見出し画像

【2025年9月】アサヒビールの事例から学ぶ!サイバー被害にあわないために企業と個人がすべきこと

wako|働き方とITの情報発信

はじめに

2025年9月29日、日本に衝撃が走りました。スーパーの棚から「アサヒスーパードライ」が消えたのです。この原因は自然災害でも物流問題でもなく、サイバー攻撃でした。

アサヒグループホールディングスがランサムウェア攻撃を受け、全国30の工場が生産停止、受注・出荷業務が全面ストップ。飲食店では「在庫が残り1本」という事態に陥り、ビール好きの方々にとっては悪夢のような状況となりました。

この事件は「サイバー攻撃は大企業だけの問題ではない」ということを改めて証明しました。中小企業も、個人事業主も、そして私たち個人も、いつ被害者になってもおかしくない時代なのです。

本記事では、ITエンジニアの視点から、アサヒビールの事例を徹底分析し、企業と個人がサイバー被害にあわないために具体的に何をすべきかを解説します。

※この記事はAmazonアソシエイト・プログラム参加者に参加しています


アサヒビール事件の全貌:何が起きたのか

被害の規模と影響

2025年9月29日午前7時頃、アサヒグループホールディングスは正体不明のサイバー攻撃を受けました。その後の調査で、この攻撃が「ランサムウェア」によるものだったことが判明します。

被害の内容

  • 国内30の生産工場がほぼ全面停止

  • 受注・出荷業務が完全ストップ

  • コールセンター業務の停止

  • 社外からのメール受信が不可能に

  • 情報漏えいの可能性を示す痕跡を確認

影響は単にアサヒだけにとどまりませんでした。2017年から始まった共同物流網により、キリン、サッポロといった他社ブランドの製品も供給遅延が発生。小売店では「在庫は1週間も持たない」という声が上がり、飲食店では看板商品のビールが提供できない危機的状況に陥りました。

ランサムウェアとは何か

今回の攻撃に使われた「ランサムウェア」について理解しておきましょう。

ランサムウェアは「Ransom(身代金)」と「Software(ソフトウェア)」を組み合わせた造語です。その名の通り、被害者のコンピューターやサーバーのデータを暗号化して使用不能にし、復号化と引き換えに身代金を要求する悪質なプログラムです。

近年の特徴

  • データ暗号化だけでなく、データを窃取する「二重恐喝型」が主流

  • VPN機器などネットワーク機器の脆弱性を突いた侵入が増加

  • 中小企業を踏み台にして大企業を攻撃する「サプライチェーン攻撃」の増加

  • データを暗号化せずに窃取だけする「ノーウェアランサム」も出現

アサヒの事例でも、情報漏えいの可能性が確認されており、二重恐喝型の攻撃だった可能性が高いと考えられます。

復旧までの道のり

アサヒグループは被害を最小限に抑えるため、障害が発生したシステムを即座に遮断する措置を講じました。その結果、10月初旬には部分的に手作業での受注を再開し、順次出荷を開始しています。

しかし、神戸大学の森井昌克名誉教授によれば「完全な復旧となると2〜3カ月、あるいは半年かかる可能性がある」とのこと。専門家も「しっかりとしたサイバー攻撃対策をしていても、完璧ということはない」と指摘しています。

なぜ中小企業が狙われるのか

サイバー攻撃の実態:中小企業が危ない

「うちは中小企業だから狙われない」——これは最も危険な誤解です。

経済産業省とIPAが実施した「2024年度中小企業における情報セキュリティ対策に関する実態調査」では、衝撃的な事実が明らかになりました。

中小企業を取り巻く厳しい現実

  • ランサムウェア被害企業の約6割が中小企業

  • サイバー攻撃の7割が取引先にも影響を及ぼす「サイバードミノ」現象

  • 2023年度にサイバーインシデントを経験した中小企業の平均被害額は73万円

  • 最大被害額は1億円、復旧に最大360日を要したケースも

なぜ中小企業が標的になるのか

攻撃者が中小企業を狙う理由は明確です。

  1. セキュリティ対策の不十分さ

    • 中小企業の69.7%が「組織的な対策を行っていない」

    • 62.6%が「情報セキュリティ対策投資をしていない」

  2. 人材不足

    • 社内に専門知識を持った人材がいない(44.7%)

