ランサムウェアの事例から学ぶこと　公式発表でわかる共通の原因を整理

ランサムウェアの公表事例に共通するのは、外とつながる機器や盗まれた認証情報が入口になりやすく、復旧は安全確認まで含めて長引きやすいことです。ここでは会社名の出ている公式発表と警察庁の統計から、確かめられる共通点だけを取り出します。

今日やることは、社内で次の3問に答えることです。社外から社内につながる機器は全部で何台あるか。バックアップは業務サーバーと同じ権限で消せる場所にないか。受注と出荷のシステムが止まったら、紙と電話で何日回せるか。答えられない問いが、自社の弱い場所です。

カテゴリ全体の考え方はランサムウェアの記事一覧⁠にまとめています。

公式発表で確かめられる4社⁠の経過は？

次の表は、各社の公式発表に書かれた範囲だけを並べたものです。発表の詳しさは会社ごとに違います。空白に見える点は「なかった」のではなく、「公表文では確かめられない」⁠と読んでください。

公表事例は、規模が大きく説明責任も重い会社に偏ります。4社⁠の経過を、そのまま全ての会社の相場として読むことはできません。そこで次の節からは、統計と並べて見ます。

入口にはどんな共通点がある？

4社⁠の説明で目立つのは、ネットワーク機器や外部との接続口と、盗まれた認証情報です。メールに触れているのはカシオ計算機だけで、それも原因の一部としての記載です。

統計も同じ方向を指しています。警察庁の統計データ⁠で感染経路を見ると、次のとおりです。

2025年は、不審なメールや添付ファイルからの侵入が92件中2件でした。警察庁の2026年上半期の資料も、インターネットに露出した箇所からの侵入が多くを占め、標的型攻撃メールなどの添付ファイルによる感染は少なくなっていると説明しています。

ここから言えるのは、メール訓練だけでは入口の点検として足りないということです。メール対策を不要だと言っているわけではありません。社外から入れる機器の台数と更新の状況を、誰かが把握している状態を先に作ります。

アサヒグループHDは再発防止策として、リモートアクセスVPN装置の全面廃止と、ネットワーク機器を含むIT資産の管理徹底を挙げました。各社の答えは同じとは限りませんが、機器の棚卸しはどの会社でも始められます。

入られてから暗号化までに何が起きている？

暗号化は、侵入と同じ日に起きるとは限りません。アサヒグループHDの発表では、侵入は障害の約10日前と判明しています。その間に管理者権限を奪い、業務時間外を中心にサーバーへの侵入と偵察を繰り返したとみられると説明しています。

アスクルも、初期侵入のあとに偵察と認証情報の収集があり、EDRなどを無効化したうえでサーバー間を移動したと公表しました。使われたランサムウェアの中には、当時のシグネチャでは検知が難しいものも含まれていたとしています。

つまり入口を塞ぐだけでなく、入られた後の不審な動きに気づく仕組みと、夜間や休日にその知らせを誰が受けるかが問われます。製品を選ぶなら、EDRの製品比較で検知の方法と運用の体制を並べて見てください。EDRも無効化を試みられることがあるので、入れたから安心とは言えません。

復旧が長引くのはなぜ？

統計を見ると、復旧期間には大きな差があります。警察庁の統計データ⁠の2026年上半期の回答48件は、次の内訳です。

短く戻った組織がある一方で、2か月以上⁠と復旧中を合わせると21件あります。費用は回答35件⁠のうち21件⁠が1,000万円以上で、1億円以上⁠も4件ありました。

公表文を読むと、長引く理由は3つ⁠に分けられます。

1つ目は、データを戻すだけでは済まないことです。 アスクルは汚染の可能性を残した環境を部分的に直さず、新しい環境をゼロから作る方式を採りました。関通も、被害を受けた環境とは別に新環境を構築し、専門業者の確認を受けて順次再開したと説明しています。

2つ目は、バックアップの状態です。アスクルでは同じデータセンター内のバックアップも暗号化され、削除も確認されたため、一部システムの復旧に時間を要しました。アサヒグループHDは健全性を保つためバックアップシステムを一時停止し、安全性を確認したデータから復旧したと公表しています。保管方式を見直すときは法人向けバックアップの製品比較が入口になります。

3つ目は、調べる材料です。アスクルは通信ログとアクセスログの一部が失われ、閲覧された可能性のある情報の範囲を完全には特定できないと判断しました。調査の依頼先を平時に決めておくなら、フォレンジック調査サービスの比較で対応範囲を確かめられます。

製造業の会社に置き換えると？

たとえば、受注と生産指示を同じ社内サーバーで管理している部品メーカーの場合で考えます。これは説明のための例で、実際の会社の話ではありません。

機械と作業者が無事でも、どの品番をいくつ作るかが分からなければ、ラインは判断できません。カシオ計算機の報告にも部品の調達、生産、出荷の停止が並びます。止まるのは工場の機械より先に、情報の流れであることが多いと私たちは読んでいます。

このメーカーが備えるなら、次の4つ⁠を紙で持ちます。

• 主要な取引先ごとの直近の受注残と納期
• 止まっても出荷を続ける品番の優先順位
• 図面と検査記録の、業務サーバーとは別の保管先
• 取引先への連絡先と、手書き伝票の様式

どの品番を優先するかの判断は、事前なら社長と営業、工場長の会議で決められます。事故の当日に決めるのは難しいはずです。アサヒグループの場合の受注と出荷が止まった経過と製造業の教訓⁠は別の記事で詳しく追いました。

事例を読むときの注意は？

公表文の「原因」⁠は⁠、それぞれ調査の時点で判明した範囲の説明です。ログが失われている事案もあり、後から数字が変わることもあります。アサヒグループHDも、2025年11月⁠の発表のあと、2026年2月⁠に漏えいが確認された個人情報を追加で公表しました。

また、公表文を「この会社の落ち度」として読むと、自社の点検につながりません。各社が公表してくれたから、私たちも入口と復旧の実態を知ることができます。読む目的は、自社の機器とバックアップに当てはめることです。

事故の後に迫られる身代金を払うかどうかの判断材料は、平時に一度目を通しておくと当日の混乱を減らせます。用語から確かめたい人は、マルウェアとランサムウェアの違い⁠を先にどうぞ。