# アスクルのランサムウェア被害(2025年10月公表)

> 2025-10-19に公表されたアスクルのランサムウェア被害について、侵入経路(多要素認証の例外だった委託先アカウント)、流出した情報(約74万件)、EC停止と221億円の最終赤字、再発防止策を、公式発表と報道の出典つきで時系列にまとめました。2026-10-06時点。

発行: 株式会社ウェステリア(https://westeria.jp) / 特集: 国内のデータ流出・不正アクセス事案まとめ(https://westeria.jp/security-incidents/) / 出典: https://westeria.jp/security-incidents/cases/askul-2025/

状態: 調査結果公表済み / 公開: 2026-10-06 / 最終更新: 2026-10-06

## 要点

- 2025-10-19にランサムウェアでシステム障害が起き、法人向け「ASKUL」と個人向け「LOHACO」の受注・出荷が止まりました。物流を受託していた無印良品とロフトのECも止まりました。
- 調査報告(2025-12-12)によると、入口は例外的に多要素認証をかけていなかった業務委託先向けの管理者アカウントでした。初期侵入は2025-06-05で、攻撃者はEDRを無効化し、バックアップも削除しました。
- 約74万件の情報が流出しました。特別損失52億1,600万円を計上し、2026年5月期は221億円の最終赤字です。会社は攻撃者と接触せず、身代金の支払いも交渉もしていないと公表しています。

## 概要

- 公表日: 2025年10月19日
- 発生: 2025年6月NaN日
- 検知・発覚: 2025年10月19日
- 最新の公表: 2025年12月12日
- 組織・業種: アスクル(無印良品・ロフトのECに波及)(EC・物流 / 小売・EC・アパレル)
- 手口: [ランサムウェア](https://westeria.jp/security-incidents/tactics/ransomware/)、[委託先・取引先経由](https://westeria.jp/security-incidents/tactics/supply-chain/)、[盗まれた・弱いID/パスワード](https://westeria.jp/security-incidents/tactics/stolen-credentials/)、[設定・管理の不備](https://westeria.jp/security-incidents/tactics/misconfig/)
- 漏えいした情報・件数: 約74万件(事業所向けサービス約59万件、個人向けサービス約13.2万件、取引先約1.5万件、役員・社員約2,700件)。報道によっては「72万件以上」。クレジットカード情報は保有しない仕組みのため対象外
- 業務への影響: 全ECサイトの受注・出荷が停止。2025-10-29に一部法人向けの限定出荷を開始し、2025年12月中旬に本格復旧の段階へ。物流を受託していた無印良品ネットストア(全面再開2025-12-15)とロフトのECも停止
- 業績への影響: 2026年5月期第2四半期に特別損失52億1,600万円。通期は売上高17%減の4,001億円、営業損益174億円の赤字、最終損益221億円の赤字(前期は90億円の黒字)
- 犯行グループ(攻撃者の主張): RansomHouseが2025-10-30ごろ犯行を主張。アスクルは2025-10-31に犯行声明を確認したと公表(攻撃者の特定は公表していない)
- 身代金: 「攻撃者とは接触しておらず、身代金の支払いはもとより、いかなる交渉も行っていない」と公表
- 行政の対応: 個人情報保護委員会と警察に報告

## 経緯

- 2025年6月5日: 業務委託先向けの管理者アカウントの認証情報で初期侵入される(調査報告で判明)。 [1]
- 2025年10月19日: ランサムウェアが複数のサーバに展開され、暗号化とバックアップの削除が行われる。同日、システム障害を公表し受注・出荷を停止。 [1]
- 2025年10月29日: 医療機関・介護施設など一部の法人向けに、限定的な出荷を始める。 [3]
- 2025年10月31日: RansomHouseによる犯行声明を確認したと公表。同日、問い合わせ情報などの外部流出を確認したと公表。 [3]
- 2025年12月12日: 調査結果と安全性強化の取り組みを公表(第13報)。約74万件の流出と、侵入経路・原因・再発防止策を示す。 [1]
- 2025年12月15日: 無印良品ネットストアが全面再開。 [5]
- 2026年1月28日: 特別損失52億1,600万円を計上し、通期業績予想を取り下げ。中間配当は無配に。 [6]
- 2026年7月3日: 2026年5月期決算を発表。最終損益は221億円の赤字。 [7]

## 侵入経路と原因

2025-12-12の調査報告によると、攻撃者は業務委託先に付与していた管理者アカウントのIDとパスワードを使って侵入しました。社内では多要素認証を広く使っていましたが、このアカウントだけは例外的に適用していませんでした。認証情報が漏れた経緯は、当時のログが削除されていたため特定が難しいとしています。

初期侵入は2025-06-05です。攻撃者はそこからネットワークを偵察して認証情報を集め、EDR(端末の不審な動きを検知する仕組み)などのセキュリティソフトを無効化し、サーバ間を移動しました。外部クラウドサービス上の問い合わせ管理システムのアカウントも窃取されています。

2025-10-19、攻撃者は複数種のランサムウェアを複数のサーバに展開し、ファイルの暗号化とバックアップの削除を行いました。報告書は、被害を受けたデータセンターにはEDRが入っておらず、当時のEDRのシグネチャでは検知が難しいランサムウェアも含まれていたことを、検知が遅れた要因に挙げています。また、ランサムウェアを想定したバックアップの環境がなかったことを、復旧が長引いた要因としています。