    • 専任のセキュリティ人材を確保できていない(40.4%)

  3. サプライチェーンの踏み台として

    • 中小企業を経由して大企業に侵入する手口が増加

    • 2022年の小島プレス工業への攻撃では、トヨタ自動車の国内14工場が操業停止に

セキュリティ対策のメリット

一方で、適切な対策を行うことは、単なるコストではなくビジネスチャンスでもあります。

調査によれば、普段からサイバーセキュリティ対策投資を行っている企業は、そうでない企業の2倍近く取引につながっています。セキュリティ体制が整備されている企業の59.8%が「対策が取引につながった」と回答しているのに対し、体制が整っていない企業ではわずか24.2%でした。

企業が今すぐすべき具体的対策

基本の「き」:すべての企業が実施すべき対策

1. OSとソフトウェアの最新化

最も基本的で、最も重要な対策です。2023年度の不正アクセス被害のうち、48.0%が「脆弱性(セキュリティパッチの未適用等)を突かれた」ことが原因でした。

実施すべきこと

  • Windows Updateの自動更新を有効化

  • Webブラウザ、Java、Flashなどのプラグインを常に最新状態に

  • VPN機器を含むネットワーク機器のファームウェア更新を定期的に実施

アサヒの取引先であった企業の事例では、VPN装置が旧型でアップデートプログラムが提供されていなかったことが侵入を許す要因となりました。

2. 強固なパスワード管理

不正アクセス被害の36.8%が「ID・パスワードをだまし取られた」ことによるものです。

パスワードポリシーの確立

  • 大文字・小文字・数字・記号を組み合わせた12文字以上

  • 「password」「12345678」「qwerty」などの安易なパスワードは厳禁

  • 複数のサービスで同じパスワードを使い回さない

  • 定期的な変更(3〜6ヶ月ごと)

さらに、多要素認証(2FA)の導入は必須です。IPアドレスによるアクセス制限と組み合わせれば、セキュリティレベルは大幅に向上します。

3. バックアップの徹底

ランサムウェアに感染してデータが暗号化されても、適切なバックアップがあれば復旧可能です。

効果的なバックアップ戦略

  • 定期的なバックアップスケジュールの設定(日次、週次)

  • 重要:バックアップ完了後はネットワークから切り離してオフライン保存

  • 外付けHDDやNASを利用する場合、ネットワーク共有を無効化

  • クラウドサービスとローカルバックアップの併用

  • 定期的にバックアップからの復旧テストを実施

ネットワークに接続されたままのバックアップは、ランサムウェアに感染したパソコンからアクセスされ、バックアップデータも暗号化されてしまう危険があります。

4. セキュリティポリシーの策定

組織全体で情報セキュリティを保つための基本ルールを文書化しましょう。

セキュリティポリシーに含めるべき内容

  • パスワードポリシー

  • アクセス制御(必要最小限の権限付与)

  • データ取り扱いルール

  • インシデント発生時の対応手順

  • 従業員への教育・訓練計画

IPAの「中小企業の情報セキュリティ対策ガイドライン」には、セキュリティポリシーのサンプルが用意されており、これをベースにカスタマイズすることができます。

中級対策:一歩進んだセキュリティ対策

5. セキュリティソフトの導入と管理

総合セキュリティ対策ソフトの導入は、多層防御の要です。

推奨される機能

  • リアルタイムスキャン

  • ランサムウェア対策機能

  • Webフィルタリング(悪意あるWebサイトへのアクセスブロック)

