2025年9月29日、アサヒグループホールディングスはサイバー攻撃によるシステム障害を公表しました。ビールや飲料の受注・出荷が止まり、手作業での対応が続いたことは大きく報道されました。同社は2025年11月27日と2026年2月18日に、調査結果と再発防止策を公表しています。
この記事では、公表資料に書かれた事実だけをもとに、攻撃者がどこから入り、入った後に何をしたのかを時系列で整理します。そのうえで、規模の小さい会社でも同じ構造で被害が広がりうる点と、自社で確認しておきたいことをまとめます。特定の企業の対応を評価する記事ではありません。
公表された侵入から暗号化までの流れ
同社の公表資料（2026年2月18日）によれば、経緯は次のとおりです。
- 侵入（障害発生の約10日前） — 外部の攻撃者が、グループ内の拠点にあるネットワーク機器を経由してネットワークに侵入した。具体的な日時は特定できていない
- 管理者権限の奪取 — 主要なデータセンターに入り込み、パスワードの脆弱性をついて管理者権限を奪取した
- 侵入と偵察の繰り返し — 奪ったアカウントを不正利用してネットワーク内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返したとみられる
- 一斉暗号化（2025年9月29日） — ランサムウェアが一斉に実行され、ネットワークに接続する範囲で起動中の複数のサーバーや一部のパソコン端末のデータが暗号化された
- 遮断（同日午前11時ごろ） — ネットワークを遮断し、データセンターを隔離した
個人情報は、漏えいのおそれがあるものが約191万件（2025年11月26日時点）、漏えいが確認されたものが従業員約5,100件・取引先関係者約11万件（2026年2月18日時点）と公表されています。従業員に貸与していた一部のパソコンのデータが流出したことも確認されています。
被害の広さを決めたのは「入口」ではなく「侵入後のログイン」
報道では「ネットワーク機器から侵入された」という入口の話が注目されがちです。しかし公表資料を順に読むと、入口を通過してから暗号化までに約10日あり、その間に攻撃者がしていたのは、奪った管理者アカウントでサーバーに次々とログインし、中を調べることでした。
つまり、もし入口を通過された時点で、サーバーへのログインがパスワードだけでは通らない状態になっていれば、攻撃者は管理者アカウントを奪っても、それだけでは次のサーバーに入れなかったことになります。入口の対策と、入られた後に広げさせない対策は、別々に考える必要があります。
「パスワードの脆弱性」が意味すること
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
再発防止策から読み取れること
同社が公表した再発防止策のうち、認証と拡大に関わるものを抜き出すと次のとおりです。
- リモートアクセスVPN装置の全面廃止（入口）
- 攻撃された場合に他のパソコン端末へ拡大させない仕組みに対応した、ゼロトラストモデル対応のパソコン端末への完全移行
- 全システムでのネットワークの分離・接続の制限
- 全パソコン端末のEDR（不審な動きの検知・遮断）の設定強化
- 全システムにおけるパスワード変更および認証・権限管理の強化
- アカウントの作成・変更・削除の自動化
入口の廃止と並んで、「拡大させない」ための対策と「認証・権限管理の強化」が明記されています。大企業が侵入後の広がりを重く見ていることが分かります。
中小企業に置き換えると
データセンターや約300拠点という規模は中小企業とは違いますが、構造は同じです。社外から入る口（VPN、リモートデスクトップなど）があり、社内にはファイルサーバーや業務サーバー、社員のPCがあります。そして多くの会社で、メールやクラウドには多要素認証を入れていても、社内のWindows PCやサーバーへのログインはパスワードだけです。
この状態では、入口を1か所でも通過されれば、管理者のパスワードを1つ手に入れるだけで社内のサーバーやPCに次々とログインできてしまいます。中小企業は管理者パスワードを複数の端末で共通にしていることも多く、広がる速さはむしろ大企業より速い可能性があります（ローカル管理者パスワードの管理）。
自社で今日確認できること
- サーバーへのログインが、パスワードだけで通る状態になっていないか — 特に管理者アカウント（Windows Serverの特権アカウント管理）
- 管理者のパスワードを、複数のサーバーやPCで共通にしていないか
- 業務時間外のログインに気づける状態か — 今回の偵察は主に業務時間外でした（Windowsのログイン履歴の確認方法）
- VPNやリモートデスクトップの機器と、そのアカウントを把握しているか（VPN脆弱性対策）
方式の選び方はWindows OSログインの2要素認証、被害が広がった場合にかかる費用は不正アクセスの被害額で整理しています。
他の事例：侵入経路と、入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
- サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- アサヒグループホールディングス株式会社「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）
- 同「サイバー攻撃による情報漏えいに関する調査結果と今後の対応について」（2025年11月27日）
記事中の事実関係は、上記の公表内容（2026年10月15日時点で確認）に基づきます。
いまの運用を棚卸ししてみる
入口を通過された後、PCやサーバーのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。