アサヒのサイバー攻撃はどうなった？公式発表で確かめた経過と製造業の教訓

アサヒグループのサイバー攻撃は、2025年9月29日⁠に受注と出荷のシステムを止め、システムによる受注の再開は同年12月⁠、物流全体の正常化は2026年2月でした。この記事は、2026年11月6日までに私たちが確認できた同社の公式発表と警察庁の資料だけで経過を追います。

今日やることは、自社の受注と出荷が3か月システムなしになった場合の回し方を、営業と物流の担当者に聞くことです。電話やFAXで受ける様式はあるか、どの品目から出荷するかを誰が決めるか。答えが出ないなら、そこから決めます。

いつ、何が起きた？

経過を公式発表の日付で並べます。

障害の発生からEOS受注の再開まで、アサヒビールとアサヒ飲料では65日です。その間も、手作業で受注と出荷を続けていました。カテゴリ全体の話はランサムウェアの記事一覧⁠にあります。

原因は何だと公表されている？

2026年2月の発表⁠によると、経路は次のとおりです。日時は特定できないものの、障害の約10日前に、攻撃者がグループ拠点のネットワーク機器を経由して侵入しました。

その後、主要なデータセンターに入り込み、パスワードの脆弱性を突いて管理者権限を奪取します。奪ったアカウントでネットワーク内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返したとみられています。

9月29日に、ランサムウェアが一斉に実行されました。起動中の複数のサーバーと一部のパソコンのデータが暗号化され、一部のパソコンからは情報も盗まれました。

2026年7月の開示⁠で同社は、情報システムの基盤の一部で、規程に基づく権限管理を含む運用管理が十分に実施されていなかったと認識を示しています。規程があっても、運用が届かない部分は残り得るという説明です。

業績への影響はどのくらい？

2025年12月期の決算短信⁠によると、日本・東アジアの売上収益は1兆3,271億円⁠で前期比3.7％減、事業利益は1,116億円⁠で同16.1％減でした。ただし、この減少には外食事業からの撤退や原材料関連費用の増加も含まれ、全てが攻撃の影響ではありません。

決算説明資料は、影響の概算として次の費用を示しています。

• 棚卸資産の廃棄や評価損、システム復旧の人件費、広告販促のキャンセル費などで170億円
• 2026年⁠の一時費用として、広告販促費などで60億円程度
• 同じく2026年⁠の情報セキュリティ費用で35億円程度

会社の規模が違うので、この金額を自社に当てはめても意味はありません。読み取りたいのは費用の種類です。システムの修理代だけでなく、廃棄、売り場の回復、セキュリティの強化まで費用が及びます。自社の場合に何が保険の対象になるかは、サイバー保険の比較で補償の範囲を見ておくと具体的になります。

製造業が学ぶ点は何か？

公表の範囲で読み取れることを、中小の製造業でも使える形にします。評価ではなく、自社の点検の材料としての整理です。

工場が無事でも、受注と出荷で止まる

最初の発表で止まったと書かれているのは、受注と出荷、コールセンターの業務です。私たちが読んだ公式発表の範囲では、工場の制御機器が攻撃されたという記述は確認できませんでした。

それでも商品の供給は制約を受けました。たとえば、部品メーカーがEDIで注文を受け、生産指示も同じサーバーから出している場合で考えてみてください。これは説明のための例です。機械が動いても、注文と指示が届かなければ作れません。

工場側の備えは、事務系のネットワークとの境目を確かめるところから始まります。工場向けOTセキュリティの比較は、その確認の入口として使えます。

手作業で回す手順と、品目の絞り込み

同社は手作業で受注を続け、2025年12月時点の取り扱いはアサヒビールで107品目でした。売上構成比では83％⁠にあたり、アサヒ飲料は350品目で95％⁠、アサヒグループ食品は944品目で98％です。

売上構成比の高い品目から戻したと読めます。それでも2025年10〜12月⁠の累計売上は前年比で、アサヒビールが8割台前半、アサヒ飲料が7割程度、アサヒグループ食品が9割程度でした。中小企業なら、売上上位の品番と納期が厳しい取引先を1枚⁠にまとめ、紙で保管しておくことが同じ備えにあたります。

遮断は誰が決めるか

障害の発生は午前7時ごろ、ネットワークの遮断とデータセンターの隔離は午前11時ごろでした。遮断すれば被害の広がりを抑えられますが、業務システムにはアクセスできなくなります。実際に、社外からのメールも受信できない状況になりました。

全部を止める判断を朝の数時間で下すのは、担当者には重すぎます。夜間や休日を含めて、誰が決めるのかを先に書いておきます。

バックアップは守って、確かめてから戻す

同社は健全性を保つためバックアップシステムを一時停止し、安全性を確認したデータからシステムを戻しました。影響を受けた全サーバーは、再構築後に健全性を確認しています。

中小企業でも、バックアップがあれば翌日に戻るとは考えないほうが安全です。戻す前に確認の工程が入ります。方式の違いは法人向けバックアップの製品比較で確かめられます。

取引先とのやり取りも再開に手順が要る

再開の順番も公表されています。健全性を確認したシステムから外部とのデータ連携を戻し、ファイルの授受はウイルス検知機能つきのクラウドストレージ経由で再開しました。メールは経路を作り直してから戻しています。

取引先の立場でも同じです。被害を受けた会社から「復旧した」⁠と連絡が来たとき、何を確認してから接続を戻すのか。自社の決まりを持っておくと、やり取りが早くなります。

経理と決算も止まる

経理関連を含むシステムを停止したことで、決算業務を実施できなくなったと同社は説明しています。2025年12月期の決算短信の公表は、2026年7月でした。

上場していない会社でも、請求書の発行、支払い、給与、月次の数字は止まります。銀行への説明や取引先への支払いをどうするかは、現場の手順とは別に考えておきます。

同社はどんな再発防止策を挙げた？

再発防止策の主なものは、リモートアクセスVPN装置の全面廃止、EDRの設定強化、全システムでのネットワーク分離、ログ分析と監視の自動化、復旧手順の定期的な見直しと訓練です。情報セキュリティを管轄する独立した組織と専任の担当役員も置くとしています。

全部を中小企業がそのまま実行するのは現実的ではありません。ただ「誰が責任を持つか」⁠を決めることと、社外とつながる機器の棚卸しは、予算が少なくても始められます。

端末の不審な動きを見る仕組みを検討するなら、EDRの製品比較で運用の負担まで見てください。同社の事例だけに頼らず広く見るには、公式発表でわかる複数の事例の共通点を、用語の確認にはマルウェアとランサムウェアの違い⁠を読んでみてください。