Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2025-asahi食品・飲料最終確認 2026-10-13 10:00

アサヒグループホールディングスへのランサムウェア攻撃

公表日

アサヒグループホールディングス株式会社 · 上場
続報ありランサムウェア不正アクセス認証情報悪用サプライチェーン：起点

アサヒグループがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、受注と出荷のシステムが約2か月止まりました。お客様相談室への問い合わせ者などの個人情報も、流出したおそれがあります。

対象者は？

2025年9月以前にアサヒグループのお客様相談室へ問い合わせた方、グループの従業員・退職者とその家族、取引先の担当者など。最大約229万件で、そのうち流出が確認されたのは約11.6万件（主に従業員・取引先関係）です。クレジットカード情報は含まれていません。

対象の方には会社から個別に連絡が行われています。範囲の詳細は公式のお知らせで確認できます。

漏えいのおそれがある個人情報について（2026年7月17日） ↗調査結果と今後の対応について（2025年11月27日） ↗

いますぐできること

  • アサヒを名乗るメール・電話・郵便で、個人情報や支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
  • 過去に問い合わせ時に伝えた電話番号やメールアドレスに、不審な連絡が増えていないか気をつける

何が起きたのか

2025年9月29日の朝、アサヒグループの社内システムでランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。が一斉に動き出し、サーバーやパソコンのデータが暗号化されました。会社は被害の拡大を防ぐためにネットワークを遮断しました。その結果、注文を受けて商品を出荷する仕組みやお客様相談室が使えなくなりました。工場の設備は無事でしたが、出荷の手続きができないため多くの工場で製造を一時止めました。その後約2か月は、紙・FAX・Excelで注文を受け、主力商品に絞って出荷を続けました。

なぜ起きたのか・なぜ広がったのか

犯人は障害が起きる約10日前に、グループの拠点にあるネットワーク機器を経由して社内に入り込んでいました。そこからパスワードの弱さを突いて、システム全体を管理する権限を手に入れ、一斉に暗号化を実行したと会社は説明しています。侵入してから気づくまでの約10日間に、社内の広い範囲に手が届く状態になっていたことが、被害が会社全体に広がった理由です。

いまの状況2026-07-17 時点続報待ち

身代金は支払わず、無事だったバックアップからシステムを復旧しました。受注システムは2025年12月に再開し、2026年4月には一部の終売品を除く全商品の出荷が再開しました。復旧などにかかった一時的な費用は約170億円で、決算の発表は約5か月遅れました。再発防止として、外部から社内につなぐVPN装置の全面廃止などを進めています。

企業として考えたいこと

自社の受注や出荷のシステムが2か月止まったら、手作業で業務を続けられるでしょうか。そのときに使う紙の様式や連絡手段は決まっているでしょうか。

技術的な要約

2025年9月29日午前7時頃、アサヒグループHDの国内システムでランサムウェアが一斉実行され、データセンターの起動中サーバー複数と一部PCが暗号化された。同日11時頃にネットワークを遮断しデータセンターを隔離したため、国内グループ各社の受注・出荷とコールセンターが停止し、約2カ月間、紙・FAX・Excelによる手作業受注で供給を継続した。攻撃者は約10日前に拠点のネットワーク機器経由で侵入し、パスワードの脆弱性を突いて管理者権限を奪取したと会社は説明。Qilinが犯行を主張し約27GB・9,300超のファイル窃取を称したが、同社は攻撃者と接触しておらず身代金も支払っていないとした。漏えい（おそれ含む）は2025年11月の191.4万件から2026年7月に約228.9万件へ見直され、うち漏えい確定は115,513件。2025年12月期決算は約5カ月遅れの2026年7月に開示され、システム障害関連の一時費用約170億円を計上した。

侵入
—
被害発生
2025-09-29 07:00
検知
2025-09-29 07:00
第1報公表
2025-09-29
最新続報
2026-07-17
侵入 → 検知
—
侵入日が非公表
検知 → 公表
0日
データ（上限）
228.9万件
確定 115,513
波及先
—

