アスクルのランサムウェア攻撃｜感染理由と侵入経路、流出74万件・漏えいのおそれ60万件と行政指導【2026年10月】

オフィス用品通販のアスクルは2025年10月19日、ランサムウェア攻撃を受けて「ASKUL」「ソロエルアリーナ」「LOHACO」の受注と出荷を止めました。侵入口は、多要素認証を例外的に掛けていなかった業務委託先向けの管理者アカウントです。最初の侵入は2025年6月5日で、ランサムウェアが動くまで4か月以上、攻撃者は社内に潜んでいました。流出が確認された個人情報は約74万件で、2026年7月30日の第19報では漏えいのおそれを否定できない約60万件が追加され、個人情報保護委員会から行政指導を受けたことも公表されています。この記事では第1報〜第19報の公式発表をもとに、攻撃の時系列、攻撃者、流出の範囲、対象になった利用者がとる対応、感染した理由と自社での点検手順を整理します。

まとめ：アスクルのランサムウェア攻撃で公表された事実（2026年10月25日時点）

• 発生は2025年10月19日、最初の侵入は6月5日。侵入口は多要素認証を適用していなかった業務委託先向けの管理者アカウントで、IDとパスワードが漏れた経路はログが消えていて特定できていない
• 攻撃者をアスクルは名指ししていない。ランサムウェアグループ「RansomHouse」が2025年10月30日に犯行声明を出したと報じられた。身代金の交渉・支払いはしていない
• 流出が確認された個人情報は約74万件（2025年12月12日の第13報）。これとは別に、漏えいのおそれがある約60万件を2026年7月30日の第19報で追加した（漏えいの事実は未確認）
• 2026年7月16日に個人情報保護委員会から行政指導。対象は個人情報と特定個人情報の安全管理措置
• 個人のお客様のクレジットカード情報は保有していないとアスクルは説明している。問い合わせは情報流出専用窓口（0120-023-219、平日9時〜17時）
• 主要なECサービスは2026年2月13日に障害前の水準へ戻った。2026年5月期にシステム障害対応費用51億08百万円を特別損失に計上

本記事では、2026年7月30日公表の第19報までを取り上げています。公式のアスクルのサイバーセキュリティのページは2026年8月4日に更新されています。

アスクルへのランサムウェア攻撃はいつ起きたか｜侵入から発動・公表までの時系列

2025年6月5日の初期侵入から10月19日の一斉暗号化までの4か月

第13報（2025年12月12日）の図によると、攻撃は次の段階で進みました。初期侵入は2025年6月5日で、業務委託先用のアカウントが使われています。6月から10月9日にかけて攻撃者は内部を偵察し、管理者権限などの取得を狙ったログインを試みましたが、これは全て失敗しています。7月9日から10月19日にかけて、攻撃者はEDR等の脆弱性対策ソフトを無効化し、複数のサーバー間を移動して物流システムと社内システムへ侵害を広げ、ランサムウェアを配置しました。

10月19日、事前に設定された時刻にランサムウェアが起動し、ファイルの暗号化とバックアップファイルの削除が同時に行われました。複数の種類のランサムウェアが使われ、当時のEDRのシグネチャでは検知が難しいものも含まれていたと第13報は書いています。攻撃者からの脅迫メールは10月19日・21日・27日に届き、窃取されたデータは10月30日・11月10日・12月2日にリークサイトで公開されました。

侵入から発動まで4か月以上という長さは、ランサムウェア被害の中でも際立っています。トレンドマイクロの解説は、同社が2019年〜2024年に復旧を支援した事例では、初期侵入からランサムウェア発動までが平均7日間程度だったとしています。第13報は、侵入の検知が遅れた原因を、侵害されたサーバーにEDRが入っておらず24時間の監視もなかったことだと説明しています。