  • メール送信ドメイン認証機能

  • EDR(Endpoint Detection and Response)機能

セキュリティソフトの選び方 ウイルス対策ソフトだけでなく、EDR(エンドポイント検出・対応)機能を持つ製品を検討しましょう。EDRは、各端末での不審な挙動を検知し、迅速な対処を可能にします。

[商品リンク挿入箇所:企業向けセキュリティソフト]

6. ネットワーク監視とアクセス制限

UTM(統合脅威管理)の導入

  • 外部と社内ネットワークの間に監視装置を設置

  • ファイアウォール、IDS/IPSで不審な通信を制限

  • 社内ネットワークを包括的に監視

ユーザー権限の最小化

  • 各ユーザーアカウントに必要最小限の権限のみを付与

  • アクセス可能なネットワーク範囲の限定

  • 管理者権限の厳格な管理

これにより、万が一ランサムウェアが侵入しても、暗号化される範囲を最小限に抑えることができます。

7. 従業員教育とセキュリティリテラシーの向上

技術的対策だけでは不十分です。従業員一人ひとりのセキュリティ意識向上が不可欠です。

教育プログラムに含めるべき内容

  • フィッシングメールの見分け方

  • 不審な添付ファイル・リンクへの対応

  • USBメモリーなど外部記憶媒体の取り扱い

  • ソーシャルエンジニアリング攻撃への警戒

  • インシデント発生時の初動対応

定期的な訓練(例:模擬フィッシングメール送信)を実施し、従業員の対応力を高めましょう。

上級対策:リソースに余裕がある企業向け

8. MDR(Managed Detection and Response)サービスの活用

社内にセキュリティ専門家がいない場合でも、MDRサービスを利用すれば高度なセキュリティ対策が可能です。

MDRの特徴

  • 24時間365日の監視・運用

  • 専門家による脅威の検知と分析

  • インシデント発生時の初動対応支援

  • 定期的なセキュリティレポート

キヤノンMJの調査では、中小企業の半数以上がMDRの導入を検討しており、高度なセキュリティへの関心の高まりが見られます。

9. サイバーリスク保険の検討

近年、サイバー攻撃発生時の技術支援だけでなく、記者会見や広報対応までカバーするサイバーリスク保険が登場しています。

保険でカバーできる範囲

  • 事故対応費用(調査、復旧、通知等)

  • 損害賠償責任

  • 事業中断による損失

  • サイバー恐喝対応費用

  • 専門家による初動対応支援

「いつ起きてもおかしくない」時代だからこそ、外部パートナーと保険の二本立てで備えることが現実的なリスクマネジメントです。

中小企業向け支援制度の活用

「コストがかかりすぎる」「何から始めればいいかわからない」という中小企業のために、国や自治体が様々な支援制度を用意しています。

サイバーセキュリティお助け隊サービス

IPAと経済産業省が推進する、中小企業向けの安価なセキュリティサービスです。

サービス内容

  • UTM機器設置による社内ネットワーク監視

  • EDR導入による端末監視

  • セキュリティの専門家による支援(最大4回)

  • SECURITY ACTION二つ星宣言へのサポート

実際に導入した中小企業からは「導入が容易」「コスト削減につながる」といった声が寄せられています。

IT導入補助金

サイバーセキュリティお助け隊サービスの利用料は、IT導入補助金の対象となっています。初期費用の負担を軽減しながら、本格的なセキュリティ対策を始めることができます。