攻撃の分類

侵入口
VPN/境界機器公表で確認
公式発表は「グループ内拠点にあるネットワーク機器を経由してデータセンターのネットワークに侵入」（2025-11-27・2026-02-18）。機器の種別・製品名・脆弱性は非公表。再発防止策に「リモートアクセスVPN装置の全面廃止」が含まれ、会見でも「おそらく皆様のご想像と、そんなに違わない」と回答したことから、報道・研究者（日経、トレンドマイクロ）はVPN装置経由と推測しているが、VPNであることは会社として明言していない。侵入日時も特定されておらず「障害の約10日前」とのみ説明。
脆弱性
判明している脆弱性はありません
攻撃者
Qilin 被害組織の言及なし
2025年10月7日頃にリークサイトへアサヒを掲載し、9,300超のファイル・約27GBを窃取したと主張。財務文書、従業員ID、機密契約書、社内報告書とされるサンプル画像29点を公開（BleepingComputer）。2025年12月10日には取引先との商談資料や人材育成計画などの社内文書をダークウェブ上で追加公開したと報じられた（共同通信）。
ATT&CK
T1133 External Remote ServicesT1078 Valid AccountsT1005 Data from Local SystemT1486 Data Encrypted for Impact

影響

業務停止
あり 国内グループ各社の受注・出荷システム、お客様相談室を含むコールセンター、社外メール受信が停止。生産系（OT）システムは影響を受けていないと説明されたが、出荷処理ができないため多くの国内工場が一時製造停止。10月1日から紙・FAX・Excelによる手作業受注・出荷を開始し、アサヒビールは10月2日に全6工場で製造再開。EOSは2025年12月2日（アサヒグループ食品）・3日（アサヒビール・アサヒ飲料）に再開。2025年12月時点の取扱品目はアサヒビール107品目（売上構成比83%）、アサヒ飲料350品目（95%）、アサヒグループ食品944品目（98%）。2025年10〜12月累計売上は前年比でビール8割台前半、飲料7割程度、食品9割程度。新商品の発売延期、イベント中止、第3四半期・通期決算の開示延期も発生。海外システムへの影響は確認されていない。
期間：システム停止2025-09-29〜EOS再開2025-12-02/03（約2カ月）。配送リードタイム制限の解消による物流正常化は2026年2月、一部終売品を除く全商品の出荷再開は2026-04-07
データ
おそれ上限 2,289,000確定 115,513件
氏名性別住所電話番号メール生年月日業務データ
2025-11-26確報時点の「漏えいが発生またはそのおそれ」は約191.4万件（お客様相談室問い合わせ者152.5万、慶弔対応の社外関係先11.4万、従業員・退職者10.7万、その家族16.8万）。2026-07-17に個人情報保護委員会との協議を踏まえ「漏えいの可能性を完全には否定できないもの」まで範囲を広げ、取引先の役員・従業員・個人事業主等37.8万件を追加、慶弔関係先を11.7万、家族を16.2万に修正。records_maxの2,289,000は同日公表の区分別件数の合計（会社は合計値を明記していない）。漏えい確定は2026-02-18時点で従業員（退職者含む）5,117件・取引先関係110,396件の計115,513件で、確定分は主に従業員貸与PCから窃取されたデータ。データセンターのサーバー内の個人情報は外部流出の事実は確認されていない。クレジットカード情報は含まれない。1件ごとに全項目が含まれるわけではない。業務データとして財務文書・契約書・商談資料等の流出が攻撃者側主張・報道ベースで存在。
波及先
—
  • 酒類卸・小売・飲食店への商品供給遅延・欠品
  • 取引先個人（役員・従業員等）の個人情報漏えい
金銭影響
2025年12月期（IFRS）: 売上収益2兆8,946億円（前期比1.5%減）、親会社所有者帰属当期利益1,215億円（36.7%減、減損除く調整後は1,470億円・19.6%減）、営業利益30.9%減、事業利益7.8%減（為替一定）。日本・東アジアは売上△3.7%（為替一定）・事業利益△16.1%、4Qは同セグメント売上に前年比約2割のマイナス影響、3Qは約50億円の減収影響。システム障害関連の一時費用約170億円（棚卸資産の廃棄・評価減、復旧関連人件費、広告販促キャンセル費用等）を事業利益以下の「その他」に計上。2026-06-11の業績予想修正で売上収益を600億円（2.0%）下方修正。2026年は売上回復のための一時費用60億円と情報セキュリティ強化のシステム費用35億円を見込む。総被害額・保険填補額は非公表。
サプライチェーン
メーカーの受注・出荷基盤停止により、卸・小売・飲食店など国内流通全体へ商品供給遅延が波及。漏えいのおそれの対象に取引先の役員・従業員等の個人情報37.8万件が含まれる。

