情報セキュリティ委員会の設置、規程改定と遵守監査、取締役会スキルマトリックス見直しで監督機能を高める方針です。
詳しくはアサヒグループホールディングス株式会社の公式ページまで。レポート／DXマガジン編集部 權
