アサヒ サイバー攻撃の時系列まとめ｜発生から復旧完了（2026年4月）までの全経緯・被害・原因

2025年9月29日にアサヒグループホールディングス（アサヒGHD）を襲ったランサムウェア攻撃は、ビール・飲料・食品の供給を止め、約2か月にわたって受注・出荷を麻痺させました。本記事は「いつ・何が起き・今どうなったのか」を、アサヒの公式発表（2026年2月18日・3月10日）と各社報道をもとに時系列で整理します。侵入経路、約191万件におよぶ個人情報漏えいのおそれ、売上の落ち込みや決算延期といった業績への影響、そして2026年4月の出荷正常化までを一気に確認できます。

まとめ｜アサヒ サイバー攻撃の経緯と現在地（2026年6月時点）

先に結論を押さえます。攻撃の発生から復旧完了までの要点は次のとおりです。

• 発生：2025年9月29日午前7時ごろ、ランサムウェアが一斉実行されシステム障害が発生。同11時ごろにネットワークを遮断し被害拡大を止めた。
• 侵入経路：障害発生の約10日前、拠点のネットワーク機器を経由して侵入。データセンターでパスワードの脆弱性を突かれ管理者権限を奪取された（アサヒ公式）。
• 犯人：ランサムウェア集団「Qilin（キリン）」が犯行声明。アサヒは攻撃者と接触せず、身代金も支払っていない。
• 個人情報：漏えいのおそれは約191.4万件（2025年11月26日時点）。うち実際に漏えいが確認されたのは従業員5,117件と取引先110,396件（2026年2月18日時点）。クレジットカード情報は含まれない。
• 業績への影響：国内の売上が大きく落ち込み、システム障害で通期決算の開示は2026年7月へ延期。ただしサイバー攻撃自体の押し下げは事業利益ベースで約1%程度で、よく報じられる1〜9月期純利益26.2%減の主因は減損損失と金利上昇である。
• 復旧：受注システムは2025年12月に再開、物流は2026年2月に正常化、全商品の出荷再開は2026年4月7日。実質的な復旧は完了している。

以下では、この経緯を日付順のタイムラインで追ったうえで、原因と侵入経路、被害の内訳、そして他社が取るべき対策まで掘り下げます。

アサヒ サイバー攻撃の時系列タイムライン（2025年9月〜2026年4月）

潜伏から発覚、公表、そして復旧完了までの主な出来事を日付順にまとめます。一次情報はアサヒの公式リリース、犯行声明や決算関連は各社報道に基づきます。

転換点は3つあります。1つ目は9月29日の発動と即時のネットワーク遮断で、これが被害を国内システムに封じ込めました。2つ目は11月27日の記者会見で、勝木敦志社長が「当社のシステムは脆弱だった」と認め、被害の全容と対策を示した局面です。3つ目が2026年4月7日の全商品出荷再開で、約半年に及んだ供給制限がここで解消されました。攻撃そのものは一瞬でも、事業が元に戻るまでには半年を要したことが、ランサムウェア被害の本質的な怖さを物語ります。

攻撃の原因と侵入経路｜ネットワーク機器とパスワードの脆弱性

「なぜ防げなかったのか」は、GSC上でも侵入経路・原因に関する検索が多い論点です。アサヒが2026年2月18日に公表した調査結果から、攻撃の流れを具体的にたどります。

ネットワーク機器を起点にした侵入と管理者権限の奪取

攻撃者はシステム障害の約10日前、アサヒグループ内の拠点に設置されたネットワーク機器を経由して社内ネットワークに侵入しました。その後、主要なデータセンターに入り込み、パスワードの脆弱性を突いて管理者権限を奪取しています。強固でない認証情報を持つアカウントが乗っ取られ、ドメイン管理者相当の権限を握られた形です。アサヒは封じ込めの段階で、リモートアクセスVPN・約300拠点をつなぐ拠点間ネットワーク・クラウド間接続の専用回線をすべて遮断しており、VPNを含む外部接続経路が侵入の起点だったことを裏付けています。ランサムウェアの定義と基本的な概念を押さえておくと、暗号化前にデータを盗み出してから脅す二重恐喝（2020年代に主流化した手口）が理解しやすくなります。

