2025年9月29日、アサヒグループホールディングスが大規模なサイバー攻撃を受けました。
影響を受けたのは、会社のホームページやメールだけではありません。
国内グループ各社の受注・出荷業務が停止し、アサヒビール、アサヒ飲料、アサヒグループ食品の生産や物流にまで影響が広がりました。和光堂ブランドのベビーフードや粉ミルク、介護食品など、人々の生活に必要な商品を扱うアサヒグループ食品でも、国内7工場すべてが影響を受け、10月8日時点でようやく全工場が「一部生産再開」という状態でした。
さらに、システムを使った通常の電子受発注がアサヒグループ食品で再開したのは12月2日です。配送リードタイムまで含めて物流業務全体が正常化したのは2026年2月でした。
つまり、攻撃から物流の完全正常化まで約4～5カ月を要したことになります。
今回の事件は、単なる「大企業のパソコンがウイルスに感染した」という話ではありません。
むしろ重要なのは、
工場そのものを破壊しなくても、情報システムを攻撃するだけで食品供給を大きく混乱させられる
ことが実際に示された点です。
シビックギルドでは、戦争・犯罪・災害などが発生しても市民生活を守り続けられる能力を「Protection」として評価しています。
その視点から見ると、今回のアサヒへのサイバー攻撃は、食品企業のProtectionとは何なのか、さらに日本という国のProtectionは十分なのかを考える重要な事例です。
工場を壊さなくても食品供給は止められる
戦争で食料供給を妨害すると聞けば、多くの人は工場や倉庫への物理的な攻撃を想像するかもしれません。
しかし、現在の巨大食品企業は、生産工場だけで動いているわけではありません。
注文を受ける。
在庫を把握する。
どの商品をどの倉庫から出すか決める。
物流会社へ配送を指示する。
取引先と情報を共有する。
売上や経理を処理する。
こうした大量の業務がITシステムにつながっています。
アサヒグループは攻撃発覚後、被害の拡大を防ぐため、リモートアクセスVPN、約300拠点をつなぐ拠点間ネットワーク、クラウド間接続の専用回線を遮断し、さらにインターネット回線も切断してデータセンターを完全に隔離しました。
セキュリティ上、この判断そのものは必要だったと考えられます。
しかし、その結果としてデータセンター内の業務システムへアクセスできなくなり、受注・出荷システムも停止しました。
アサヒは手作業で受注・出荷を続けましたが、通常の電子受発注に戻るまで2カ月以上かかっています。
ここには、現代社会の重要な弱点があります。
工場が残っている。
商品も作れる。
倉庫もある。
トラックも存在する。
それでも、情報が流れなくなれば商品を十分に届けられません。
サイバー空間と現実世界は、すでに別々のものではないのです。
効率化が進むほど、一つの障害が広がる可能性もある
企業が受注、生産、在庫、物流、会計などをデジタル化して一体的に管理することには大きなメリットがあります。
人が電話やFAXで一件ずつ注文を処理するより速く、間違いも減らせます。
必要な在庫量を正確に把握できれば廃棄も減らせます。
生産計画も最適化できます。
これはInnovationとして評価できるでしょう。
しかし、効率性を高めるために多くの業務を一つのシステムへ依存させれば、そのシステムが止まったときの影響も大きくなります。
米国のCISAも、重要インフラ同士がITや通信などを通じて相互依存していることを重要なリスクとして扱っています。ある機能の停止が別のインフラへ波及する可能性があるためです。
つまり、
Innovationを進めれば自動的に人間への貢献度が上がるわけではありません。
効率化と同時に、
「一つが止まっても全体が止まらないか」
を考える必要があります。
シビックランクでは、InnovationとProtectionを分けて審査する理由の一つでもあります。
アサヒは単に「運が悪かった」のか
では今回、アサヒは非常に高度なサイバー攻撃を受け、運悪く被害を受けただけなのでしょうか。
サイバー攻撃を100％防ぐことは困難です。
どれだけ多額のセキュリティ投資を行った企業でも、攻撃を受ける可能性はあります。
したがって、サイバー攻撃を受けたという事実だけを理由に企業を低く評価するべきではありません。
しかし今回については、アサヒ自身の調査によって、かなり具体的な侵入経路が判明しています。
攻撃者はシステム障害が発生する約10日前、アサヒグループ内拠点に設置されていたネットワーク機器を経由して内部ネットワークへ侵入しました。
その後、主要データセンターへ入り、パスワードの脆弱性を突いて管理者権限を取得。奪ったアカウントを使って、主に業務時間外に複数のサーバーへの侵入や偵察を繰り返したとアサヒは説明しています。
そして9月29日、ランサムウェアが一斉に実行されました。
つまり、突然数分間で攻撃されたわけではありません。
攻撃者は内部へ侵入し、管理者権限を取り、ネットワークを調べる時間を持っていました。
結果として、それをランサムウェアの一斉実行前に排除できなかったことになります。
もちろん、これだけでアサヒのセキュリティ全体が杜撰だったと断定することはできません。
しかし、
「完全に運が悪かっただけ」
とも言いにくいでしょう。
アサヒ自身が「内部統制の重要な不備」を認めた
さらに重要なのが、事件から約10カ月後の2026年7月27日にアサヒグループHDが公表した内部統制報告です。