10月19日当日の初動：切り離し・遮断・受注停止・対策本部の設置

第13報の時系列では、10月19日午前にランサムウェアによる攻撃を検知し、感染が疑われるシステムの切り離しとネットワークの遮断を行いました。全パスワードの変更に着手し、14時に対策本部を設置、16時半に「ASKUL」「ソロエルアリーナ」「LOHACO」の受注と出荷を止めています。データセンターと物流センターの間の通信も遮断しました。

10月22日には、外部クラウドサービス上の問い合わせ管理システムのアカウントが侵害され、情報の一部が窃取・公開されました。翌23日に関連するパスワードの変更を終え、それ以降の新たな侵入は確認されていないとしています。10月24日には認証情報のリセット、管理アカウントへの多要素認証（MFA）の適用、EDRのシグネチャ更新を終えました。

吉岡晃社長（当時）は2026年6月26日のAWS Summit Japan 2026の講演で、当時の判断軸を「被害の拡大防止」「安全かつ安心な再開」「一刻も早いサービス再開」の3つだったと説明しています（UNITISの講演レポート）。対策本部の下にIT復旧部会と事業継続部会を置いて現場に権限を渡し、売上がゼロになるのを覚悟して受注を止めたとしています。

第1報から第19報までの公表の流れ

アスクルの発表は、システム障害関連として番号付きで出されました。主なものは次のとおりです。

アスクルを攻撃したのは誰か｜公式は名指しせず、RansomHouseが犯行声明

アスクルの公式発表は、攻撃グループの名前を挙げていません。第13報が書いているのは、攻撃者から脅迫メールが届いたこと、窃取したデータがリークサイトで3回公開されたこと、アスクルは攻撃者と接触しておらず身代金の支払いを含む交渉もしていないことです。

攻撃者の名前は報道で伝わりました。ランサムウェアグループの「RansomHouse」が2025年10月30日、リークサイトでアスクルへの攻撃を名乗り、約1.1TBのデータを盗んだと主張したと報じられています（innovaTopiaの報道）。リークサイトの初回公開日（10月30日）は第13報の時系列と一致しますが、データ量や関与の範囲は攻撃者側の主張で、アスクルは確認していません。

RansomHouseは、2026年7月に起きたニチレイのサイバー攻撃でも犯行を名乗ったと報じられています。社長は講演で、攻撃者と接触しなかった理由を、反社会的勢力に資金を渡さないこと、やり取りによっては再攻撃を受けるおそれがあること、顧客が安心して使えるかの3点で説明しています。

流出が確認された約74万件と、追加された漏えいのおそれ約60万件

第13報で流出が確認された約74万件の内訳

第13報が示した、流出が確認された個人情報（2025年12月12日時点）は次のとおりです。アスクルは同日、個人情報保護委員会へ確報を提出し、該当者に個別に通知しています。項目の詳細は二次被害を防ぐため公表を控えるとしています。

一部の通信ログとアクセスログが失われていたため、攻撃者が閲覧した可能性のある範囲を完全に特定することは難しいとも書かれています。基幹業務システムと、顧客向けECサイトなどのフロントシステムには侵害の痕跡がなかったとしています。

2026年7月30日の第19報で追加された漏えいのおそれ約60万件

第19報によると、アスクルは第13報の後も個人情報保護委員会と協議しながら精査を続け、外部への漏えいのおそれを否定できない個人情報を約60万件追加で特定しました。2025年7月15日から10月19日までに発送した注文に関する、氏名・住所・電話番号・メールアドレスです。内訳は事業所向けサービスが約55万件、個人向けサービスが約5万件で、注文者だけでなくお届け先の情報も含まれます。対象期間内の全ての注文が該当するわけではなく、クレジットカード情報は含まれていません。

この約60万件は「流出が確認された」ものではありません。第19報は、外部への漏えいと不正利用の事実は確認されておらず、第13報の後に新たな漏えいやシステム侵害が起きたわけでもないとしています。報道には74万件と60万件を足して「約134万件」とするものがありますが、確認済みの流出と「おそれ」は性質が違うため、分けて読む必要があります。第19報は、本人への通知を2026年7月31日から約1か月かけて順次実施するとしていました。

