アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧とQilinメンバー拘束（2026年10月時点）

2025年9月29日にアサヒグループホールディングス（アサヒGHD）を襲ったランサムウェア攻撃は、ビール・飲料・食品の受注・出荷システムを約2か月停止させ、その間は手作業による対応が続きました。本記事は、発生から2026年10月13日までの経緯を、アサヒの公式発表・決算開示と警察庁の広報資料をもとに日付順で整理します。2026年10月には、犯行声明を出したランサムウェア集団「Qilin（キリン）」の中心メンバーとみられるロシア国籍の男が日本で拘束され、ドイツへ引き渡されていたことが明らかになりました。この拘束がアサヒの事件とどう関係するのかも、分かっていることと分かっていないことに分けて説明します。

まとめ｜アサヒ サイバー攻撃の経緯と現在地（2026年10月時点）

• 発生：2025年9月29日午前7時ごろにシステム障害が発生し、11時ごろにネットワークを遮断。侵入は約10日前で、拠点のネットワーク機器が入口だった（アサヒ公式）。
• 原因：データセンターでパスワードの脆弱性を突かれ管理者権限を奪われた。アサヒは2026年7月27日、権限管理を含む運用管理が規程どおり行われていなかったとして、財務報告に係る内部統制を「有効でない」と開示した。
• 犯人：Qilinが犯行声明を出したと報じられた。2026年10月、Qilinを主導していたとみられるロシア国籍の男が日本で拘束され、10月2日にドイツへ引き渡されたことが判明。ただし容疑はドイツで起きた事件で、アサヒの事件で立件されたとは報じられていない。
• 個人情報：漏えいのおそれは約228.9万件（2026年7月17日に約191.4万件から基準変更で上方修正）。漏えいが確認されたのは115,513件。
• 被害額：2025年は営業利益段階の一時費用が約170億円、日本・東アジアの事業利益が前期比214億円減。2026年も一時費用約60億円と情報セキュリティ費用約35億円を見込む。
• 復旧：アサヒビールの製造は3日後、各社のシステム受注は64〜65日後に再開。アサヒビールの出荷再開商品の追加は190日後に終了。日本・東アジアの利益が2024年水準を超えるのは2027年の見込み。

アサヒ サイバー攻撃の時系列タイムライン（2025年9月〜2026年10月）

侵入から拘束報道までの主な出来事です。発表主体が「報道」の行は、アサヒの公式発表ではありません。発生直後の出荷停止と商品ごとの再開状況はアサヒビールのサイバー攻撃はいつ？発生日・出荷停止と、製造再開から出荷正常化までの187日で詳しく追っています。

アサヒのニュースルームには、2026年8月14日の上期決算以降、この事件に関する新しい発表は出ていません（2026年10月13日確認）。10月の拘束についてもアサヒは発表を出しておらず、情報源は警察庁とドイツ当局、報道です。

アサヒのサイバー攻撃による影響期間｜復旧・決算開示までの所要日数

「いつ終わったのか」は、何を終わりとみなすかで答えが大きく変わります。2025年9月29日を起点に数えると次のとおりです。

アサヒビールの製造は3日で戻ったのに、出荷する商品をすべてそろえ終えるまでには190日かかりました。工場が無事でも、受注と出荷を動かすシステムが止まれば売上は戻りません。2025年12月期の決算開示までには9か月を超える時間がかかりましたが、障害による影響額は概算で、2026年以降にも関連費用が続きます。ランサムウェア被害の「期間」は、システムの復旧日ではなく、この最後の行まで見て判断するのが実態に合っています。

アサヒへの攻撃の原因と侵入経路｜ネットワーク機器とパスワードの脆弱性

アサヒが2026年2月18日に公表した調査結果と再発防止策と、7月27日の内部統制に関する開示から、攻撃の流れと原因をたどります。

拠点のネットワーク機器からの侵入と管理者権限の奪取

攻撃者は障害発生の約10日前、グループ内の拠点に置かれたネットワーク機器を経由して侵入し、主要なデータセンターに入り込みました。具体的な日時は特定できていないとされています。データセンターではパスワードの脆弱性を突いて管理者権限を奪取し、そのアカウントで主に業務時間外に複数のサーバーへの侵入と偵察を繰り返しました。機器の種類や脆弱性の中身は、攻撃に利用されるおそれがあるとして公表されていません。初期侵入の手口が非公表である以上、「VPN装置の既知の脆弱性が原因」のような断定はできません。暗号化の前にデータを盗んで脅す二重恐喝の位置づけは、ランサムウェアの起源と語源で整理しています。

