アスクルのランサムウェア被害(2025年10月公表)

概要

公表日

2025年10月19日

発生

2025年6月NaN日

検知・発覚

2025年10月19日

最新の公表

2025年12月12日

組織・業種

アスクル(無印良品・ロフトのECに波及)(EC・物流 / 小売・EC・アパレル)

漏えいした情報・件数

約74万件(事業所向けサービス約59万件、個人向けサービス約13.2万件、取引先約1.5万件、役員・社員約2,700件)。報道によっては「72万件以上」。クレジットカード情報は保有しない仕組みのため対象外

業務への影響

全ECサイトの受注・出荷が停止。2025-10-29に一部法人向けの限定出荷を開始し、2025年12月中旬に本格復旧の段階へ。物流を受託していた無印良品ネットストア(全面再開2025-12-15)とロフトのECも停止

業績への影響

2026年5月期第2四半期に特別損失52億1,600万円。通期は売上高17%減の4,001億円、営業損益174億円の赤字、最終損益221億円の赤字(前期は90億円の黒字)

犯行グループ(攻撃者の主張)

RansomHouseが2025-10-30ごろ犯行を主張。アスクルは2025-10-31に犯行声明を確認したと公表(攻撃者の特定は公表していない)

身代金

「攻撃者とは接触しておらず、身代金の支払いはもとより、いかなる交渉も行っていない」と公表

行政の対応

個人情報保護委員会と警察に報告

手口

ランサムウェア委託先・取引先経由盗まれた・弱いID/パスワード設定・管理の不備

何から手を付けるか迷ったら、無料で初動相談ができます →

経緯

1. 2025年6月5日

   業務委託先向けの管理者アカウントの認証情報で初期侵入される(調査報告で判明)。 [1]

2. 2025年10月19日

   ランサムウェアが複数のサーバに展開され、暗号化とバックアップの削除が行われる。同日、システム障害を公表し受注・出荷を停止。 [1]

3. 2025年10月29日

   医療機関・介護施設など一部の法人向けに、限定的な出荷を始める。 [3]

4. 2025年10月31日

   RansomHouseによる犯行声明を確認したと公表。同日、問い合わせ情報などの外部流出を確認したと公表。 [3]

5. 2025年12月12日

   調査結果と安全性強化の取り組みを公表(第13報)。約74万件の流出と、侵入経路・原因・再発防止策を示す。 [1]

6. 2025年12月15日

   無印良品ネットストアが全面再開。 [5]

7. 2026年1月28日

   特別損失52億1,600万円を計上し、通期業績予想を取り下げ。中間配当は無配に。 [6]

8. 2026年7月3日

   2026年5月期決算を発表。最終損益は221億円の赤字。 [7]

侵入経路と原因

2025-12-12の調査報告によると、攻撃者は業務委託先に付与していた管理者アカウントのIDとパスワードを使って侵入しました。社内では多要素認証を広く使っていましたが、このアカウントだけは例外的に適用していませんでした。認証情報が漏れた経緯は、当時のログが削除されていたため特定が難しいとしています。

初期侵入は2025-06-05です。攻撃者はそこからネットワークを偵察して認証情報を集め、EDR(端末の不審な動きを検知する仕組み)などのセキュリティソフトを無効化し、サーバ間を移動しました。外部クラウドサービス上の問い合わせ管理システムのアカウントも窃取されています。

2025-10-19、攻撃者は複数種のランサムウェアを複数のサーバに展開し、ファイルの暗号化とバックアップの削除を行いました。報告書は、被害を受けたデータセンターにはEDRが入っておらず、当時のEDRのシグネチャでは検知が難しいランサムウェアも含まれていたことを、検知が遅れた要因に挙げています。また、ランサムウェアを想定したバックアップの環境がなかったことを、復旧が長引いた要因としています。

影響

流出した情報は約74万件です。事業所向けサービスの顧客情報が約59万件、個人向けサービスが約13.2万件、取引先が約1.5万件、役員・社員が約2,700件でした。報道によっては「72万件以上」とされています。クレジットカード情報は保有しない仕組みのため含まれていません。

業務では、法人向け「ASKUL」「ソロエルアリーナ」と個人向け「LOHACO」の受注・出荷が止まりました。物流システムが使えなくなり、10月29日から一部の法人向けに限定出荷を始め、12月中旬に本格的な復旧の段階に入りました。基幹業務システムとECサイトなどのフロントのシステムには、侵害の痕跡はなかったとしています。物流を受託していた良品計画の「無印良品ネットストア」とロフトのECも止まり、無印良品ネットストアの全面再開は2025-12-15でした。

