2025年10月19日、アスクルはランサムウェア攻撃によるシステム障害を公表しました。物流センターの出荷が全面的に止まり、法人向けの「ASKUL」や個人向けの「LOHACO」が長期間停止しました。同社は2025年12月12日、外部専門機関の調査結果をまとめた第13報を公表しています。
この記事では、第13報と報道をもとに、攻撃者がどう入り、入った後に何をしたのかを整理し、中小企業が自社で確認しておきたいことをまとめます。特定の企業の対応を評価する記事ではありません。第13報は「本件に高いご関心をお寄せいただいている企業・組織におけるサイバー攻撃対策の一助」となることを目的に詳細を開示しており、その趣旨に沿って読み解きます。
公表された攻撃の流れ
第13報の「攻撃手法の詳細分析」によれば、流れは次のとおりです。
- 侵入 — 攻撃者は、ネットワーク内に侵入するために認証情報を窃取し不正に使用したと推定される
- 偵察と認証情報の収集 — 初期侵入の後、ネットワークの偵察を開始し、複数のサーバにアクセスするための認証情報の収集を試みた
- 検知の無効化と移動 — EDR等のセキュリティソフトを無効化したうえで、複数のサーバ間を移動し、必要な権限を取得してネットワーク全体へのアクセス能力を得た
- 暗号化とバックアップ削除 — ランサムウェアを複数のサーバに展開して一斉に暗号化し、同時にバックアップファイルも削除した
さらに、何らかの形で外部クラウドサービス上のお問い合わせ管理システムのアカウントも窃取され、情報の一部が流出しました。流出が確認された個人情報は約74万件と報じられています。一部の通信ログ・アクセスログが失われていたため、閲覧された可能性のある範囲を完全に特定するのは困難とされています。
侵入の糸口は「多要素認証のない管理者アカウント」
IT Leadersの報道（2025年12月15日）によれば、侵入経路は業務委託先が使用していた管理者アカウントの認証情報の漏えいで、そのアカウントに多要素認証（MFA）が適用されていなかったことが突破口になりました。同報道では、攻撃者は窃取したIDとパスワードでVPN経由で社内ネットワークに入ったとされています。
同社は初動対応として、全管理者アカウントを含む主要なアカウントのパスワードをリセットし、主要なシステムに多要素認証を適用しました。再発防止策には「全リモートアクセスのMFA必須化」が挙げられています。
例外のアカウントが1つあれば、そこが入口になる
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
入られた後に、サーバーの認証情報が集められた
第13報で注目したいのは、攻撃者が侵入後に複数のサーバにアクセスするための認証情報を集めたうえでサーバー間を移動した、という点です。入口のアカウント1つで全体に入れたわけではなく、中で認証情報を集めながら範囲を広げています。
言い換えれば、社内のサーバーへのログインがパスワードだけで通る状態だと、集めたパスワードがそのまま次のサーバーへの鍵になります。入口に加えて、社内のサーバーやPCのログインにも2つ目の要素があれば、集めたパスワードだけでは次に進めません。
社内のWindows PC・サーバーへのログインを、社員のスマホでのワンタッチ承認にできます。集められたパスワードだけでは、次のサーバーにログインできません製品サイトを見る（アプリップリキー）中小企業で確認しておきたいこと
- 多要素認証の「例外」になっているアカウントはないか — 委託先の保守用、管理者、共用、サービス用（委託先・外部業者のアカウント管理、サービスアカウントの管理）
- 委託先に発行したVPNやリモート接続のアカウントを、いつ誰に発行したか把握しているか — 使われていないものは止める
- 社内のサーバー・PCへのログインがパスワードだけで通らないか — 入口を通過された後の備え（Windows OSログインの2要素認証）
- バックアップが、同じネットワーク・同じ管理者アカウントで消せる場所にないか
多要素認証でも防ぎきれない経路があることはランサムウェア対策としての多要素認証、委託先経由の攻撃全般はサプライチェーン攻撃で整理しています。
他の事例：侵入経路と、入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- アスクル株式会社「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第13報）」（2025年12月12日、PR TIMES掲載）
- IT Leaders「アスクル、ランサムウェア被害の調査結果を公表─原因は委託先アカウントの漏洩」（2025年12月15日）
記事中の事実関係は、上記の公表内容と報道（2026年10月15日時点で確認）に基づきます。
いまの運用を棚卸ししてみる
多要素認証の例外になっているアカウントや、パスワードだけで通るPC・サーバーのログインが残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。