アサヒグループホールディングス（GHD）はどのようにしてランサムウエア攻撃の被害に遭ったのか。多くの人が疑問に思っていただろう。同社はセキュリティー対策に力を入れていると考えられていたからだ。その答えの一部が、2025年11月27日の記者会見で明らかにされた。ランサムウエア攻撃に備える企業にとって、学びの多い内容だったといえる。『ランサムウエア攻撃との戦い方 セキュリティー担当者になったら読む本』の著者が解説する。
社長が自分の言葉で攻撃を説明
同社を襲ったランサムウエア攻撃の影響は大きかった上に、事態はまだ完全には収束していない。また記者会見に臨んだ顔ぶれを見ると、技術的な内容にはほとんど答えないのではないかと筆者は懸念した。
だが予想は良い意味で裏切られた。記者会見の冒頭、勝木敦志社長自身から攻撃の概要が語られたからだ。大まかな内容は次の通り。
・アサヒGHDにおいてシステム障害が発生。調査により暗号化されたファイルを確認した
・約10日前、攻撃者がグループ内拠点のネットワーク機器経由で侵入していたことが判明した
・攻撃者は主要なデータセンターに侵入後、パスワードの脆弱性を突いて管理者権限を奪取。そのアカウントを使ってネットワーク内を探索し、複数のサーバーへの侵入と偵察を繰り返した
・侵入されたアクセス権を認証するサーバーからランサムウエアが一斉に実行され、起動中の複数のサーバーやパソコン端末の一部のデータが暗号化された
・従業員に貸与している一部のパソコン端末のデータが流出した
以上から、典型的なランサムウエア攻撃だったことがうかがえる。
問題は、侵入された「ネットワーク機器」が何なのかだ。VPN装置である可能性が極めて高いものの、勝木社長は「非常に重要なリスクにつながる情報」として回答を避けた。当然の対応である。絶対に言ってもらえないだろうと諦めた。
だがその後、「（対策として）VPNは廃止した」「（報道陣の）想像とそれほど違わないものと思う」と発言。さらに、悪用されたのが既知の脆弱性だったことも匂わせた。以上から、VPN装置の既知の脆弱性を悪用されて侵入されたと考えてよいだろう。
まとめると、攻撃者はVPN装置の既知の脆弱性を突いて侵入。ネットワーク内を探索（横移動、ラテラルムーブメント）し、脆弱なパスワードを破るなどして複数のコンピューターの権限を奪取。それらのメモリーに残っている情報などからActive Directory（AD）サーバー管理者の認証情報を入手して、ADサーバーの管理下にあるコンピューターにランサムウエアを感染させた――。以上が推測される攻撃シナリオだ。
今回の記者会見で印象的だったのは、技術的な内容についても勝木社長は自分の言葉で語っていたことだ。特に、勝木社長がセキュリティー製品の「EDR」に言及した際に強く感じた。
EDRは、Endpoint Detection and Responseの略である。単に「イーディーアール」と言えば済むところを、勝木社長は少なくとも2回「イーディーアール エンドポイント・ディテクション・アンド・レスポンス」と発言した。万全の準備で記者会見に臨んだことがうかがえた。
被害に遭うことを前提に備える
記者会見で語られたのは攻撃の概要だけだが、それでも十分に役立つ。教訓の1つが「アサヒGHDのような企業でもランサムウエア攻撃の被害に遭う」ということだ。万全のセキュリティー対策を施していても、業務データを暗号化されたり個人情報を窃取されたりする恐れがある。
そのため、ランサムウエア攻撃の被害に遭った場合を想定したBCP（事業継続計画）を作成し、それを実施できる体制を整える必要がある。具体的にはバックアップの取得やオフラインでの事業継続、情報漏洩時の対応などである。
ただいずれも言うはやすく行うは難し。例えばバックアップについては、ただ取得すればよいというわけではない。オンラインバックアップだけだと、バックアップデータも暗号化される恐れがある。
またバックアップデータがあっても、現実的な時間内に適切に復旧できなければ意味がない。勝木社長も記者会見において、「バックアップがあるからといって瞬時に復旧できるわけではない」と強調していた。