ゼロトラスト移行前の端末に被害が集中した事実

9月29日早朝にランサムウェアが一斉に実行され、起動中の複数のサーバーと一部のパソコン端末が暗号化されました。公表資料は、暗号化された端末も情報が窃取された端末も「ゼロトラストモデルへの移行前」のものだったと明記しています。アサヒはゼロトラストへの移行を進めている途中で、移行を終えた端末ではなく、取り残された旧環境の端末が被害を受けたことになります。この事例からは、移行完了まで旧環境の防御と監視を維持する必要性が読み取れます。ただし、移行に伴って管理が手薄になったと公式資料が認定したわけではありません。

内部統制報告書が認めた「規程はあったが運用されていなかった」不備

アサヒは2026年7月27日、2025年12月期の内部統制報告書に開示すべき重要な不備があり、財務報告に係る内部統制は有効でないと記載したことを適時開示しました。同社は「アサヒグループ情報システム管理規程」「アサヒグループ情報セキュリティ規程」などで技術的対策まで定めていました。それでも、日本リージョンの情報システム基盤の一部で、規程に基づく権限管理を含む運用管理が十分に行われておらず、それが攻撃者の侵入を許したと認めています。是正策は、権限管理上の不備の是正、情報セキュリティ委員会によるモニタリング、重要システムを対象としたFit & Gap分析（規程の要件と実際の運用の差を洗い出す分析）の3つです。財務諸表に対する監査意見は無限定適正で、同社は当該不備に起因する必要な修正をすべて連結財務諸表に反映したと説明しています。

原因を「パスワードが弱かった」で終わらせず、規程と運用のずれを経営として認めた点は、他社が自社の統制を点検するときの基準になります。IT統制の基本的な考え方はITAC（IT業務処理統制）とITGCの違いで確認できます。

攻撃者は誰か｜Qilinの犯行声明と2026年10月の中心メンバー拘束

アサヒの公式リリースは、2026年10月13日時点でも攻撃者を名指ししていません。犯人に関する情報は、報道と各国の捜査当局によるものです。

Qilinの犯行声明と公式発表の範囲

2025年10月7日夜（日本時間）、Qilinがダークウェブのリークサイトでアサヒへの攻撃を主張し、約27GBの社内ファイルを窃取したと掲げたと日本経済新聞などが報じました。アサヒは翌8日の第3報で、流出した疑いのある情報をインターネット上で確認したと公表しています。アサヒは2026年7月17日時点で、データセンターのサーバーに保管されていた個人情報については外部流出を確認していないとしています。一方、ゼロトラスト移行前の端末からの窃取は確認済みです。「流出はなかった」と一言でまとめると、後述の確認済み115,513件と矛盾します。

中心メンバーとみられるロシア国籍の男の拘束とドイツへの引き渡し

警察庁は2026年10月8日の広報資料で、ドイツがQilinを主導していたとみられるロシア国籍の被疑者を逮捕したと広報したことを明らかにしました。ドイツが逮捕状を取っていた被疑者が来日したため、日本警察が法務省・東京高等検察庁・ドイツと連携し、逃亡犯罪人引渡法に基づく仮拘禁許可状で身柄を拘束し、ドイツへの引き渡しにつなげたという内容です。捜査を担ったのは関東管区警察局サイバー特別捜査部と関係都府警察です。

ドイツ側では、ノルトライン＝ヴェストファーレン（NRW）州の内務相と法務相が10月7日に共同声明を出しました。会見を伝えた地元報道によると、男は28歳で、2026年5月に日本で拘束され、10月2日にドイツへ移送されたとされています。ただし、年齢と詳しい日程は警察庁の広報には記載されていません。同じ報道によると、NRW州のロイル内務相は、Qilinが2024年以降に約4,000の企業・機関を攻撃し、要求した身代金は総額約29億ドル、実際に支払われたのは1億4,000万ドル超だと説明しています。これらの数字は警察庁の資料には載っていません。

