何が起きたか
2025年9月29日、アサヒグループが国内で管理するシステムに障害が発生し、国内グループ会社の受注・出荷やコールセンター業務が止まりました。同社の調査では、外部の攻撃者がネットワークへ侵入し、ランサムウェアで複数のサーバーと一部のパソコン端末のデータを暗号化していました。9月29日は障害とランサムウェア実行の日で、最初の侵入日ではありません。 同社の初報／2026年2月の調査結果
後の調査によると、攻撃者は障害の約10日前にグループ拠点のネットワーク機器を経由して侵入しました。正確な侵入日時は特定されていません。データセンターへ入り、管理者権限を奪って内部を探索したというその後の経過は、同社の見立てです。2026年2月の調査結果「1」
被害と影響
受注・出荷のシステム停止後、各社は手作業でも対応を続けました。物流関連システムによる受注は、アサヒグループ食品で2025年12月2日、アサヒビールとアサヒ飲料で同3日に再開。配送にかかる時間は2026年2月までに通常に戻ったと同社は報告しています。3社への影響を別々の攻撃事例として数えません。 同社の初報／2026年2月の調査結果「4」
情報については、実際に流出が確認されたものと、流出のおそれがあるものを分けて読む必要があります。
| 同社の区分 | 公表された範囲 | 確かさ |
|---|---|---|
| 従業員・退職者の個人情報 | 5,117件 | 2026年2月18日時点で流出を確認。 |
| 取引先の役員・従業員等の個人情報 | 110,396件 | 同時点で流出を確認。 |
| 顧客相談室への問い合わせ、従業員・家族、取引先等の個人情報 | 2026年7月17日の発表で5区分の対象件数を案内 | 流出のおそれがある対象。全件の流出確認ではない。 |
確認済みの5,117件と110,396件は件数であり、人数とは言い換えません。2026年7月17日の発表では、顧客相談室への問い合わせ152.5万件、慶弔関係先11.7万件、従業員・退職者10.7万件、その家族16.2万件、取引先等37.8万件を「漏えいのおそれ」のある対象として示しました。前の確認済み件数と足し合わせて、確定した流出総数にはしません。2026年2月の調査結果「5」／2026年7月の修正発表
同社は、一部の従業員用パソコン端末からデータが流出したことを確認しています。一方、データセンターのサーバー内にあった個人情報について、2026年7月時点の調査では外部に流出した事実は確認されていません。ただし、流出の可能性を完全には否定できない範囲として対象者へ案内しています。2026年2月の調査結果「2」／2026年7月の修正発表
出来事の時系列
| 日時 | 出来事 |
|---|---|
| 2025年9月29日の約10日前 | 後の調査で、グループ拠点のネットワーク機器を経由した侵入が判明。正確な日時は不明。 |
| 9月29日午前7時頃 | システム障害が発生。同日にランサムウェアが実行された。 |
| 同日午前11時頃 | ネットワーク遮断とデータセンター隔離。 |
| 同日 | システム障害と国内グループの業務停止を初めて公表。 |
| 10月3日 | 第2報でランサムウェア攻撃を確認したと公表。 |
| 11月27日 | 情報流出に関する当時の調査結果を公表。 |
| 12月2～3日 | 対象3社で物流関連システムを使った受注を順次再開。 |
| 2026年2月18日 | 侵入経路や確認済み情報流出件数、復旧状況を公表。 |
| 7月17日 | 「漏えいのおそれ」がある個人情報の対象範囲を修正。新たな攻撃の日付ではない。 |
時系列は初報、第2報、2026年2月の調査結果、2026年7月の修正発表によります。
まだ分かっていないこと
拠点のネットワーク機器へ攻撃者がどうアクセスしたか、最初の侵入の正確な日時は参照した発表では確認できません。また、7月に示された「漏えいのおそれ」の対象すべてが実際に流出したとは確認されていません。以前の発表にあった対象件数は7月に修正されているため、新旧の数値を合算しません。2026年2月の調査結果／2026年7月の修正発表
この事例から分かること
グループ拠点を経由した侵入が、国内の複数会社の受注・出荷にまで影響しました。企業側はネットワークを切り離し、安全性を確認したバックアップからシステムを復旧したと説明しています。2026年2月の調査結果「2」～「4」
個別通知を受けた人は、通知内容と同社の公式発表を確認できます。これは流出後に自分への影響を把握するための行動です。利用者の操作で今回の企業ネットワークへの侵入を防げたという意味ではありません。2026年7月の修正発表