時系列

  1. 2025-09-19
    この頃（障害の約10日前）、攻撃者がグループ内拠点のネットワーク機器経由で侵入したとみられる（正確な日時は未特定）。以後、主に業務時間外に複数サーバーへの侵入・偵察を繰り返し、主要データセンターでパスワードの脆弱性を突いて管理者権限を奪取6923
  2. 2025-09-29 07:00
    システム障害発生。ランサムウェアが一斉実行され、起動中の複数サーバーと一部PCのデータが暗号化（会見では認証サーバーから実行されたと説明）5623
  3. 2025-09-29 11:00
    全ネットワークを遮断し、データセンターを隔離56
  4. 2025-09-29
    第1報公表。国内グループ各社の受注・出荷、お客様相談室を含むコールセンターが停止、復旧めど立たず、影響は日本国内に限定、情報流出は確認されていないと発表。緊急事態対策本部を設置121
  5. 2025-09-30
    個人情報保護委員会へ速報6
  6. 2025-10-01
    アサヒビール・アサヒ飲料・アサヒグループ食品が紙・FAX・Excelによる手作業での受注・出荷を開始9
  7. 2025-10-02
    アサヒビール全6工場で製造再開、「スーパードライ」の出荷を一部再開3
  8. 2025-10-03
    第2報。ランサムウェア攻撃を確認、情報漏えいの可能性を示す痕跡を確認と公表。社外からのメール受信も不可。電話による問い合わせ受付を10月6日の週めどに再開準備221
  9. 2025-10-07
    この頃、Qilinがリークサイトにアサヒを掲載し、9,300超のファイル・約27GBの窃取を主張、サンプル画像29点を公開12
  10. 2025-10-08
    第3報。攻撃で流出した疑いのある情報をインターネット上で確認と公表。個人情報保護委員会へ続報36
  11. 2025-10-14
    第4報。個人情報が流出した可能性が判明と公表。同日、経理関連データへのアクセス障害等により第3四半期決算発表の延期を公表414
  12. 2025-11-26
    個人情報保護委員会へ確報（漏えいのおそれ約191.4万件）56
  13. 2025-11-27
    調査結果公表と記者会見。侵入経路（拠点のネットワーク機器）、約191.4万件の漏えいのおそれ、身代金未払い・攻撃者と接触なし、バックアップからの復旧、物流は2026年2月の正常化を目指す方針を説明。対象者への個別通知を開始59101123
  14. 2025-12-02
    アサヒグループ食品がEOSでの受注を再開（アサヒビール・アサヒ飲料は12月3日）6
  15. 2025-12-10
    Qilinが商談資料・人材育成計画などの社内文書をダークウェブに追加公開と報道。同日、個人情報保護委員会へ新たな流出疑い情報の確認について追加報告136
  16. 2026-02
    配送リードタイムの制限が解消され、物流全体が正常化618
  17. 2026-02-18
    漏えい確定件数（従業員5,117件・取引先110,396件）、再発防止策（リモートアクセスVPN装置全廃、ゼロトラスト端末への移行、EDR強化等）とガバナンス強化策を公表6
  18. 2026-03-10
    2025年12月期第3四半期（1〜9月）決算を開示。純利益1,028億円（26.2%減）。全商品の出荷を4月7日から再開する方針17
  19. 2026-04-07
    一部終売品を除く全商品の出荷を再開1718
  20. 2026-06-11
    2025年12月期通期業績予想を修正。売上収益を600億円（2.0%）下方修正、システム障害関連費用・減損等により利益も下方修正15
  21. 2026-07-08
    2025年12月期決算を開示（通常の2月から約5カ月遅れ）。純利益36.7%減、システム障害関連の一時費用約170億円168
  22. 2026-07-17
    漏えいのおそれがある個人情報を見直し、取引先関係37.8万件を追加（区分合計約228.9万件）。確定件数に変更なし724
  23. 2026-08-14
    2026年12月期第1四半期と上期の決算を同日公表したと報じられる22