3PL事業の情報流出の可能性と無印良品ネットストアの受注停止

第9報（2025年11月14日）は、グループ会社のASKUL LOGISTが請け負う物流業務（3PL）の出荷・配送データの一部が流出した可能性を公表しました。項目は配送先住所・氏名・電話番号・注文商品情報で、メールアドレスとクレジットカード情報は委託を受けていないとしています。

無印良品ネットストアの受注停止は、この情報流出とは別の出来事です。良品計画の2025年10月20日付の発表は、受注と出荷を10月19日21時から止めたとし、理由を配送業務を委託するASKUL LOGISTへの影響と説明しています。停止は第9報より前に始まっています。2026年10月30日に良品計画が公表したMUJIアプリへの不正アクセスも、アスクルの事案とは別件です。対象の範囲と利用者の対処は無印良品の情報漏洩：MUJIアプリ最大2,726万件の対象確認となりすましメール対策で解説しています。

対象になった利用者が確かめること｜専用窓口・偽の連絡・退会の扱い

問い合わせ窓口と、アスクルを名乗る連絡の見分け方

流出や本人通知についての問い合わせは、アスクルの情報流出専用窓口（0120-023-219、050で始まるIP電話からは03-6731-7879、平日9時〜17時）が受けています。第19報は、アスクルや公的機関を装った「なりすまし」や「フィッシング」メールに注意し、不審なメールのリンクを開かず、添付ファイルも開かないよう求めています。

アスクルは2026年3月30日の注意喚起で、支払い情報、パスワード、ランサムウェア感染による損害賠償などの請求手続きを、メールで直接尋ねることはないと書いています。「補償の手続き」「損害賠償の受付」を名目にリンクへ誘導するメールは、偽物と判断して削除してよいということです。パスワードを変えるなら、ログイン後のマイページで、他社サービスと同じものや生年月日・電話番号を使わないものにします。

ASKULの退会（利用登録の停止）と、個人で登録した場合の扱い

流出をきっかけにASKULをやめたい場合、公式ガイドでの手続きの名前は「ご利用登録の停止」です。ご登録情報の変更ガイドによると、ログイン後に依頼フォームで停止の理由を選び、確認事項を確かめて申請します。申請した時点でアスクルWebサイトにはログインできなくなり、停止処理の完了までは最大3営業日ほどかかり、その間はメールやFAXが届くことがあります。停止した後に登録情報がいつ消えるかは、ガイドにもプライバシーポリシーにも書かれていません。自分の情報がどう扱われているかを確かめたいときは、個人情報の開示等の手続きで窓口に請求します。

退会しても、すでに流出した情報が戻るわけではありません。流出への備えとして効くのは、上のなりすましへの注意とパスワードの変更です。退会は、今後ASKULに情報を預けたくない場合の手段と考えてください。

なお、ASKULは事業所向けの通販です。公式のFAQは、事業目的なら携帯電話番号があれば個人名でも登録できるとし、個人で使う人には日用品・生活家電中心のLOHACOを案内しています。登録区分は「法人」「法人以外」から選び、個人名での登録は「法人以外」です。私用で利用したい場合は、個人向けのLOHACOの利用条件を確認してください。ASKULの利用登録が不要であれば、上記の停止手続きを利用できます。

個人情報保護委員会の行政指導と、2026年10月の注意喚起

アスクルは発生直後から個人情報保護委員会と警察へ報告し、12月12日には委員会へ確報を提出しました。第19報によると、2026年7月16日に委員会から、個人情報と特定個人情報の安全管理措置について行政指導を受けています。特定個人情報はマイナンバーを含む個人情報のことです。アスクルは、すでに講じている再発防止策の実効性を高めるとしています。同報には、委員会が指摘した具体的な内容は書かれていません。委員会の2026年の報道発表一覧にも、2026年10月25日時点でアスクルへの指導の掲載はありません。