警察庁によると、2025年上半期にランサムウエア攻撃の被害を届け出た53件のうち51件がバックアップを取っていたという。だが適切に復旧できたのは、有効回答48件のうち7件だけだった。このことからも、「バックアップを取っていれば十分」といえないことが分かる。
記者会見からは、VPN装置の重要性も改めて示された。企業が使用しているVPN装置のうち、1台でも管理が不十分な装置があれば、確実に侵入されると考えたほうがよい。
対策は、使用しているVPN装置をとにかく洗い出すことだ。そして1台1台、脆弱性の修正状況や設定を確認する。漏れがあると、そこが侵入口になる。
ただ、社内の人員で洗い出すのは限界がある。そこで有用なのがASM（Attack Surface Management）サービスである。ASMとは、攻撃対象となり得る資産（コンピューターや機器）を管理することだ。ASMサービスでは、インターネットからアクセス可能なコンピューターや機器にアクセスし、脆弱性の有無などを調べる。これなら管理台帳に記載されていないVPN装置も洗い出せる。
Qilinの攻撃は「ルーティン化したビジネス」
もう1つの教訓としては、EDRのようなセキュリティー製品を導入していても被害に遭うということだ。もちろんEDRなどが無意味というわけではない。導入すれば攻撃への耐性は確実に高まる。ただし当然のことながら万全ではない。EDRの回避法は多数ある。
記者会見では、EDRを回避したことをもって「高度かつ巧妙な攻撃」と説明していた。確かに単純な攻撃でないことは明らかだが、何をもって「高度かつ巧妙」とするのかは難しいところだ。
筆者は「高度かつ巧妙な攻撃」という言葉に良い印象を持っていない。言い訳として使われることが少なくないからだ。実際にはリスト型攻撃（他のWebサービスなどから流出したパスワードを悪用する攻撃）やSQLインジェクション攻撃などの一般的な攻撃であるにもかかわらず、「高度かつ巧妙な攻撃だったので防げなかった」とする例を筆者はいくつか見聞きしてきた。
異論のない「高度かつ巧妙な攻撃」は確かに存在する。その1つがAPT（Advanced Persistent Threat）である。APTとは、特定の組織や個人を標的に、高度な技術を用いて長期間にわたり継続的に実施するサイバー攻撃である。主に国家が支援する攻撃者が、金に糸目を付けずに侵入などを試みる。
APTの代表例が、米Google（グーグル）などを襲った「オーロラ作戦（Operation Aurora）」だ。2010年1月に公表された。当時主流だったWebブラウザーInternet Explorerのゼロデイ脆弱性を突いた。オーロラ作戦の攻撃者は特定の国家が支援していたと見られ、少なくとも20社の大手企業が標的にされた。これを契機に、グーグルはゼロトラストを全面的に導入したとされる。
一方、アサヒGHDを襲ったとするQilin（キリン）はランサムウエア攻撃者であり、APT攻撃者ではない。彼らの攻撃は純然たる「ビジネス」であり、費用対効果が何よりも重要となる。攻撃手法はルーティン化しており、特定の組織に固執することは少なく、次から次へと攻撃を仕掛ける。コストのかかるゼロデイ脆弱性は使わずに、ほとんどの場合、既知の脆弱性を悪用する。
セキュリティー企業の韓国S2Wによれば、2025年10月に確認されたQilinの攻撃件数は191件。1件1件じっくり攻撃していては、この数字は実現できないだろう。
とはいえEDRを回避されたのは事実であり、その点では一般的なサイバー攻撃よりも高度だったといえるだろう。EDRを回避する手法やツールは多数存在し、それぞれ適用条件が異なる。どういった状況でもEDRを回避できる万能ツールは存在しない。このためQilinが使用したツールが、たまたまアサヒGHDの環境に適用できたのではないだろうか。
以上はあくまでも筆者の推測であり、的外れの可能性は高い。ただEDRが万全ではないことは明らかだ。EDRを導入している企業は、そのEDRはどういった状況だったら回避される可能性があるのか、ベンダーにぜひ聞いてほしい。それにより、EDRを回避する攻撃を回避する方法が見えてくると思う。
［日経クロステック 2025年12月10日付の記事を転載、一部改訂・改題］
【関連記事】
勝村幸博（著）／日経BP／3190円（税込み）