EDRをすり抜けた偵察とデータセンター侵害

権限を得た攻撃者は、社員が少ない業務時間外を狙って複数のサーバーへの侵入と偵察を繰り返しました。アサヒはEDR（エンドポイント検知・対応）を導入していましたが、正規の管理者権限を悪用した動きはこの検知をすり抜けています。十分な準備のうえで9月29日午前7時ごろにランサムウェアを一斉実行し、認証基盤の配下にある多数のサーバーと一部のパソコン端末を同時に暗号化しました。「侵入」「権限昇格」「同時暗号化」という三段階が連続した、典型的かつ高度な標的型ランサムウェアです。万全に見えた大企業の防御でも、入口が1つ開いていれば突破される現実を示しています。

攻撃者は誰か｜ランサムウェア集団Qilinと身代金不払いの判断

犯人や目的に関する関心も高い論点です。事実関係を整理します。

犯行声明を出したQilinと窃取データ

攻撃の約10日後、国際的なランサムウェア集団「Qilin（キリン）」がダークウェブ上でアサヒグループを標的にしたと主張し、犯行声明を出しました。Qilinは製造業や金融、医療など世界各国の組織を標的にしている集団です。報道では、約27GBの社内ファイルを窃取したと主張しており、財務資料や契約書、社員の個人情報などが含まれるとされます。勝木社長は会見で動機について「断定はできないが金銭目的であっただろう」と述べています。

身代金を支払わなかった理由

アサヒは攻撃者と一切接触せず、身代金も支払っていません。勝木社長はその理由として、支払っても完全復旧の保証がないこと、支払い実績が知れれば他の攻撃者に狙われること、反社会的勢力への資金提供は避けるべきことの3点を挙げました。代わりに自社と外部専門機関でバックアップからの復旧とシステム再構築を進めたため、復旧には数か月を要しました。身代金に頼らず復旧できる体制を平時から整えておくことの重要性が、この判断から読み取れます。

流出した個人情報の内訳｜漏えいのおそれ約191万件と確認済みの件数

「約191万件」という数字が独り歩きしがちですが、これは漏えいの「おそれ」がある件数です。実際に漏えいが「確認」された件数とは分けて理解する必要があります。アサヒの公式発表に沿って両者を示します。

漏えいのおそれがある個人情報（2025年11月26日時点・約191.4万件）

合計は約191.4万件にのぼります。最大のボリュームはお客様相談室への問い合わせ者で、全体の約8割を占めます。なお、クレジットカード情報は別システムで管理されており、今回の流出対象には含まれていません。

漏えいが確認された個人情報（2026年2月18日時点）

2026年2月18日時点で実際に漏えいが確認されたのは、従業員5,117件と取引先関係の110,396件です。「おそれ」の191.4万件と「確認」の約11.5万件は意味が異なるため、報道や社内共有の際は取り違えないことが大切です。アサヒはネット上に情報が公開された事実は確認されていないとしたうえで、該当者へ順次連絡を進めています。上場企業の漏えい事故全体の傾向は上場企業の個人情報漏えい事故の年間傾向でも整理しています。

事業・業績への影響と被害額｜売上の落ち込み・決算延期・下方修正

被害額や損失の規模も多く検索される論点です。アサヒは直接の損失額そのものは公表していませんが、事業と業績の数字から打撃の大きさが読み取れます。ここで注意したいのは、報道で目立つ「純利益26.2%減」とサイバー攻撃の被害は別物だという点です。

受注・出荷システム停止と現場の手作業対応

オンラインの受発注システムが止まったため、現場は電話・FAX・Excelによる手作業へ切り替えました。勝木社長も「いわゆるExcelベースで対応した」と認めており、配送も小口配送から大型トラックのまとめ配送へ、納品リードタイムも長めに設定する非常運用が約2か月続きました。デジタル化された基幹業務が一夜で紙とExcelに逆戻りした事実は、システム停止が事業に直結することの典型例です。

売上の落ち込みと決算延期（サイバー攻撃の業績影響は事業利益で約1%）

被害は国内の売上に表れています。2025年10〜12月の累計売上は前年同期比で、アサヒビールが8割台前半（約2割弱の減）、アサヒ飲料が7割程度、アサヒグループ食品が9割程度まで落ち込みました。受注・出荷の停止が直撃した形です。さらにシステム障害で決算手続きが遅れ、2025年12月期通期決算の開示は2026年7月へ延期され、2026年6月には通期業績予想の下方修正も発表されています（最新の数値は公式IRで確認してください）。一方、よく見出しになる「2025年1〜9月期の純利益26.2%減（1,028億100万円）」は、主因が東アジア酒類事業の減損損失（約250億円）と金利上昇であり、サイバー攻撃そのものの影響ではありません。アサヒの説明では、攻撃による業績の押し下げは事業利益ベースで約1%程度、売上収益への影響は軽微とされています。被害額を見るときは、この純利益の減少分とサイバー攻撃の影響を切り分ける必要があります。