委員会は2026年10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。特定の企業名は挙げていませんが、大量の個人情報を持つ事業者が外部から不正アクセスを受けた事案に接しているとして、ガイドライン（通則編）の技術的安全管理措置の「手法の例示」を見直す内容を先取りで示しています。見直しの確定は2027年4月の予定です。アスクルの事案で問題になった点に当たる例示は、次の章で原因と並べて整理します。漏えい等報告の類型と期限は個人情報保護委員会への報告義務で解説しています。

サービス停止から全面復旧までの期間と業績への影響

アスクルは、汚染の可能性を残した既存環境を部分的に直すのではなく、安全を確かめた新しい環境を作り直す方式を選びました。10月29日にFAX注文による出荷トライアルを始め、12月3日の第12報までにASKULとソロエルアリーナのWeb受注を再開しています。2026年2月4日に横浜DCで出荷を再開して全物流センターが戻り、2月13日の第18報で主要なECサービス機能が障害発生前の水準まで復旧したとして、定期的な復旧報告を終えました。物流センターごとの再開日やLOHACOの再開の経過は、アスクルのシステム障害はいつ復旧したかにまとめています。

受注を止めた影響は業績に表れました。11月度（2025年10月21日〜11月20日）の月次業績では、単体売上高が前年同月度の4.9%でした。2026年7月3日の2026年5月期の決算短信では、システム障害対応費用51億08百万円を特別損失に、休止した固定資産の減価償却費12億69百万円を営業外費用に計上しています。売上高は4,001億99百万円（前期比16.8%減）、営業損失は174億45百万円でした。親会社株主に帰属する当期純損失221億50百万円には、この事案と別の子会社に関する減損損失48億23百万円も含まれています。

2026年1月28日の中間決算説明会の質疑応答要旨によると、当時計上したシステム障害対応費用52億円の主な内容は、物流基盤を維持するための費用（車両の確保など）と、取引先ごとに今後発生し得る損害に対する引当金の2点で、この2つで全体の約9割強を占めます。サイバー保険には加入していたものの補償範囲が限定的で、被害額と比べると、保険金が下りても補填されるのは一部にとどまる見通しだと説明しています。この説明は保険金の支払いが確定する前のもので、最終的な自己負担額を示したものではありません。

2026年9月15日の2027年5月期第1四半期の決算短信（2026年5月21日〜8月20日）でも、eコマース事業の売上高は1,107億円（前年同期比7.9%減）で、ランサムウェア攻撃前の売上水準まで回復するには至っていないとしています。売上回復を狙った前期の価格施策で売上総利益率も下がり、連結の営業損失は4億18百万円でした。攻撃から10か月たっても、売上と利益の両方に影響が残っています。

アスクルが感染した理由｜委託先アカウントから始まった侵入と再発防止策

第13報が挙げた3つの原因：不正アクセス・侵入検知の遅れ・復旧の長期化

第13報は原因を3つに分けて分析しています。

• 不正アクセス：例外的に多要素認証を適用していなかった業務委託先向けの管理者アカウントのIDとパスワードが、何らかの方法で漏れて使われた。委託先が管理するノートPCは、OSの更新の過程で侵入時点のログが消えていた。VPN機器のベンダーが2025年9月末頃に公表した脆弱性を悪用した痕跡は確認されなかった
• 侵入検知の遅れ：侵害されたデータセンターのサーバーにEDRが入っておらず、24時間の監視もなかった
• 復旧の長期化：オンラインバックアップはあったが、ランサムウェアを想定した環境ではなく、一部のバックアップも暗号化された