業績では、2026年5月期第2四半期に特別損失52億1,600万円(物流基盤の維持費用、調査・復旧費用、出荷期限切れ商品の評価損など)を計上しました。通期の売上高は17%減の4,001億円、営業損益は174億円の赤字、最終損益は221億円の赤字(前期は90億円の黒字)です。2027年5月期は40億円の黒字を見込んでいます。

会社の対応と再発防止策

アスクルは異常を検知したあと、感染の疑いがあるネットワークを物理的に切り離しました。10月31日に外部流出を確認したと公表し、個人情報保護委員会と警察に報告し、11月4日に専用の相談窓口を開きました。身代金については「犯罪行為を助長させないという社会的責任の観点から、攻撃者とは接触しておらず、身代金の支払いはもとより、いかなる交渉も行っておりません」と説明しています。

2025-12-12の報告では、再発防止策を3段階で示しました。短期では不正アクセス経路の遮断、多要素認証の徹底、残っている脅威の調査です。中期ではSOC(セキュリティ監視センター)による24時間365日の監視の高度化と、権限管理の仕組みの見直しです。長期ではNIST(米国立標準技術研究所)の枠組みに基づく定期的な評価と、事業継続計画(BCP)の見直しです。

経営面では、2026-01-28に通期業績予想を取り下げ、中間配当を無配としました。役員報酬は2026年1月から5月の支給分まで20%減額しています。

この事案から学べること

• 多要素認証を全体に入れていても、例外のアカウントが1つあれば、そこが入口になります。
• 委託先向けのアカウントは、自社の社員のアカウントより管理が緩くなりがちです。
• 初期侵入から暗号化まで4カ月以上ありました。EDRを止められても気づける監視が必要です。
• バックアップが同じネットワークにあれば、一緒に消されます。ランサムウェアを想定した分離が要ります。
• 物流を受託している会社が止まると、委託元のEC(この事案では無印良品・ロフト)も止まります。

自社で確認すること

1. 1 多要素認証をかけていない「例外」のアカウント(委託先・保守用・共有など)を一覧にしていますか。
2. 2 バックアップは、本番のネットワークから切り離した場所にもありますか。そこから戻せるか試しましたか。
3. 3 EDRなどのセキュリティソフトが止まったとき、その事実に気づける監視はありますか。

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2025年9月29日 ・ アサヒグループHD 国内の受注・出荷が停止。約191万件、営業減益要因400億円弱
• 2024年9月13日 ・ 関通 物流代行の倉庫管理システムが停止し、利用するEC事業者の出荷が止まる
• 2024年6月 ・ KADOKAWA ニコニコが約2カ月停止。25万人分が流出し、特別損失約20億円
• 2025年7月11日 ・ 審調社 保険会社の損害調査の委託先が被害。30社超に波及

よくあるご質問

アスクルはどこから侵入されたのですか。

調査報告によると、例外的に多要素認証をかけていなかった業務委託先向けの管理者アカウントのIDとパスワードが漏れ、不正に使われました。初期侵入は2025-06-05です。

身代金は支払ったのですか。

アスクルは、攻撃者とは接触しておらず、身代金の支払いも、いかなる交渉もしていないと公表しています。

業績への影響はどれくらいですか。

2026年5月期第2四半期に特別損失52億1,600万円を計上し、通期は221億円の最終赤字(前期は90億円の黒字)でした。

出典

1. アスクル、個人情報74万件漏えい 攻撃手法や初動対応を時系列順にまとめたレポートも公開 ↗ (ITmedia NEWS、2025-12-12)
2. アスクル、ランサムウェア攻撃の詳細な調査結果を公開～個人情報など72万件以上の流出確認 ↗ (INTERNET Watch、2025-12-16)
3. アスクル、ランサムウェア攻撃の犯行声明を確認 影響範囲は調査中 ↗ (Impress Watch、2025-10-31)
4. アスクル、ランサムウェア攻撃で外部流出を確認 問い合わせ情報など ↗ (Impress Watch、2025-10-31)
5. アスクルのシステム障害、復旧見えず 無印良品とロフトはEC停止 ↗ (日本経済新聞)
6. ランサム被害のアスクル、障害対応費用で特損52億円 業績予想取り下げ、中間配当は無配に ↗ (ITmedia NEWS、2026-01-28)
7. アスクル26年5月期、221億円の最終赤字 サイバー攻撃で打撃 ↗ (日本経済新聞、2026-07-03)