SECURITY ACTION宣言

中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度です。

メリット

  • 取引先への信頼性アピール

  • 社内のセキュリティ意識向上

  • IT関連補助金の受給要件を満たす

「一つ星」と「二つ星」があり、二つ星ではセキュリティ基本方針の策定が求められます。

個人ができるサイバー攻撃対策

企業だけでなく、個人もランサムウェアの標的になり得ます。家庭のパソコンが感染すれば、家族の写真やビデオ、重要な書類が暗号化されてしまいます。

メールの取り扱いに注意

実践すべきルール

  • 差出人に見覚えのないメールは開かない

  • 知人からのメールでも、不審な添付ファイルは開封前にウイルススキャン

  • メール本文のURLを安易にクリックしない

  • 個人情報の提供を求めるメールは、まず送信元の確認を

「支払い請求書」「荷物の配達通知」「ショッピングの注文確認」など、日本語で巧妙に書かれたフィッシングメールが増えています。

信頼できるソースからのみソフトウェアをダウンロード

安全なダウンロードのために

  • 公式サイトや公式アプリストアからのみダウンロード

  • 出所不明のフリーソフトは避ける

  • ダウンロード後はウイルススキャンを実行

  • ファイル共有サイトからのダウンロードは特に注意

公衆Wi-Fiの使用を控える

公衆Wi-Fi利用時のリスク

  • 通信内容の盗聴

  • 中間者攻撃(Man-in-the-Middle Attack)

  • マルウェア配布

どうしても公衆Wi-Fiを使用する必要がある場合は、VPNサービスを利用して通信を暗号化しましょう。

個人向けセキュリティソフトの導入

家庭のパソコンにも、信頼できるセキュリティソフトをインストールし、常に最新の状態に保ちましょう。

セキュリティソフトの機能

  • リアルタイムスキャン

  • ランサムウェア対策

  • フィッシング詐欺対策

  • 安全なWebブラウジング

バックアップの習慣化

個人でも定期的なバックアップは重要です。

個人向けバックアップ戦略

  • 外付けHDDへの週次バックアップ

  • クラウドストレージ(Google Drive、OneDriveなど)の活用

  • 大切な写真や動画は複数の場所に保存

  • バックアップ後は外付けHDDを取り外しておく

OSとアプリケーションの更新

個人のパソコンやスマートフォンでも、OSとアプリケーションを常に最新の状態に保つことが基本です。

自動更新の設定

  • Windows Update、macOSのソフトウェアアップデートを自動化

  • スマートフォンのOSとアプリも自動更新を有効化

  • ブラウザ、Officeソフトなども最新バージョンに

もしもランサムウェアに感染してしまったら

万が一、感染が疑われる場合の対処法を知っておきましょう。

初動対応が重要

感染を確認したら直ちに実施すべきこと

  1. ネットワークから即座に遮断

    • LANケーブルを抜く

    • Wi-Fiをオフにする

    • 他のデバイスへの感染拡大を防ぐ

  2. 電源は切らない

    • 調査に必要なログが消失する可能性がある

    • そのままの状態で専門家に相談

  3. 身代金要求には応じない

    • 支払っても復旧する保証はない

    • 攻撃者の資金源となり、被害を拡大させる

    • 警察や専門機関に相談する

専門機関への連絡

相談先

  • 警察(都道府県警察のサイバー犯罪相談窓口)

  • IPA(独立行政法人情報処理推進機構)

  • 日本サイバー犯罪対策センター(JC3)

これらの機関では、ランサムウェア被害の通報受付や対応のアドバイスを行っています。

復号ツールの確認

一部のランサムウェアについては、「No More Ransom」プロジェクトのウェブサイトで復号ツールが公開されています。

注意点

  • すべてのランサムウェアに対応しているわけではない

  • バージョン違いで使えない場合がある

  • 復号前に専門家への相談を推奨

感染原因の調査と再発防止

感染したデバイスだけでなく、組織全体のシステムを調査し、侵入経路を特定することが重要です。

調査のポイント

  • ログの確認(ネットワーク、サーバー、端末)