再発防止策として、全てのリモートアクセスへのMFAの徹底、管理者権限の厳格な運用、24時間365日の監視、EDRを含む多層的な検知、ランサムウェアを想定したバックアップ環境の構築が挙がっています。公式ページでは中期の対策としてSaaSログ監視の強化、SOCの24時間365日の管理の高度化、物流設備を含むIT/OTの横断的なリスク管理を、長期の対策としてランサムウェア事案を踏まえたBCPの見直しと外部専門機関による定期的なアセスメントを挙げています。

アスクルの3つの原因と個人情報保護委員会の見直し予定の例示との対応

2026年10月7日の委員会の注意喚起が示した、見直し後の技術的安全管理措置の「手法の例示」と、アスクルの原因を並べると次のようになります。注意喚起はアスクルを名指ししていないため、対応関係は本記事の整理です。

（2）の例示は、多要素認証に「フィッシングに耐性のあるものを含む」と書き添えています。従業者以外の者の識別・認証にも多要素認証の導入が例に挙がっており、委託先のアカウントを例外にする余地は狭くなります。手法の例示は全てを講じなければ違反になるものではないと注意喚起自身が書いていますが、今後の見直しに向けて委員会が先行提示した例示として、自社のリスクに応じた点検項目に取り入れるべきです。委託先のアカウントの扱いを契約と監督の面から見直すなら委託先管理と個人情報保護法25条の監督義務が参考になります。

ローカル管理者の所属と要確認アカウントを抽出するPowerShell

この事案で最初に破られたのは、委託先のために例外として残した管理者アカウントでした。自社で同じ穴を探すなら、まず「誰が管理者権限を持っているか」と「使われていないのに有効なアカウントはどれか」を一覧にします。次のPowerShellは、Windowsサーバーのローカル管理者グループの所属と、パスワードに有効期限が無い・最終ログオン日時が記録されていない・最終ログオンが90日より前、のいずれかに当たる有効なローカルアカウントを表示します。設定は変えません。

# サーバーのローカル管理者グループの所属と、パスワード無期限・長期未使用のローカルアカウントを一覧にする（読み取りのみ）
# Windows PowerShell 5.1 / PowerShell 7。表示名に依存しないよう Administrators は SID（S-1-5-32-544）で指定する
$admins = Get-LocalGroupMember -SID 'S-1-5-32-544'
"== ローカル管理者グループの所属"
$admins | Select-Object Name, ObjectClass, PrincipalSource | Format-Table -AutoSize

"== パスワード期限なし・最終ログオン不明・90日超未使用の有効なローカルアカウント"
$limit = (Get-Date).AddDays(-90)
Get-LocalUser | Where-Object {
  $_.Enabled -and ((-not $_.PasswordExpires) -or (-not $_.LastLogon) -or ($_.LastLogon -lt $limit))
} | Select-Object Name, LastLogon, PasswordExpires, PasswordLastSet | Format-Table -AutoSize

AdministratorsグループはSID（S-1-5-32-544）で指定するため、表示名の言語差を避けられます。実行にはMicrosoft.PowerShell.LocalAccountsモジュールが必要で、64ビットWindowsでは64ビット版PowerShellを使用します。Get-LocalGroupMemberはローカルグループの所属を、Get-LocalUserはローカルユーザーを取得するコマンドです。.ps1 に保存する場合はUTF-8（BOM付き）にしてください。PowerShell 5.1はBOM無しのUTF-8を既定の文字コードで読むため、日本語の文字列が化けます。

一覧に委託先や退職者のアカウントが残っていれば、そのアカウントに多要素認証が掛かっているかを、リモートアクセス機器とディレクトリの両方で確認します。Active Directoryのドメインアカウントは、同じ観点（最終ログオン日・パスワード無期限・特権グループの所属）で、ドメイン側の管理ツールを使って別途棚卸しします。MFAの方式の選び方は多要素認証（MFA）の実装方式で、サーバーへのEDRの導入判断はEDRとEPP・XDRの違いで整理しています。