ここで注意したいのは、拘束とアサヒの事件の関係です。ビジネス+ITの報道によれば、男の容疑は2024年9月にドイツの物流会社のシステムを暗号化し、身代金として約2,600万円相当（同記事の円換算）のビットコインを脅し取った恐喝事件です。警察庁の資料は「ドイツで発生したランサムウェア事案」とだけ書いています。警察庁の資料にアサヒの名前はなく、男がアサヒの事件で立件されたとは報じられていません。NHKなどは「アサヒへの攻撃にも関与か」と報じましたが、これは捜査関係者への取材に基づくもので、確定した事実ではありません。分かっているのは「アサヒへの犯行声明を出した集団の中心人物とみられる男が、別の事件で拘束された」ところまでです。

身代金を支払わなかった理由（2025年11月27日の会見）

アサヒは攻撃者と接触しておらず、身代金も支払っていません。勝木敦志社長は2025年11月27日の会見で、支払っても完全に復旧できるとは限らないこと、支払いが知られれば他の攻撃者にも狙われること、反社会勢力とも言える相手への支払いは避けるべきことの3点を理由に挙げました（Business Insider Japan）。公式リリースが書いているのは、安全性を確認したバックアップデータから復旧したというところまでです。NRW州の内務相も会見で、被害企業に身代金を払わず警察に届け出るよう呼びかけています。

流出した個人情報の内訳｜漏えいのおそれは約229万件

2026年7月17日の公式リリースで件数が変わりました。「おそれ」の件数と「確認」の件数は別の数字です。

漏えいのおそれがある個人情報（2026年7月17日時点・約228.9万件）

最大はお客様相談室への問い合わせ者で、全体の約3分の2を占めます。クレジットカード情報は含まれていません。

約191.4万件から約228.9万件へ増えた理由｜集計基準の変更

2025年11月26日時点の約191.4万件からの変化は、取引先関係の37.8万件が新たに加わったことが大半です。家族は16.8万件から16.2万件へ減り、慶弔対応先は11.4万件から11.7万件へ増えました。アサヒは理由を、個人情報保護委員会との協議を踏まえ「漏えいのおそれを完全には否定できないもの」まで対象に含めたためと説明しています。新たな流出が見つかったわけではないので、件数の増加を被害拡大と読むのは誤りです。二次被害も確認されていないとしています。

漏えいが確認された個人情報（2026年2月18日時点・115,513件）

従業員の5,117件は、「おそれ」の従業員10.7万件の内数です。「おそれ」と「確認」は意味が違ううえに重なりがあるので、足し合わせた数字は被害規模を表しません。7月17日時点でも確認済み件数に訂正はありません。上場企業の漏えい事故の全体像は2024年における上場企業の個人情報漏えい事故の全体傾向で整理しています。

アサヒの被害額と業績への影響｜決算実績・障害影響の概算・翌期予想

アサヒは「被害額」という単一の数字を公表していません。影響額は決算説明資料の「システム障害影響の概算」スライドにまとまっています。

受注・出荷の停止と2025年10〜12月の売上

受注と出荷のシステムが止まり、アサヒは手作業での受注と、小口配送をまとめ配送に切り替える非常運用を続けました。2025年10〜12月の累計売上は前年同期比で、アサヒビールが8割台前半、アサヒ飲料が7割程度、アサヒグループ食品が9割程度にとどまっています。他社製品への切り替えや年末の品薄など、供給面の波及は供給と出荷再開の経過をまとめた記事に譲ります。

2025年12月期の確定値とシステム障害影響の概算

2026年7月8日開示の決算短信による2025年12月期の連結業績です。

決算説明会の説明概要によると、2025年の売上収益には第3四半期で約50億円、第4四半期で日本・東アジアの前年比約2割程度のマイナス影響がありました。事業利益は広告販促費を一部抑えたものの、売上減による限界利益の減少が大きく、日本・東アジアの事業利益は前期比214億円（16.1%）減りました。ただしこれは変動費・固定費のコスト増も含むセグメント全体の増減で、障害だけの影響額ではありません。営業利益の段階では、棚卸資産の廃棄・評価損、システム復旧の人件費、広告販促のキャンセル費用などで約170億円を計上しています。

当期利益36.7%減のすべてが攻撃によるものではありません。2025年は減損損失276億円も計上しており、減損などの一時要因を除いた調整後の当期利益は19.6%減です。決算短信は欧州とアジアパシフィックの業績には影響がないと明記しています。