競合・流通への波及

アサヒ製品の供給が止まったことで、小売・飲食はサントリーやキリンなど他社製品への切り替えを進めました。ところが急な需要増で競合側でも一部商品の供給調整が生じ、業界全体で品薄に近い状況が起きています。お歳暮シーズンと重なったことも痛手でした。一社のシステム障害がサプライチェーン全体に波及する構図は、取引先にとっても自社のBCPを見直す契機になっています。

アサヒのサイバー攻撃は今どうなった？復旧状況と現在（2026年）

「結局どうなったのか」を端的にまとめます。結論として、事業は実質的に復旧済みです。受注業務はアサヒビールとアサヒ飲料が2025年12月3日から、アサヒグループ食品が同12月2日から、電子受発注システム（EOS）で再開しました。制限が残っていた配送リードタイムも2026年2月までに通常化し、物流業務全体が正常化しています。そして2026年4月7日に全商品の出荷を再開し、半年に及んだ供給制限は解消されました。

残るのは業績面の尾を引く影響と、再発防止策の継続実行です。アサヒは出荷品目を順次拡大しつつ、攻撃を逆手に取った商品投入など「巻き返し」のフェーズに移っています。情報システム部門の観点では、止まった業務をどう動かし続けるかという発想が欠かせません。考え方はIT-BCPと通常BCPの本質的な違いを参照すると整理しやすくなります。

アサヒが公表した再発防止策｜VPN廃止・ゼロトラスト・EDR・ガバナンス強化

アサヒが2026年2月18日に公表した再発防止策は、侵入経路をふさぐ技術対策と、組織として監督する体制強化の両輪で構成されています。同種の攻撃に備える企業にとって、実装の優先順位を考えるうえで参考になります。

VPN全廃とゼロトラストへの移行

最も象徴的なのが、リモートアクセスVPN装置の全面廃止です。侵入の起点となった古い通信経路を排除し、外部侵入リスクを抱えるデバイスも全廃します。あわせて、社内外を問わずアクセスのたびに認証・認可を求めるゼロトラストモデル対応のパソコン端末へ完全移行し、データはキャッシュを残さないクラウド保管に一本化します。VPNを残したまま運用する企業は多いだけに、思い切った全廃は一つの判断基準になります。ゼロトラストの設計原則はNISTが提唱するゼロトラストの7原則で体系的に確認できます。

EDR・監視の高度化と権限管理の強化

今回すり抜けられたEDRは、全パソコン端末で設定を強化し、クラウド環境でも監視を効かせます。異常検知時の初動を速めるため、ログ分析やセキュリティの監視・遮断を自動化し、ペネトレーションテストとスレットハンティングを継続実施します。あわせて全システムでパスワードを変更し、認証・権限管理を強化、アカウントの作成・変更・削除も自動化して人的ミスをなくします。管理者権限を奪われた教訓が、権限管理の徹底に直結しています。

ガバナンス体制の強化（専任役員・情報セキュリティ委員会）

技術対策だけでなく、監督する仕組みも整えました。情報セキュリティを管轄する独立組織と専任役員を新設し、情報セキュリティ委員会を設置してリスクを可視化、対応策の計画・実行をモニタリングします。取締役会のスキルマトリックスも見直し、取締役会が外部専門家や内部監査と連携してサイバーリスクを監督する体制に改めました。セキュリティをIT部門任せにせず経営課題として扱う、という方向転換が明確です。

この事件から中堅・中小企業が学ぶべき実務的教訓

アサヒは一般的な企業以上にセキュリティ投資をしてきた大企業です。それでも破られたという事実は、規模を問わず参考になります。ここでは「自社なら何から手をつけるか」という立場で、優先度をはっきりさせて述べます。