例外のMFA免除とオンラインのみのバックアップを残さない判断

委託先や一部の管理者だけをMFAの対象外にする例外は、置かない判断をすべきです。第13報の表現は「例外的に多要素認証を適用していなかった業務委託先」で、委託先向けの管理者アカウントが例外扱いになっていました。MFAの適用状況を点検するときは、委託先向けアカウントも対象に含め、免除の理由・承認者・有効期限を確認します。どうしても例外が必要なら、接続元の制限と利用期間を区切り、期限が来たら自動で無効にします。

バックアップも同じです。社内ネットワークから書き換えられる場所だけにあるバックアップは、管理者権限を奪われた時点で暗号化や削除の対象になります。アスクルはまさにこの形で復旧が長引きました。書き換えも削除もできない保管先の作り方はイミュータブルバックアップの実装手順で扱っています。2026年9月に事務部門のNASを暗号化された佐賀大学のランサムウェア被害では、事務用端末の停止から4日後に通常業務へ戻っています。業務システムの停止が1日でも許されない企業は、ネットワークから切り離したバックアップを確保し、復元試験で許容停止時間内に業務を再開できるか確認すべきです。発覚した直後の隔離・証拠保全・報告の順番はランサムウェアの初動対応にまとめています。自社の委託先アカウントやリモートアクセスの経路に同じ穴が無いかを第三者に確かめてもらうなら、脆弱性診断・セキュリティ診断で外部からの入口と内部の権限設定まで含めて点検できます。

よくある質問

アスクルのランサムウェア攻撃はいつ起きましたか？

ランサムウェアが起動してシステム障害が起きたのは2025年10月19日で、同日に受注と出荷を止めました。攻撃者の最初の侵入はそれより4か月以上前の2025年6月5日です。主要なECサービスが障害前の水準に戻ったのは2026年2月13日です。

アスクルがランサムウェアに感染した理由は何ですか？

第13報によると、多要素認証を例外的に適用していなかった業務委託先向けの管理者アカウントのIDとパスワードが漏れ、不正に使われました。VPN機器のベンダーが2025年9月末頃に公表した脆弱性を悪用した痕跡は確認されていません。IDとパスワードが漏れた経路は、ログが消えていたため特定できていません。侵入後はEDRの無いサーバーが狙われ、オンラインのバックアップも暗号化されました。

アスクルの攻撃で流出した個人情報は何件ですか？

流出が確認されたのは約74万件です（2025年12月12日の第13報）。これとは別に、2026年7月30日の第19報で、漏えいのおそれを否定できない個人情報が約60万件追加されました。追加分は漏えいの事実が確認されたものではないため、「流出74万件」と「おそれ60万件」は分けて扱います。2025年全体の事案の振り返りはJNSA 2025セキュリティ十大ニュース解説にまとめています。

クレジットカード情報は漏れていますか？

アスクルは、LOHACOの決済ではクレジットカード情報を受け取らない仕組みで、個人のお客様のカード情報を保有していないと説明しています。第19報で追加された約60万件にもカード情報は含まれていません。アスクルを名乗ってカード情報の再入力を求める連絡には応じないでください。

アスクルは個人情報保護委員会から処分を受けましたか？

2026年7月16日に、個人情報と特定個人情報の安全管理措置について行政指導を受けたと、アスクルが第19報で公表しています。命令や勧告を受けたとの記載はありません。

関連記事

• アスクルのシステム障害はいつ復旧した？サーバー停止から全面再開までの経緯と現状【2026年10月】
• ランサムウェアの初動対応：感染発覚から隔離・証拠保全・報告・復旧までの手順
• イミュータブルバックアップとは：S3 Object Lock・Vault Lockの実装手順と保持期間の決め方
• 多要素認証（MFA）とは？3要素と実装方式・耐フィッシングMFAをコード付きで解説
• ハウステンボスのサイバー攻撃｜最大154万人の個人情報漏えいと侵入経路・再発防止策