技術解説

攻撃の構造：境界機器から認証基盤、一斉暗号化まで 事実

会社の説明では、攻撃者はグループ内拠点のネットワーク機器を入口にデータセンターのネットワークへ到達し、約10日間、主に業務時間外に複数サーバーへの侵入と偵察を繰り返した。その後、主要データセンターで「パスワードの脆弱性」を突いて管理者権限を奪い、9月29日早朝にランサムウェアを一斉実行した。会見では実行元を認証サーバーと説明しており、これはドメイン管理者権限を得てActive Directory経由で配布した典型的な手口と整合する。ただしADの掌握手順、使用ツール、暗号化されたPCの台数（研究者記事は37台と記載）は会社の公式文書では確認できない。暗号化と並行して従業員貸与PCのデータがデータセンターを通じて外部に持ち出されており、窃取と暗号化を組み合わせた二重恐喝型である。

侵入口は何だったのか：「ネットワーク機器」とVPNの推測 解釈

公式発表は「拠点にあるネットワーク機器」とだけ述べ、製品名、CVE、認証突破の方法は伏せている。一方、2026年2月の再発防止策の筆頭が「リモートアクセスVPN装置の全面廃止」であること、会見で入口について「ご想像とそんなに違わない」と答えたこと、質疑で既知の脆弱性の悪用と答えたことから、VPN装置経由とみる報道・研究者が多い。国内ランサム被害の多くがVPN経由というトレンドマイクロの統計とも合う。ただし、脆弱性悪用なのか、窃取・推測した認証情報（多要素認証なし）による正規ログインなのかは区別できない。「パスワードの脆弱性」という表現も、弱いパスワードのことかソフトウェアの脆弱性のことか曖昧である。以上はいずれも推測であり、確定情報として扱うべきではない。

封じ込めの判断と復旧に2カ月以上かかった理由 解釈

障害の発覚（7時）から約4時間後の11時に全ネットワークを遮断し、データセンターを隔離した。これは横展開と追加流出を防ぐ代わりに、受注・出荷・メール・経理まで止めるという判断だった。バックアップは被害を免れ、身代金を払わずに自力で復旧すると決めたが、フォレンジック調査と健全性検査を済ませたシステムから段階的に戻す方式をとったため、EOSの再開まで約2カ月、物流正常化まで約4カ月、全商品の出荷再開まで約6カ月かかった。バックアップがあっても、侵入時期が約10日前までさかのぼる以上、それ以降の復元点やAD・認証基盤には潜伏の可能性が残り、そのまま戻すことはできない。復旧時間を決めたのは、バックアップの有無よりも、クリーンであることの確認と基盤の作り直しにかかる時間だったと読める。

手作業BCPと業績への波及 事実

10月1日から紙・FAX・Excelによる受注に切り替え、ビール工場は10月2日に製造を再開した。OT系は無傷だったが、受注と出荷のITが止まって物が動かなかったのがこの事案の本質である。手作業では扱える品目を絞るしかなく、主力品から順に出荷を再開した。2025年12月時点でアサヒビールは107品目（売上構成比83%）まで回復したが、10〜12月の累計売上は前年比で飲料7割程度、ビール8割台前半にとどまった。経理データにアクセスできなかったことから第3四半期・通期決算の開示が大きく遅れ、通期決算は2026年7月までずれ込んだ。システム障害関連の一時費用は約170億円、売上収益の予想修正は600億円に及ぶ。上場企業にとっては、ランサムウェアが開示義務と資本市場への説明にまで影響することを示した。

