サイバー攻撃「後手に回る」日本企業：アサヒビールの事例からみえる脆弱性

アサヒグループホールディングスがランサムウエア（身代金要求型ウイルス）攻撃を受け発生したシステム障害を巡り、ロシア語圏のハッカー集団の「Qilin」が犯行声明を発表しました。財務書類や契約書、従業員の情報など約27ギガバイトのデータを盗んだと主張しています。

アサヒGHDのランサム被害で犯行声明か、「Qilin」が個人情報などの窃取を主張 | 日経クロステック（xTECH）

「Qilin」は22年半ばから活動が確認されており、ランサムウエアを「サービス」として提供する「RaaS（Ransomware as a Service）」モデルを運営し、日本を含む全世界の国々を対象に活発な攻撃活動を展開しているそうです。

9月29日に攻撃を受け、受注・出荷や生産などが一時停止するなど影響が広範囲に及ぶことになりました。いまだシステムの完全復旧には至っておらず、手作業での受注を進めているようです。生産量は限られる形で、9日にはすべての工場での生産を再開させるといいます。

現時点（2025年10月9日）で、アサヒグループホールディングスは、サイバー攻撃の具体的な侵入経路や原因、そしてランサムウェアに感染した詳細な経緯を公表していません。また、グループとしての「サイバーレジリエンス（サイバー攻撃に耐え、回復する能力）」にどのような問題があったかも明らかになっていません。アサヒビールの発表が待たれます。

この種の被害が続いています。日本の大手企業が抱えるセキュリティの構造的な課題を浮き彫りにしているのかもしれません。アサヒビールの事例を分析し、欧米の先進企業が実践する対策を参考に、企業が今すぐ取り組むべき「サイバーレジリエンス（回復力）」について考えてみたいと思います。

「contents」

アサヒビールの事例が突きつけた「事業停止」の現実
なぜ「後手に回る」のか？日本企業が抱える構造的課題
海外の先進事例に学ぶ「レジリエンスの鉄則」
セキュリティは「コスト」から「事業継続の投資」へ

アサヒビールの事例が突きつけた「事業停止」の現実

受注・出荷の全面停止、全国の工場で生産停止、新商品発売の延期など、被害は経営の根幹を揺るがすレベルに達しました。攻撃の影響が、単なる情報漏洩でなく、事業継続そのものを脅かすレベルに達し、サプライチェーン全体にも影響が及び深刻な事態になりました。

なぜ「後手に回る」のか？日本企業が抱える構造的課題

大手企業で被害が相次ぐ背景には、攻撃側の進化だけでなく、欧米企業と比較して遅れが指摘される防御側の構造的な課題がありそうです。

対策の重点が「防御」に偏りすぎている

従来の「侵入防止」に予算を集中しすぎ、侵入を前提とした「検知・対応・復旧（レジリエンス）」への投資が不十分であると、今回のように被害が全社に拡大しやすいといわれます。

経営層の関与と意思決定の遅さ

米国のSEC（証券取引委員会）によるサイバー被害の開示義務など、厳しい規制や市場からの圧力を受け、海外企業では、セキュリティは経営課題としてトップダウンで推進されるといいます。これに対し、日本企業は、対策実施のきっかけが「自社や他社のインシデント」であることが多く、経営層の関与や予算化が後手に回りがちになる傾向があります。

攻撃の「産業化」と「攻撃対象領域」の拡大

RaaS（Ransomware-as-a-Service）により、攻撃の実行が容易になり、攻撃の頻度と量が激増しているといいます。クラウドやリモートワークの普及に伴い、サプライチェーン全体に脆弱な侵入経路が広がっているともいわれます。

Progress(12inch ANG Single) [Analog]

アーティスト:スガシカオ
ビクターエンタテインメント

Amazon

海外の先進事例に学ぶ「レジリエンスの鉄則」

日本企業が「後手」から脱却するためには、海外の先進企業が既に実践している「侵入前提」の対策と、回復力に特化した技術を導入する必要があります。

分野	海外の先進事例と教訓	日本企業への適用
アクセス制御	【ゼロトラストの全社導入】 GoogleやMicrosoftなどが実践。「すべてを信用しない」を前提に、ネットワーク内部のアクセスもすべて認証・検証する。	VPN機器の保護だけでなく、社内システムへのアクセス権限を最小限に絞り、攻撃者の横展開を阻止する。
データ保護	【バックアップの要塞化】金融機関などが推進。バックアップデータを上書き・削除できないイミュータブル（不変）ストレージや、オフライン隔離を徹底する。	3-2-1ルール（3つのコピー、2種類のメディア、1つはオフサイト/オフライン）を徹底し、バックアップからの確実な復旧能力を確保する。
検知と監視	【AIによる脅威ハンティング】 EDR導入企業が、専門チームやMDRサービス（運用代行）を活用し、AIで膨大なデータを解析。攻撃者がシステムに潜伏している初期段階を特定し、被害前に封じ込める。	EDRを導入するだけでなく、24時間365日の監視体制と、専門家によるインシデント対応チームを整備する。