2026年に残る影響と資金面への波及

2026年については、売上回復に向けた広告販促費等の一時費用約60億円と、情報セキュリティ費用約35億円を見込んでいます。8月14日公表の中間期決算短信では、日本・東アジアの上期売上収益が6,350億円（前年同期比2.2%減）、事業利益が504億円（同11.2%減）でした。同社は日本・東アジアにシステム障害の影響が残ったと説明する一方、固定費の抑制で計画は上回ったとしています。

資金面では、障害下で短期性の資金を調達したことなどから、2025年末の金融債務残高が前期末比3,650億円増え、フリーキャッシュフローは434億円の流出でした。売上が止まっても支払いは止まりません。ランサムウェア対策を情報システム部門だけの問題として扱うと、この資金繰りのリスクを見落とします。

アサヒのサイバー攻撃は今どうなった？復旧状況と現在（2026年10月時点）

商品の供給と物流は正常化し、決算と有価証券報告書の提出、個人情報の範囲の確定もひととおり終わっています。受注はアサヒグループ食品が2025年12月2日、アサヒビールとアサヒ飲料が12月3日に再開し、配送リードタイムは2026年2月に通常化しました。アサヒビールは、2026年4月7日の出荷をもって出荷再開商品の追加を終了したと発表しています。

残っているのは業績と統制の回復です。グループ全体では2026年12月期に事業利益2,910億円、当期利益1,940億円を計画しており、どちらも攻撃前の2024年実績（2,851億円・1,921億円）を上回ります。一方、攻撃を直接受けた日本・東アジアについて、アサヒは決算説明会で「2027年には2024年を上回る利益水準に回復させていきます」と述べています。グループ全体と被害セグメントで回復時期が1年ずれる点は混同しやすいので注意が必要です。内部統制の是正はすでに進められており、7月27日の開示時点でアクセス管理・パスワード要件の強化と定期的なモニタリングを実施しています。

捜査の面では、2026年10月にQilinの中心人物とみられる男の拘束が明らかになりました。ただしアサヒの事件で誰かが立件されたという発表はなく、事件の捜査そのものが決着したわけではありません。業務を止めないための計画づくりはIT-BCPの策定手順と復旧優先度の決め方で整理しています。

アサヒが公表した再発防止策｜VPN廃止・ゼロトラスト・EDR・ガバナンス強化

2026年2月18日に公表された再発防止策は、侵入経路をふさぐ技術対策と、組織として監督する体制の強化に分かれます。

リモートアクセスVPN装置の全面廃止とゼロトラストへの完全移行

最も踏み込んだのが、リモートアクセスVPN装置の全面廃止です。通信経路を作り直し、外部からの侵入リスクを抱えるデバイスも廃止します。あわせてゼロトラストモデルに対応したパソコン端末へ完全に移行し、データはキャッシュを残さないクラウド保管に一本化します。被害が移行前の端末に集中したことを考えると、旧環境を残さないための対策です。設計原則はゼロトラストネットワークの7つの要件｜NIST SP 800-207の7原則と最小特権で確認できます。

EDRの設定強化・監視の自動化と権限管理の徹底

対策に「全パソコン端末のEDRの設定強化」とあることから、EDR自体は導入済みだったとみられます。それでも侵入から一斉暗号化までを止められませんでした。対策では、インターネットに接続するクラウド環境まで監視を広げ、ログ分析と監視・遮断を自動化し、ペネトレーションテストとスレットハンティングを継続します。全システムでパスワードを変更し、アカウントの作成・変更・削除も自動化して人手による管理の抜けをなくします。内部統制の開示でも、財務報告に関わる全システムでアクセス管理の厳格化とパスワード強化を進めているとしています。

専任役員と情報セキュリティ委員会によるガバナンス強化

情報セキュリティを管轄する独立組織と専任の担当役員を置き、情報セキュリティ委員会でリスクを可視化して対策の実行を監視します。取締役会も外部専門家や内部監査と連携してサイバーリスクを監督する体制に改めました。7月の内部統制の是正策も、この委員会がモニタリングを担います。

この事件から中堅・中小企業が学ぶべき教訓と対策の優先順位

最初に手をつけるべきは、外部に開いた接続経路の棚卸しと、管理者権限・パスワードの見直しです。公表された範囲での決定打は「拠点のネットワーク機器」と「データセンター内のパスワードの脆弱性」で、どちらも多くの企業に共通する穴です。本記事では、この2点の点検と是正を初手に推奨します。EDRやSIEMの追加投資は、既存の監視範囲と対応体制の不足を確認したうえで判断します。