漏えい件数の読み方：「おそれ」「確定」「範囲の見直し」 解釈

件数は3つの階層で読む必要がある。1つ目は確定値で、2026-02-18時点で115,513件（従業員5,117件・取引先110,396件）。主に窃取されたPCデータに由来する。2つ目は「おそれ」の値で、191.4万件から2026-07-17に区分合計約228.9万件へ増えた。この増加は新たな流出が判明したためではなく、個人情報保護委員会との協議を踏まえ「完全には否定できないもの」まで範囲を広げた結果である。3つ目は攻撃者の主張で、27GB・9,300超のファイルとされるが、件数との対応は検証されていない。確定5,117件は従業員のおそれ10.7万件に含まれるため、単純に足すと二重計上になる。データセンターのサーバーから流出したかどうかを否定しきれなかったのは、通信ログなど外部送信の痕跡を十分に追えなかった可能性を示唆する（推測）。

対応

封じ込め
2025-09-29 11:00頃に全ネットワーク遮断・データセンター隔離。緊急事態対策本部を設置し外部専門家とフォレンジック調査。攻撃者とは接触せず身代金も不払い。被害を免れたバックアップからの復元、被害サーバーの再構築、健全性検査を経たシステム・端末から段階復旧。復旧に際しリモートアクセスVPN廃止、ゼロトラスト端末への移行、EDR設定強化、全システムのパスワード変更を実施。業務継続は紙・FAX・Excelによる手作業受注、主力品目に絞った出荷。
公表の仕方
第1報（9/29）〜第4報（10/14）で段階的に開示。初報では原因を「サイバー攻撃」とし、ランサムウェアの明言は第2報（10/3）。攻撃の詳細は被害拡大防止を理由に非開示とし、侵入経路・件数は約2カ月後の11/27の調査結果公表と社長会見で初めて説明。2026-02-18に確定件数と再発防止策、2026-07-17におそれ件数の見直しを公表。犯行主張（Qilin）については真偽への言及を控えた。
当局対応
  • 個人情報保護委員会へ報告（速報2025-09-30、続報10-08、確報11-26、追加報告12-10）
  • 決算開示期限超過に伴う第3四半期・通期決算の開示延期（東京証券取引所の適時開示）

教訓と対策

教訓具体的な対策
拠点のリモートアクセス機器が本社データセンターへの入口になった拠点VPN装置を棚卸しし、インターネットに露出している管理画面とVPNポートを外部ASMで定期スキャンする。KEV掲載の脆弱性は72時間以内にパッチを当てるか遮断し、全VPNアカウントにFIDO2などのフィッシング耐性MFAを必須にする。中期的にはZTNA（IdPと端末証明で認可）に置き換え、拠点とDCのネットワークを全経路接続ではなくアプリ単位の許可に変える。
約10日間、業務時間外の偵察と横展開を検知できなかったサーバー・DCを含む全ホストにEDRを入れ、テレメトリをSIEMへ送る。夜間・休日の管理者ログオン（4624/4672）、新規サービス作成、GPO変更、セキュリティ製品の停止をアラート化し、24時間365日のMDR/SOCで一次対応する。四半期に一度、Purple Team演習で検知を確かめる。
パスワードの弱点から管理者権限を奪われ、認証基盤からランサムウェアを一斉に配布されたAD Tiering（Tier0の分離）を導入し、ドメイン管理者は専用PAWからしかログオンできないようにする。LAPSでローカル管理者のパスワードを個別化し、サービスアカウントはgMSAに移行してKerberoasting対策をとる。Protected Usersを使い、PingCastleやBloodHoundで攻撃経路を定期的に洗い出してつぶす。
従業員PCにローカル保存されたデータが窃取され、確定漏えいの主因になったPCデータはクラウドストレージに一本化し、ローカル保存をポリシーで抑える。個人情報を含むファイルにはDLPと秘密度ラベルを付け、DCからの大容量アウトバウンド通信（rclone・MEGA等）はプロキシ/FWで検知・遮断する。外部送信ログは最低1年保持し、漏えいの有無を立証できるようにする。
バックアップは無事だったが、安全の確認と再構築に数カ月かかったイミュータブルかつオフラインのバックアップをシステム単位に分け、AD・IdPのクリーンな再構築手順（フォレスト復旧）を文書化する。受注・出荷など収益に直結する系については、隔離環境で新しく立ち上げる手順を年1回以上訓練し、RTOを実測する。
手作業BCPで供給は続けられたが、品目と量が大きく落ちたIT停止時の代替受注フロー（FAX/Excelのテンプレート、主力SKUの優先リスト、取引先の連絡網）を事前に整えて机上演習する。経理・決算データは業務系と分けて保管し、決算開示の遅れを防ぐ。

