🌎
アスクル追加公表から読み解くサイバー攻撃対応とガバナンス ー アサヒHD事案との比較
0. はじめに
先般、アサヒHDへのランサムウェア攻撃に関する考察を公開しており、同時期に発生したアスクルへの同種攻撃事象と比較したとき、企業毎の対応の違いから得られる学びがあると考え、少し考察をしてみました。
1. 本稿の構成
- 前提／注意事項
- アスクルの追加公表事項
- 公表事項から読み解く
- アサヒHD事案との対比
- 総括
2. 前提／注意事項
参照記事：アスクル、サイバー攻撃での情報漏洩は74万件 侵入に4カ月気づけず
アスクル社長が語ったサイバー攻撃の内幕 ロハコは「1月にも再開」
2025/12/19 時点における上記記事から追加公表事項を参照し、既に公開済みのアサヒHD事案における考察とを基に、ポイント毎の考察を行なっています。
アスクル事案については初期からの詳細な分析を行なっておらず、追加公表事項をベースに対比したケーススタディとして構成されています。
3. アスクルの追加公表事項
3-1. アスクルへの攻撃内容など
- 約4ヶ月間以上、攻撃者の侵入に気付けなかった
※ 2025/6/5：不正侵入 → 2025/10/19：攻撃検知 - 不正入手したIDなどで業務委託先のアカウントで侵入
- 7月以降に脆弱性対策ソフトを無効化され、時限装置付きランサムウェアが配置された
- 管理者権限取得目的にログインを試みて失敗した痕跡があった
- 2025/10/19 ランサムウェアが起動し、サーバ暗号化・バックアップファイル削除・情報窃取が成された
- 攻撃被害調査対象デバイスは7000台で、約100台にウィルスの痕跡が認められた
- PC／スマートフォン／サーバなどの「エンドポイント」と呼ばれる箇所を監視するためのEDRも一部で導入していたが無効化された
- サイバー攻撃後に攻撃概要・連絡先・脅迫文などが記載された同社吉岡社長のなりすましメールが社内数人に送信された
- 吉岡社長曰く「社員には『我々は加害者だ』と言っている」と顧客情報窃取、物流受託通販サイト停止の責任を反省する発言が記載されていた
3-2. アスクルの再発防止策
- 24時間365日の監視体制を敷くことを決定
検知ツール導入と即時対応体制を整備する
ネットワークや関連する周辺のシステム、アカウントがどのような動きをしているか多面的に監視する - 役職毎に閲覧出来る範囲の見直しも進める
- 全ての社外からのアクセスに多要素認証を徹底する
- 管理者権限の厳格な運用
- 従業員の再教育
- サイバー攻撃の痕跡を検知するセキュリティソフト「EDR」を導入する
- バックアップ環境をランサムウェア攻撃を想定して構築する
- 機器管理の厳格化
- 「新しい組織体制を考える必要がある。サイバーセキュリティに関して、ネットワークを即時遮断するなど全社を横断する権限を持つ事が重要だ。現状でもセキュリティ関連の役職はあるのでサイバーも含めて一本化する事も考える」と組織面での再発防止策として踏み込んだ発言をしている
4. 追加公表事項から読み解く
- どのようにID／パスワードが不正に使われたか不明ですが「パスワードを3ヶ月毎に更新必須とするようなセキュリティ対策は意味がない」とする最近の評価を覆す判断があるように感じました
少なくとも、古いままのID／パスワードの組合せが通用しない仕組みとしては効果があると考えます - 改竄検知ツールが導入されておらず、今後も導入が予定されていないようですが、攻撃準備フェーズにおいて潜伏中の活動痕跡から検知する事が可能だったと考えるので、追加対応が求められると判断しています
管理者権限取得に伴う痕跡／防御機能の無効化・弱体化／永続化設定の変更などで誤検知を少なくして効果を上げられるという認識です - セキュリティソフトが無効化されてランサムウェアが配置された時に侵入検知が出来ていなかったのは、基本的な死活監視が考慮されていなかったと思われ、再発防止策にも反映されていると考えています
運用現場の煩雑さからアラート対応業務の効率化を考慮した体制から、セキュリティを優先した体制に変更すれば、今後のリスクポイントとしては解消出来ると見込まれます
また管理者権限取得失敗の痕跡があることから、ログ監視で検知が難しくない想定なので、運用設計として見直されるべき事項であり、改善が検討されると想定しています
5. アサヒHD事案との対比
- 4ヶ月間以上 侵入に気付けなかった事は驚きですが、その後の対応は都度々々の公表のためかスピード感がアサヒHDよりも感じられ、事後対応における印象としては好感がもてる要素がありました
対策が十分でなかった点について、組織的な今後の再発防止策を含めて信頼感を高める効果が期待されると考えます - 今後のBCP再考についてアスクルとしては触れられておらず、改善後の復旧のスピード感は想像しにくいものの、CISOに近しい権限を持つ役職を検討している事から組織体制としては実効性が高まる事は間違い無く、問題はそれがどの程度になるかだと思います
- 比較的アサヒHDよりもセキュリティ対策が甘かった反省が、今後の再発防止策に滲んでいるように感じられました
6. 総括
セキュリティに詳しい専門家の評として「出来る事はやっている印象」というフレーズを記事でよく見かけますが、出来る対応のなかで地道な業務に漏れがあったのでは、と両社の事象を考察していて感じました。
セキュリティ対策の場合、どこかの対応が甘いと全体としての精度が大きく下がる分野のため、機能面よりもやはり非機能要件＋運用設計が実務として十分に考慮されなければいけない、と再認識した次第です。
Discussion