2025年10月19日、アスクルはランサムウェア攻撃によるシステム障害を公表しました。物流センターの出荷が全面的に止まり、法人向けの「ASKUL」や個人向けの「LOHACO」が長期間停止しました。同社は2025年12月12日、外部専門機関の調査結果をまとめた第13報を公表しています。
この記事では、第13報と報道をもとに、攻撃者がどう入り、入った後に何をしたのかを整理し、中小企業が自社で確認しておきたいことをまとめます。特定の企業の対応を評価する記事ではありません。第13報は「本件に高いご関心をお寄せいただいている企業・組織におけるサイバー攻撃対策の一助」となることを目的に詳細を開示しており、その趣旨に沿って読み解きます。
公表された攻撃の流れ
第13報の「攻撃手法の詳細分析」によれば、流れは次のとおりです。
- 侵入 — 攻撃者は、ネットワーク内に侵入するために認証情報を窃取し不正に使用したと推定される
- 偵察と認証情報の収集 — 初期侵入の後、ネットワークの偵察を開始し、複数のサーバにアクセスするための認証情報の収集を試みた
- 検知の無効化と移動 — EDR等のセキュリティソフトを無効化したうえで、複数のサーバ間を移動し、必要な権限を取得してネットワーク全体へのアクセス能力を得た
- 暗号化とバックアップ削除 — ランサムウェアを複数のサーバに展開して一斉に暗号化し、同時にバックアップファイルも削除した
さらに、何らかの形で外部クラウドサービス上のお問い合わせ管理システムのアカウントも窃取され、情報の一部が流出しました。流出した個人・顧客情報の総数は約74万件と報じられています（IT Leaders）。一部の通信ログ・アクセスログが失われていたため、閲覧された可能性のある範囲を完全に特定するのは困難とされています。
侵入の糸口は「多要素認証のない管理者アカウント」
IT Leadersの報道（2025年12月15日）によれば、侵入経路は業務委託先が使用していた管理者アカウントの認証情報の漏えいで、そのアカウントに多要素認証（MFA）が適用されていなかったことが突破口になりました。同報道では、攻撃者は窃取したIDとパスワードでVPN経由で社内ネットワークに入ったとされています。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る同社は初動対応として、全管理者アカウントを含む主要なアカウントのパスワードをリセットし、主要なシステムに多要素認証を適用しました。再発防止策には「全リモートアクセスのMFA必須化」が挙げられています。
例外のアカウントが1つあれば、そこが入口になる
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
入られた後にサーバーの認証情報が集められた
第13報で注目したいのは、攻撃者が侵入後に複数のサーバにアクセスするための認証情報を集めたうえでサーバー間を移動した、という点です。入口のアカウント1つで全体に入れたわけではなく、中で認証情報を集めながら範囲を広げています。
言い換えれば、社内のサーバーへのログインがパスワードだけで通る状態だと、集めたパスワードがそのまま次のサーバーへの鍵になります。入口に加えて、社内のサーバーやPCのログインにも2つ目の要素があれば、集めたパスワードだけでは次に進めません。
中小企業で確認しておきたいこと
- 多要素認証の「例外」になっているアカウントはないか — 委託先の保守用、管理者、共用、サービス用（委託先・外部業者のアカウント管理、サービスアカウントの管理）
- 委託先に発行したVPNやリモート接続のアカウントを、いつ誰に発行したか把握しているか — 使われていないものは止める
- 社内のサーバー・PCへのログインがパスワードだけで通らないか — 入口を通過された後の備え（Windows OSログインの2要素認証）
- バックアップが、同じネットワーク・同じ管理者アカウントで消せる場所にないか
自社なら、普段の管理のどこで気づけるか
例外のアカウントや、誰がどこから入っているかを1台ずつ調べるのは大変です。アプリップリキーなら、全PC・サーバーのログイン記録を利用者・接続元のPC名・IPアドレスで絞り込め、2要素認証を設定していない利用者も一覧で分かります。保守業者の作業日に「いつ、どのサーバーに入ったか」を確かめるのも、画面を開くだけで済みます。
第13報にある偵察・認証情報の収集・セキュリティソフトの無効化・バックアップの削除のような前兆は、暗号化の前に検知して担当者のLINEに届けられます。LINEのボタンから画面の確認やネットワークからの切り離しができるので、何もない日は見に行かなくて済み、何かあったときはその場で動けます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。
多要素認証が効かない経路があることはランサムウェア対策としての多要素認証、委託先経由の攻撃全般はサプライチェーン攻撃で整理しています。
他の事例：侵入経路と入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
- サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- アスクル株式会社「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第13報）」（2025年12月12日、PR TIMES掲載）
- IT Leaders「アスクル、ランサムウェア被害の調査結果を公表─原因は委託先アカウントの漏洩」（2025年12月15日）
記事中の事実関係は、上記の公表内容と報道（2026年10月15日時点で確認）に基づきます。
いまの運用を棚卸ししてみる
多要素認証の例外になっているアカウントや、パスワードだけで通るPC・サーバーのログインが残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。