自組織などでの確認項目

  1. 発覚から4時間で全ネットワークを遮断し、データセンターを隔離した判断は、自社なら下せるか。誰が何を基準に「事業停止を伴う遮断」を決めるのか、事前に定義されているか。
  2. 拠点の境界機器が侵害されたとき、本社データセンターのAD・認証基盤に到達するまでに、自社には何層の防御（分離・MFA・特権分離・検知）があるか。
  3. バックアップが残っていても約2カ月止まった。自社の受注・出荷系は、侵入が10日前までさかのぼる前提で「クリーンだと確認できる」状態を何日で作れるか。
  4. 「漏えいのおそれ」の範囲を後から約4割広げた対応を、通知の誠実さと社会の混乱の両面からどう評価するか。初報の段階で、範囲をどう定義すべきだったか。

未解明点

  • 侵入口のネットワーク機器の種別・製品名・バージョン、悪用された脆弱性（CVE）または認証突破の方法
  • 正確な初回侵入日時と「パスワードの脆弱性」の具体的な内容
  • ADを掌握した手順、使用ツール、暗号化されたサーバー・PCの台数
  • 外部への持ち出し経路と送信量、データセンターのサーバーから流出したかどうか
  • Qilinの主張（27GB・9,300超のファイル）と、会社が確認した流出データとの対応関係
  • 保険填補を含む総被害額と、取引先・飲食店への補償額
  • 攻撃者の動機と、身代金要求が本当になかったのか（攻撃者から接触がなかった理由）

出典

  1. 1
    サイバー攻撃によるシステム障害発生について
    アサヒグループホールディングス2025-09-29公式本文確認済
  2. 2
    サイバー攻撃によるシステム障害発生について（第2報）
    アサヒグループホールディングス2025-10-03公式本文確認済
  3. 3
    サイバー攻撃によるシステム障害発生について（第3報）
    アサヒグループホールディングス2025-10-08公式本文確認済
  4. 4
    サイバー攻撃によるシステム障害発生について（第4報）
    アサヒグループホールディングス2025-10-14公式本文確認済
  5. 5
    サイバー攻撃による情報漏えいに関する調査結果と今後の対応について
    アサヒグループホールディングス2025-11-27公式本文確認済
  6. 6
    サイバー攻撃被害の再発防止策とガバナンス体制の強化について
    アサヒグループホールディングス2026-02-18公式本文確認済
  7. 7
    サイバー攻撃に係る漏えいのおそれがある個人情報について
    アサヒグループホールディングス2026-07-17公式本文確認済
  8. 8
    2025年12月期 決算説明会 説明概要②
    アサヒグループホールディングス2026-07-09公式本文確認済
  9. 9
  10. 10
  11. 11
    アサヒ、サイバー攻撃「異変は10日前から」
    Business Insider Japan2025-11-27報道本文確認済
  12. 12
    Qilin ransomware claims Asahi brewery breach, leaks data
    BleepingComputer2025-10-08報道本文確認済
  13. 13
    アサヒ社内文書、またウェブ公開（共同通信配信）
    共同通信（OANDA Lab転載）2025-12-10報道本文確認済
  14. 14
  15. 15
  16. 16
    アサヒ、純利益36・7%減 サイバー攻撃、発表も遅れ（共同通信配信）
    熊本日日新聞（共同通信）2026-07-08報道本文確認済
  17. 17
    Japan's Asahi Breweries to Fully Resume Shipments in April
    nippon.com（時事通信）2026-03-10報道本文確認済
  18. 18
    アサヒ、全商品の出荷を再開
    LOGISTICS TODAY2026-04-10報道本文確認済
  19. 19
  20. 20
  21. 21
  22. 22
    アサヒ サイバー攻撃の時系列まとめ
    一創（コラム）報道本文確認済
  23. 23
    アサヒHD社長サイバー攻撃会見全文(2025/11/27)
    note（個人による会見文字起こし）2025-11-27報道本文確認済
  24. 24