  • 脆弱性の特定と対策

  • セキュリティポリシーの見直し

  • 従業員への再教育

参考になるガイドラインとリソース

IPAのガイドライン

中小企業の情報セキュリティ対策ガイドライン第3.1版

  • 経営者が認識すべき指針

  • 実践的な対策手順

  • 具体的なチェックリスト

  • インシデント対応の手引き

付録として、セキュリティポリシーのサンプルや5分でできる自社診断ツールも用意されています。

警察庁のランサムウェア対策ページ

最新の脅威情報や具体的な対策方法が掲載されています。実際の被害事例も紹介されており、リアルな脅威を理解するのに役立ちます。

政府広報オンライン

「ランサムウェア、あなたの会社も標的に?被害を防ぐためにやるべきこと」では、図解入りでわかりやすく対策が説明されています。

書籍で学ぶ

サイバーセキュリティについて体系的に学びたい方には、以下のような書籍がおすすめです。

  • 「サイバーセキュリティ入門」系の書籍

  • 「中小企業のための情報セキュリティ対策」系の実践書

まとめ:今日から始めるセキュリティ対策

アサヒビールの事例が示すように、サイバー攻撃はもはや「対岸の火事」ではありません。大企業だけでなく、中小企業も、そして個人も、いつ被害者になってもおかしくない時代です。

しかし、適切な対策を講じることで、リスクを大幅に減らすことができます。

今日からできる最優先アクション

企業の場合

  1. OSとソフトウェアの更新状況を確認し、最新化する

  2. 強固なパスワードポリシーを策定し、多要素認証を導入する

  3. バックアップ体制を見直し、オフライン保存を徹底する

  4. IPAの「5分でできる自社診断」を実施する

  5. サイバーセキュリティお助け隊サービスへの問い合わせを検討する

個人の場合

  1. パソコンとスマートフォンのOSを最新版に更新する

  2. セキュリティソフトをインストール(未導入の場合)

  3. 重要なデータのバックアップを取る

  4. 不審なメールへの対応ルールを家族で共有する

  5. パスワードマネージャーの導入を検討する

セキュリティは投資である

セキュリティ対策は「コスト」ではなく「投資」です。調査によれば、適切な対策を行っている企業は、取引機会が2倍近く増加しています。また、一度サイバー攻撃を受けた場合の被害額は、平均73万円、最大で1億円に達します。

予防にかかるコストは、被害を受けた後の損失と比べれば、はるかに小さいものです。

継続的な取り組みが重要

サイバーセキュリティは「一度対策すれば終わり」ではありません。攻撃手法は日々進化しており、継続的な見直しと改善が必要です。

継続的に行うべきこと

  • 定期的なセキュリティ診断(年1〜2回)

  • 従業員への教育・訓練(四半期ごと)

  • システムとポリシーの見直し(半年〜1年ごと)

  • 最新の脅威情報のキャッチアップ

最後に

アサヒビールの事例は、サイバーセキュリティの重要性を改めて私たちに教えてくれました。「まさか自分が」と思っている間に、攻撃者はあなたの企業、あなたのパソコンを狙っているかもしれません。

しかし、適切な知識と対策があれば、被害を防ぐことができます。この記事が、あなたのセキュリティ対策の第一歩となれば幸いです。

サイバー攻撃から身を守るために、今日から行動を始めましょう。

参考リンク

  • IPA「中小企業の情報セキュリティ対策ガイドライン」:https://www.ipa.go.jp/security/guide/sme/about.html

  • 経済産業省「サイバーセキュリティ対策」:https://www.meti.go.jp/policy/netsecurity/sme-guide.html

  • サイバーセキュリティお助け隊サービス:https://www.ipa.go.jp/security/otasuketai-pr/

  • 警察庁「ランサムウェア被害防止対策」:https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html

  • No More Ransomプロジェクト(復号ツール):https://www.nomoreransom.org/ja/index.html

注記 本記事の情報は2025年10月時点のものです。サイバーセキュリティの状況は日々変化しますので、最新情報は上記リンク先や専門機関にご確認ください。

いいなと思ったら応援しよう！