次に、規程と実際の運用のずれを定期的に確かめることです。アサヒには規程がありましたが、一部の基盤で運用されていませんでした。規程を作って終わりにせず、重要システムごとに「規程の要件と実際の設定」を突き合わせるFit & Gap分析を年に一度は回すべきです。セキュリティ移行の途中期間も同じで、移行計画には完了日だけでなく、移行中の旧環境をどう守るかを書き込みます。

一方で、中小企業が専任役員や委員会をそのまま真似る必要はありません。人員が足りないなら、監視は外部のSOCやマネージドEDRに任せ、社内では、資産・権限管理の責任者を残し、委託先と遮断の判断権限、報告先、復旧の承認手順を決めておきます。避けるべきなのは、侵害された端末や管理者アカウントからバックアップまで変更・削除できる状態です。オフライン保管や変更・削除を制限する保管方式を組み合わせ、復元も定期的に確認します。アサヒが身代金を払わずに復旧できたのは、安全性を確認できるバックアップがあったからです。被害を受けたら警察への届け出も欠かせません。今回の拘束は、警察庁の資料が書くとおり、日本とドイツの捜査機関が連携した結果です。拠点の機器や公開サーバーの穴を第三者の目で洗い出すなら、脆弱性診断・セキュリティ診断で技術的な弱点を確認し、業務への影響度や運用管理上の課題と合わせて対策の優先順位を決められます。同種の事例としてアスクルへのランサムウェア攻撃、村田製作所の情報漏洩、サイゼリヤのランサムウェア攻撃も参考になります。2025年の大型事案の中での位置づけはJNSA 2025セキュリティ十大ニュース解説で確認できます。

よくある質問

アサヒのサイバー攻撃の犯人は誰ですか？捕まったのですか？

ランサムウェア集団「Qilin（キリン）」が2025年10月に犯行声明を出したと報じられています。アサヒの公式発表は攻撃者を名指ししていません。2026年10月には、Qilinを主導していたとみられるロシア国籍の男が日本で拘束され、ドイツへ引き渡されたことが警察庁の広報で明らかになりました。同資料に拘束月や引き渡し日の記載はありません。ただし容疑はドイツで起きた恐喝事件で、アサヒの事件で立件されたとは報じられていません。

アサヒは身代金を支払いましたか？

支払っていません。攻撃者との接触もなかったとしています。2025年11月27日の会見で勝木社長は、支払っても復旧の保証がないこと、他の攻撃者に狙われること、反社会勢力への資金提供は避けるべきことを理由に挙げました。復旧は安全性を確認したバックアップデータから行っています。

被害額・損失はどれくらいですか？

単一の被害額は公表されていません。決算資料では、2025年の営業利益段階の一時費用が約170億円、売上は第3四半期で約50億円、第4四半期は日本・東アジアで前年比約2割のマイナス影響でした。2026年も一時費用約60億円と情報セキュリティ費用約35億円を見込んでいます。当期利益36.7%減には減損損失276億円など攻撃以外の要因も含まれます。

流出した個人情報はどれくらいですか？

漏えいのおそれがあるのは約228.9万件（2026年7月17日時点）で、最大はお客様相談室への問い合わせ者152.5万件です。基準を広げたことで約191.4万件から増えました。漏えいが確認されたのは従業員5,117件と取引先110,396件の計115,513件です。クレジットカード情報は含まれません。

アサヒのサイバー攻撃は今どうなっていますか？影響はいつまで続きますか？

アサヒビールは2026年4月7日の出荷で、出荷再開商品の追加を終了しています。発生から190日後です。業績面では2026年上期も日本・東アジアの減収減益が続いており、アサヒは同セグメントの利益を2027年に2024年水準へ戻す計画です。2026年7月に開示した内部統制の重要な不備も、是正の途中です。

関連記事

• アサヒビールのサイバー攻撃はいつ？発生日・出荷停止と、製造再開から出荷正常化までの187日
• ゼロトラストネットワークの7つの要件｜NIST SP 800-207の7原則と最小特権
• アスクルのランサムウェア攻撃｜流出74万件と追加60万件・行政指導・全面復旧までの経緯
• 村田製作所の情報漏洩｜約8.8万件に取得のおそれ・2026年不正アクセスの原因と時系列
• IT-BCPとは？BCPとの違いと策定9ステップ・復旧優先度の決め方