## 影響

流出した情報は約74万件です。事業所向けサービスの顧客情報が約59万件、個人向けサービスが約13.2万件、取引先が約1.5万件、役員・社員が約2,700件でした。報道によっては「72万件以上」とされています。クレジットカード情報は保有しない仕組みのため含まれていません。

業務では、法人向け「ASKUL」「ソロエルアリーナ」と個人向け「LOHACO」の受注・出荷が止まりました。物流システムが使えなくなり、10月29日から一部の法人向けに限定出荷を始め、12月中旬に本格的な復旧の段階に入りました。基幹業務システムとECサイトなどのフロントのシステムには、侵害の痕跡はなかったとしています。物流を受託していた良品計画の「無印良品ネットストア」とロフトのECも止まり、無印良品ネットストアの全面再開は2025-12-15でした。

業績では、2026年5月期第2四半期に特別損失52億1,600万円(物流基盤の維持費用、調査・復旧費用、出荷期限切れ商品の評価損など)を計上しました。通期の売上高は17%減の4,001億円、営業損益は174億円の赤字、最終損益は221億円の赤字(前期は90億円の黒字)です。2027年5月期は40億円の黒字を見込んでいます。

## 会社の対応と再発防止策

アスクルは異常を検知したあと、感染の疑いがあるネットワークを物理的に切り離しました。10月31日に外部流出を確認したと公表し、個人情報保護委員会と警察に報告し、11月4日に専用の相談窓口を開きました。身代金については「犯罪行為を助長させないという社会的責任の観点から、攻撃者とは接触しておらず、身代金の支払いはもとより、いかなる交渉も行っておりません」と説明しています。

2025-12-12の報告では、再発防止策を3段階で示しました。短期では不正アクセス経路の遮断、多要素認証の徹底、残っている脅威の調査です。中期ではSOC(セキュリティ監視センター)による24時間365日の監視の高度化と、権限管理の仕組みの見直しです。長期ではNIST(米国立標準技術研究所)の枠組みに基づく定期的な評価と、事業継続計画(BCP)の見直しです。

経営面では、2026-01-28に通期業績予想を取り下げ、中間配当を無配としました。役員報酬は2026年1月から5月の支給分まで20%減額しています。

## この事案から学べること

- 多要素認証を全体に入れていても、例外のアカウントが1つあれば、そこが入口になります。
- 委託先向けのアカウントは、自社の社員のアカウントより管理が緩くなりがちです。
- 初期侵入から暗号化まで4カ月以上ありました。EDRを止められても気づける監視が必要です。
- バックアップが同じネットワークにあれば、一緒に消されます。ランサムウェアを想定した分離が要ります。
- 物流を受託している会社が止まると、委託元のEC(この事案では無印良品・ロフト)も止まります。

## 自社で確認すること

- 多要素認証をかけていない「例外」のアカウント(委託先・保守用・共有など)を一覧にしていますか。
- バックアップは、本番のネットワークから切り離した場所にもありますか。そこから戻せるか試しましたか。
- EDRなどのセキュリティソフトが止まったとき、その事実に気づける監視はありますか。
- 確認項目の全体: https://westeria.jp/security-incidents/guide/checklist/

## よくあるご質問

### アスクルはどこから侵入されたのですか。

調査報告によると、例外的に多要素認証をかけていなかった業務委託先向けの管理者アカウントのIDとパスワードが漏れ、不正に使われました。初期侵入は2025-06-05です。

### 身代金は支払ったのですか。

アスクルは、攻撃者とは接触しておらず、身代金の支払いも、いかなる交渉もしていないと公表しています。

### 業績への影響はどれくらいですか。

2026年5月期第2四半期に特別損失52億1,600万円を計上し、通期は221億円の最終赤字(前期は90億円の黒字)でした。

## 出典

1. [アスクル、個人情報74万件漏えい 攻撃手法や初動対応を時系列順にまとめたレポートも公開](https://www.itmedia.co.jp/news/articles/2512/12/news106.html)(ITmedia NEWS、2025-12-12)
2. [アスクル、ランサムウェア攻撃の詳細な調査結果を公開～個人情報など72万件以上の流出確認](https://internet.watch.impress.co.jp/docs/news/2071318.html)(INTERNET Watch、2025-12-16)
3. [アスクル、ランサムウェア攻撃の犯行声明を確認 影響範囲は調査中](https://www.watch.impress.co.jp/docs/news/2059713.html)(Impress Watch、2025-10-31)
4. [アスクル、ランサムウェア攻撃で外部流出を確認 問い合わせ情報など](https://www.watch.impress.co.jp/docs/news/2059904.html)(Impress Watch、2025-10-31)
5. [アスクルのシステム障害、復旧見えず 無印良品とロフトはEC停止](https://www.nikkei.com/article/DGXZQOUC2017V0Q5A021C2000000/)(日本経済新聞)
6. [ランサム被害のアスクル、障害対応費用で特損52億円 業績予想取り下げ、中間配当は無配に](https://www.itmedia.co.jp/news/articles/2601/28/news137.html)(ITmedia NEWS、2026-01-28)
7. [アスクル26年5月期、221億円の最終赤字 サイバー攻撃で打撃](https://www.nikkei.com/article/DGXZQOUC032DY0T00C26A7000000/)(日本経済新聞、2026-07-03)

## 関連ページ

- 2025年の事案一覧: https://westeria.jp/security-incidents/2025/
- 事案まとめ(ハブ): https://westeria.jp/security-incidents/

---

株式会社ウェステリアはAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。本ページは公式発表と報道で確認できた事実だけをまとめたものです。