昨今サイバー攻撃によるシステム障害が多発。どのような手口で行われているか、傾向と対策
サイバー攻撃とは、企業・組織・個人の情報システム（ネットワーク、サーバ、端末、クラウドサービスなど）に対して、不正アクセス・マルウェア・ランサムウェア・サービス妨害 (DoS/DDoS)・情報窃取・改ざんなどを通じて「データの盗取・消失」「業務停止・サービス停止」「金銭的要求（身代金）」「信用毀損」などの被害を目的として行われる攻撃の総称です。
近年では、特に「侵入・感染→システムを暗号化して使用不能にするランサムウェア」「サプライチェーンを通じて二次被害を発生させる手法」「業務停止・物流停止といった“モノ・サービスの提供停止”による社会的・経済的インパクトの大きさ」が特徴となっています。
こうした攻撃は、もはや「いつ来るか」ではなく「どのように備えるか」が経営・運営上の重要な課題となっています。
直近の攻撃された企業・組織の事例
以下、国内で比較的最近報じられた攻撃事例を挙げます。
Asahi Group Holdings（「アサヒビール」など）
- 同社は2025年9月29日付でシステム障害を公表。国内の受注・出荷・コールセンター業務が停止するほどの影響を伴いました。
- 攻撃の形態として、ランサムウェアが用いられた疑いが示されており、データ窃取（約27GB）を主張するハッカー集団「Qilin」が犯行声明を出しています。
- 生産停止／受注停止に伴い、ビール供給に影響が出ており、コンビニエンスストアなどで品切れ・代替品採用の報道も出ています。
ASKUL Corporation（「アスクル」）および関連企業
- 2025年10月19日、通販・物流大手アスクルが「ランサムウェア感染によるシステム障害」を公表。自社ECサイト（ASKUL／LOHACO等）が注文受付停止、出荷停止の状態に。
- 同社が物流委託していた企業（例：無印良品ネットストア）も巻き込まれ、物流・受注機能が停止しました。
ランサムウェア感染によるシステム障害について（第２報）(195KB)
美濃工業株式会社
- 2025年10月1日夜、同社の社員用VPNアカウントが悪用され社内ネットワークに侵入され、10月3日頃からファイル暗号化・サーバ初期化などのランサムウェア攻撃が確認されています。
- 生産・資金決済に大きな停止は出ていないものの、影響確認・調査中である旨が発表されています。
ニコニコ動画／株式会社ドワンゴ
- 2024年6月にサービス停止を伴う大規模なサイバー攻撃を受けたとして報告されています。ランサムウェアを含む攻撃で多数の仮想マシンが暗号化され、1 か月以上の復旧期間を要しました。
企業を狙ったサイバー攻撃はなぜ起きるのか／目的
企業を狙った攻撃には主に以下のような目的・背景があります。
- 金銭目的：例えばランサムウェアでは、データ暗号化して復号のための身代金を要求したり、データを窃取して公開をちらつかせて二重恐喝を行ったりします。Asahiの事例では「27 GBのデータを盗んだ」と主張されています。
- 業務停止・混乱による影響追及：製造・物流・サービス提供を止めることで、企業の信用や収益に大きなダメージを与えることが可能になります。Asahiやアスクルの事例が典型です。
- サプライチェーン攻撃／第三者委託先を介する間接攻撃：自社の堅牢な防御を突破するよりも、パートナー・委託先を経由する方が侵入のハードルが低いケースがあります。アスクル→無印良品の例がまさにこれです。
- 情報窃取・機密データ取得：契約書・従業員情報・予算情報・開発計画など、外部に漏出すると企業価値を毀損するデータを狙うケースも増えています。
- 規模・業種を問わず標的に：製造、物流、小売、サブスクサービス、ECなどあらゆる企業が対象になっており、「大企業だけ」が狙われるわけではありません。
こうして見ると、企業が「狙われる理由」は明確であり、攻撃者側にはリターン（金融・混乱・情報）と、攻撃対象がもつ「止められないプロセス（製造・物流・販売）」があると言えます。
攻撃の手法
攻撃者が使う典型的な手法・最近の傾向を整理します。
- フィッシング（メール・SMISHING）経由の侵入：従業員を通じた認証情報取得・マルウェアインストール。例えば、Qilinグループの攻撃で「フィッシングメールを使ったマルウェア感染」が報じられています。
- リモートアクセス／VPNアカウントの悪用：社員用のVPNアカウントを悪用して社内ネットワーク侵入、横展開する手法が増加中。美濃工業の例では、VPNアカウントを悪用されたことが明らかになっています。
- サプライチェーン／委託先経由の侵入：顧客・取引先・物流委託先のシステムを足がかりに侵入することで、本命企業にも影響を及ぼす事例。無印良品がアスクルの障害に巻き込まれた例がこれです。
- ランサムウェア／ファイル暗号化＋データ窃取：侵入後、ファイルを暗号化し、業務停止に追い込む。加えて、データを盗取して「公開するぞ」といった脅迫要素を併せ持つ攻撃が多くなっています。 Asahiの事例などで確認されています。
- OT（Operational Technology）・製造設備への攻撃：製造業・サプライチェーンでは、ITだけではなくOT（製造設備・制御系）を狙った攻撃が増加傾向にあります。 Asahiの例では「自動化ボトリング・物流システム」の停止が報じられています。
