2025年9月29日、アサヒグループホールディングスはサイバー攻撃によるシステム障害を公表しました。ビールや飲料の受注・出荷が止まり、手作業での対応が続きました。
同社は2025年11月27日と2026年2月18日に、調査結果と再発防止策を公表しています。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
この記事では、公表資料の事実だけをもとに、攻撃者がどこから入り、入った後に何をしたのかを時系列で整理します。そのうえで、小さな会社でも同じ構造で広がりうる点と、自社で確認したいことをまとめます。
特定の企業の対応を評価する記事ではありません。
公表された侵入から暗号化までの流れ
同社の公表資料（2026年2月18日）による経緯を、5つの段階に分けます。
侵入から遮断まで
- 1
侵入
障害の約10日前。拠点のネットワーク機器から
- 2
管理者権限の奪取
データセンターでパスワードの脆弱性を突く
- 3
侵入と偵察の繰り返し
主に業務時間外、複数のサーバーへ
- 4
一斉暗号化
2025年9月29日
- 5
遮断
同日午前11時ごろ、データセンターを隔離
- 漏えいのおそれ — 個人情報約191万件（2025年11月27日時点）
- 漏えいを確認 — 従業員約5,100件・取引先関係者約11万件（2026年2月18日時点）
- PCのデータ — 従業員に貸与していた一部のパソコンのデータの流出も確認
被害の広さを決めたのは「入口」ではなく「侵入後のログイン」
報道で注目されたのは入口ですが、公表資料を順に読むと別の姿が見えます。
入口の通過から暗号化までに約10日あり、その間に攻撃者がしていたのは、奪った管理者アカウントでサーバーに次々とログインし、中を調べることでした。
もしサーバーへのログインがパスワードだけでは通らない状態なら、管理者アカウントを奪っても、それだけでは次のサーバーに入れなかったことになります。入口の対策と、入られた後に広げさせない対策は、別々に考える必要があります。
「パスワードの脆弱性」が意味すること
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
再発防止策から読み取れること
公表された再発防止策から、認証と拡大に関わるものを抜き出します。
- リモートアクセスVPN装置の全面廃止（入口）
- 攻撃された場合に他のパソコン端末へ拡大させない仕組みに対応した、ゼロトラストモデル対応のパソコン端末への完全移行
- 全システムでのネットワークの分離・接続の制限
- 全パソコン端末のEDR（不審な動きの検知・遮断）の設定強化
- 全システムにおけるパスワード変更および認証・権限管理の強化
- アカウントの作成・変更・削除の自動化
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る入口の廃止と並んで、「拡大させない」対策と「認証・権限管理の強化」が明記されています。侵入後の広がりを重く見ていることが分かります。
中小企業に置き換えると
規模は違っても、構造は同じです。
- 社外から入る口（VPN、リモートデスクトップなど）がある
- 社内にファイルサーバーや業務サーバー、社員のPCがある
- メールやクラウドには多要素認証があっても、社内のWindows PCやサーバーのログインはパスワードだけ
この状態では、入口を1か所通過されれば、管理者のパスワード1つで社内のサーバーやPCに次々とログインできます。
中小企業は管理者パスワードを複数の端末で共通にしていることも多く、その場合は同じ流れになりやすいと考えられます（ローカル管理者パスワードの管理）。
自社で今日確認できること
今回の流れに沿って、確かめたい4点です。
- サーバーへのログインが、パスワードだけで通る状態になっていないか — 特に管理者アカウント（Windows Serverの特権アカウント管理）
- 管理者のパスワードを、複数のサーバーやPCで共通にしていないか
- 業務時間外のログインに気づける状態か — 今回の偵察は主に業務時間外でした（Windowsのログイン履歴の確認方法）
- VPNやリモートデスクトップの機器と、そのアカウントを把握しているか（VPN脆弱性対策）
この4点を、サーバーやPCを1台ずつ開いて確かめるのは手間がかかります。アプリップリキーなら、全PC・サーバーのログイン記録を1画面で見られ、業務時間外のログインも日時で絞り込めます。偵察や防御の無効化といったランサムウェアの前兆はLINEに届くので、夜中でもその場で止められます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、管理者のパスワードだけでは次の端末に入れなくなります（PC版・サーバー版）。
自社なら普段の管理のどこで気づけるか
今回の公表では、入口の通過から暗号化までに約10日あり、その間の偵察は主に業務時間外でした。自社に置き換えると、気づける場面は普段の管理の中にあります。ログイン記録を1か所で見られるようにしておけば、朝に前日夜のログインを一覧で確かめるのは数分で済みます。夜間・休日は、異変があるときだけ担当者のLINEに届くので、何もない日は見に行かずに安心して休めます。経営層から「うちは同じことにならないか」と聞かれたときも、ログイン記録や2要素認証の設定状況を画面で見せて説明できます。
方式の選び方はWindows OSログインの2要素認証、被害が広がった場合にかかる費用は不正アクセスの被害額で整理しています。
他の事例：侵入経路と入られた後の広がり方
入口は違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
- サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- アサヒグループホールディングス株式会社「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）
- 同「サイバー攻撃による情報漏えいに関する調査結果と今後の対応について」（2025年11月27日）
- 同「サイバー攻撃によるシステム障害発生について」（2025年9月29日）
記事中の事実関係は、上記の公表内容（2026年10月15日時点で確認）に基づきます。
いまの運用を棚卸ししてみる
入口を通過された後、PCやサーバーのログインがどう守られているかを確かめます。
applippliの無料棚卸しでは、10問・約3分で、何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。