まず取り組むべきは、外部に開いた接続経路（特にVPN）の棚卸しとパスワード・権限管理の見直しです。今回の侵入は高度なゼロデイ攻撃ではなく、ネットワーク機器の経路と弱い認証情報という、多くの企業に共通する穴を突かれました。最新の検知製品を入れる前に、まずこの2点を閉じる方が費用対効果は高いと判断できます。EDRやSIEMの導入は重要ですが、入口対策と権限管理を後回しにしたままでは、今回と同じく検知をすり抜けられます。

一方で、中小企業がアサヒと同じガバナンス体制（専任役員・委員会設置）をそのまま真似るのは過剰です。専任組織を作る余力がないなら、外部のSOCサービスやマネージドEDRに監視を委ね、社内は「異常を見つけたら止めて報告する」ルールの徹底に絞るほうが現実的です。やってはいけないのは、バックアップをネットワークにつないだまま運用することです。今回アサヒが身代金を払わず復旧できたのは、健全なバックアップから戻せたからにほかなりません。オフラインまたはイミュータブルなバックアップの確保を最優先に据えるべきです。同様の被害事例として、アスクルへのランサムウェア攻撃や村田製作所が公表した不正アクセス被害も、自社の備えを点検する材料になります。

よくある質問（FAQ）

アサヒのサイバー攻撃の犯人は誰ですか？

国際的なランサムウェア集団「Qilin（キリン）」が犯行声明を出しました。Qilinはダークウェブ上にアサヒグループの名前を掲載し、約27GBの社内ファイルを窃取したと主張しています。アサヒ側は攻撃者と接触しておらず、動機について勝木社長は「断定はできないが金銭目的であっただろう」と述べています。なお、犯人の特定や摘発は捜査当局の領域であり、2026年6月時点で公式な検挙は公表されていません。

アサヒは身代金を支払いましたか？

支払っていません。アサヒは攻撃者と一切接触せず、自社と外部専門機関による復旧を選びました。理由は、支払っても完全復旧の保証がないこと、支払い実績が他の攻撃者を呼び込むこと、反社会的勢力への資金提供は避けるべきことの3点です。健全なバックアップからの復元が可能だったため、身代金に頼らず復旧できました。

被害額・損失はどれくらいですか？

直接の損失額は公表されていません。サイバー攻撃自体の業績への影響は、アサヒの説明では事業利益ベースで約1%程度の押し下げ、売上収益への影響は軽微とされています。被害は主に国内の売上の落ち込み（2025年10〜12月の累計でアサヒビール8割台前半など）と、決算開示の2026年7月への延期、通期業績予想の下方修正に表れています。なお報道される「2025年1〜9月期の純利益26.2%減」は東アジア酒類事業の減損や金利上昇が主因で、サイバー攻撃の被害額そのものではない点に注意してください。

流出した個人情報はどれくらいですか？

漏えいの「おそれ」がある個人情報は約191.4万件（2025年11月26日時点）で、最大はお客様相談室への問い合わせ者の約152.5万件です。一方、実際に漏えいが「確認」されたのは従業員5,117件と取引先110,396件（2026年2月18日時点）です。クレジットカード情報は含まれていません。「おそれ」と「確認」は件数の意味が異なる点に注意してください。

アサヒのサイバー攻撃は今どうなっていますか？復旧しましたか？

事業は実質的に復旧済みです。受注システムは2025年12月に再開、物流は2026年2月に正常化し、全商品の出荷再開は2026年4月7日に完了しました。残るのは業績面の影響と再発防止策の継続実行で、出荷品目を順次拡大しながら通常運用に戻っています。

侵入経路や原因は何でしたか？

障害発生の約10日前に、拠点のネットワーク機器を経由して社内ネットワークに侵入され、データセンターでパスワードの脆弱性を突かれて管理者権限を奪取されたことが原因です。リモートアクセスVPNを含む外部接続経路が起点とみられ、アサヒは再発防止策としてVPN装置の全面廃止とゼロトラストへの移行を打ち出しています。関連する内容として、サイゼリヤのランサムウェア攻撃もご覧ください。

関連記事

• ランサムウェアとは？定義と基本的な概念を理解する
• NISTが提唱するゼロトラストの7つの基本原則を深掘り解説
• 2025年に発生したアスクルへのランサムウェア攻撃：約74万件の個人情報流出事件の概要と影響
• 村田製作所が2026年3月に公表した不正アクセス被害の全容と発覚までの経緯
• 情報システム担当者が最初に押さえるべきIT-BCPの定義と通常BCPとの本質的な違い