- サービス妨害（DoS／DDoS）や改ざん：特にウェブサービスやサブスク系では、サービス停止・改ざんを狙った攻撃もあります。ニコニコ動画の例ではサーバ暗号化＋停止が起きています。
小規模企業・個人も狙われることもある
このような攻撃は「大企業だけ」の問題ではありません。以下の点が重要です。
- 前述の資料でも「業種・規模を問わない被害」「あらゆる組織が標的となりうる」と明記されています。
- 委託先・下請け・サプライチェーンの弱点を経由して入り込むケースが多いため、小規模事業者・個人事業者・フリーランスにも影響が及び得ます。
- 経営リソース・情報システム・セキュリティ専任人材などが限られる小規模組織ほど「侵入後の被害検知・対応」や「バックアップ復旧」が難しく、被害拡大・長期化のリスクが高まります。
- 個人が副業で運営しているサイト・EC・クラウドサービスなども、二次被害の受け皿となったり、被害者となったりします。
したがって、「自分は小さいから大丈夫」と過信せず、基本的なセキュリティ対策を怠らないことが重要です。
対策（企業・組織が取るべきこと）
ここでは、経営・情報システム部門・現場それぞれが押さえておくべき対策を整理します。また、参考として 経済産業省 の「サイバーセキュリティ経営ガイドラインと支援ツール」も挙げておきます。
（ガイドライン原文はこちら → https://www.meti.go.jp/policy/netsecurity/mng_guide.html ）
経営レベル／ガバナンス
- 経営トップがサイバーセキュリティを「経営リスク」「事業継続リスク」として認識し、役割・責任を明確にする。
- サプライチェーン（取引先・委託先）のセキュリティリスクを評価し、契約・監査・情報共有体制を整備する。
- インシデント対応（発見・初動・復旧）体制を構築し、定期的に訓練を実施する。
- セキュリティ投資・人材配置を確保し、「起きてから対処」ではなく「起きる前に備える」姿勢をとる。
技術・運用レベル
- 多要素認証（MFA）・強固なパスワード管理・アクセス制御の徹底。
- VPN・リモートアクセス環境の監視・セグメント分離・最小権限原則。例：美濃工業では社員用VPNアカウントからの侵入が確認されています。
- 定期的なバックアップとその復旧テスト。暗号化されたり消えたりしても復旧可能な体制を整える。
- EDR（Endpoint Detection & Response）・IDS/IPS・振る舞い検知の導入。例：美濃工業ではEDR等の導入を表明しています。
- ネットワークのゾーニング（IT／OT／制御系の分離）およびサプライチェーン（委託先システム）とのインターフェース管理。製造業でOT系の被害が目立っています。
- セキュリティパッチ・脆弱性管理・ログ監視の運用強化。
- 社内・委託先を含めた定期的なウェブ・メール攻撃（フィッシング）訓練、セキュリティ意識教育。
事業継続／レジリエンス
- 事業継続計画（BCP）を策定し、IT／物流／受注が停止した場合の代替手段・最小限の運用を検討。Asahiでは手書き・FAXでの受注対応に切り替えたという報道があります。
- 復旧後の教訓をもとに、体制改善・報告／分析を実施し、再発防止策を継続的に強化する。
- 外部専門機関（フォレンジック、インシデントレスポンス）との連携契約をあらかじめ結んでおく。
小規模企業・個人向けポイント
- 100人未満の会社でも「標的になりうる」ことを念頭に、基本的なセキュリティ体制（MFA、バックアップ、定期更新）を整える。
- 委託先・取引先のセキュリティレベルを確認し、「自社だけ」ではなく「つながる企業・サービス」も守る。アスクル・無印良品のケースが典型です。
- クラウドサービス・SaaSを使っている場合でも、「設定ミス」「アクセス権限のゆるさ」「二重認証非採用」などから侵入されるケースがあるため、運用を疎かにしない。
- 万が一停止した際に「手作業での代替対応」「データのオフライン保管」など、被害を最小化するための準備をしておく。
まとめ（ブログ用締め）
サイバー攻撃はもはや「大手企業の話」ではなく、あらゆる業種・規模の企業、さらには委託先・取引先・個人事業主にとっても「いつ・どこで・どのように」起こるか分からない現実のリスクです。
今回挙げた事例（Asahi、アスクル、無印良品、ニコニコ動画、美濃工業など）からも分かるように、「物流・製造・EC・情報サービス」という“止められないプロセス”を抱える企業だからこそ被害時の波及・社会的影響が大きく、また攻撃者にとって“効果（影響）”を出しやすいターゲットとなります。
しかし逆に言えば、「備え」を適切にすることで被害を防ぐ・早期に対処する可能性は十分にあります。経営トップ・情報システム部門・現場が連携して、経営課題としてサイバーセキュリティに取り組むことが、今や不可欠です。
ブログ執筆にあたっては、上記各章を「導入／事例紹介（被害の実際）／原因・目的／攻撃手法／小規模企業も狙われる／対策・まとめ」という流れで構成すると読み手にとって理解しやすく、かつ「自分ごと化」しやすいものになると思います。
必要であれば、各事例のタイムライン（発覚 → 対応 → 現状）や、図解・グラフ（被害件数推移・攻撃手法別割合など）も加えるとブログとしての説得力が増します。
経済産業省の「サイバーセキュリティ経営ガイドラインと支援ツール」
https://www.meti.go.jp/policy/netsecurity/mng_guide.html