会社は2025年12月期について、財務報告に係る内部統制が「有効ではなかった」と判断し、開示すべき重要な不備があったと公表しました。
アサヒには情報システムやサイバーセキュリティに関する規程が存在していました。
問題は、規程を作っていたかどうかだけではありません。
アクセス権限管理など、一部の運用が十分に実施されていなかったことが問題となりました。
これはProtectionを審査するうえで重要です。
企業のサイトに、
「サイバーセキュリティを重視しています」
「BCPを策定しています」
「情報セキュリティ規程があります」
と書いてあるだけでは、本当に人間を守れる企業なのかは分かりません。
重要なのは、
その仕組みが実際に機能したのか
です。
アサヒは再発防止策として、ネットワーク構成の見直し、外部侵入リスクのある機器への対応、ゼロトラスト化、監視強化、権限管理強化、ログ分析、バックアップ・復旧能力の向上などを進めています。
再発防止へ動いていることは評価できます。
一方で、事件前のProtectionには改善すべき部分があったことも事実です。
サイバー攻撃では「防げたか」だけでなく「何日で戻れたか」も重要
もう一つ、今回の事件からシビックランクへ取り入れたいのが「復旧力」です。
企業を評価するとき、
サイバー攻撃を受けたか、受けなかったか
だけを見ても十分ではありません。
例えば、同じランサムウェア攻撃を受けても、
翌日には手動受注へ完全移行し、市民への商品供給をほぼ維持できた企業と、
何カ月も供給制限が続いた企業では、
Protectionは大きく違うはずです。
アサヒグループでは、攻撃後に受注・出荷システムが停止し、手作業を続けました。
アサヒグループ食品のEOSによる受注再開は12月2日。
制限されていた配送リードタイムが正常化し、物流業務全体が通常状態へ戻ったのは2026年2月です。
しかも影響は物流だけではありません。
サイバー攻撃によって経理関連システムまで停止したため決算業務にも遅れが生じ、アサヒグループHDは2025年12月期の有価証券報告書について提出期限の延長を申請する事態になりました。
一つのサイバー攻撃が、
生産、
受注、
出荷、
物流、
顧客対応、
個人情報、
経理、
決算、
企業情報開示
まで波及したわけです。
Protectionを見るなら、
防御力だけではなく、継続力と復旧力も評価する必要があります。
BCPは作って終わりではない
BCPとはBusiness Continuity Plan、つまり事業継続計画です。
災害、事故、サイバー攻撃などが発生しても重要な業務を続けたり、早期に復旧したりするための計画です。
巨大食品企業にとってBCPは特に重要です。
なぜなら、食品企業が止まると困るのは株主や経営者だけではないからです。
スーパーへ商品が届かなくなる。
飲食店へ原料が届かなくなる。
場合によっては、乳幼児、高齢者、病気の人などが必要とする食品にも影響する可能性があります。
今回のアサヒ事件では手作業による受注・出荷が行われ、すべての供給が完全停止し続けたわけではありません。
これは代替対応が一定程度機能したと評価できます。
しかし通常物流へ戻るまでには数カ月を要しました。
であれば今後は、
システムが使えない状態でどこまで出荷できるのか。
工場単位で独立して動けるのか。
受注情報を別経路で受け取れるのか。
バックアップから何時間で復旧できるのか。
代替物流を準備しているのか。
そうした実際に動かせるBCPを見る必要があります。
Protectionは「計画書を持っているか」ではなく、危機のときに市民生活をどこまで維持できるかで評価するべきでしょう。
犯行声明を出したQilinは身代金を狙うサイバー犯罪組織
今回の攻撃については、ランサムウェアグループ「Qilin」が犯行声明を出しました。
Qilinは、攻撃者へランサムウェアのツールやインフラを提供し、得られた身代金の一部を受け取るRansomware-as-a-Service、いわゆるRaaS型の犯罪基盤として知られています。
Reutersによれば、Qilinはアサヒから9,300以上のファイル、約27GBのデータを盗んだと主張しました。ただし、Reutersはその主張を独自には確認できず、アサヒも当時Qilinの主張について回答していません。そのため「Qilinが攻撃した」と確定事項として扱うのではなく、Qilinが犯行声明を出した、とするのが正確です。
米国保健福祉省の資料でも、QilinはRaaSとして運営され、データを暗号化するだけでなく、盗んだ情報を公開すると脅して身代金を要求する「二重恐喝」を行う組織として整理されています。
したがって今回については、食品供給を破壊すること自体よりも、企業へ損害を与え、金銭を得ることが主目的だった可能性が高いと考えられます。
しかし、ここで話は終わりません。
金銭目的の犯罪者が使った手段は、戦争でも使える
今回の攻撃が外国政府の命令によるものだったという証拠はありません。
しかし、食品企業のProtectionを考えるなら、
「今回の犯人は誰だったのか」
だけを見るべきではありません。
もっと重要なのは、
同じ弱点を、別の目的を持った攻撃者も利用できる
ことです。
戦争になれば、攻撃者の目的は身代金ではなくなる可能性があります。
敵国の社会を混乱させる。
物流を止める。
電力を止める。
通信を止める。
行政を混乱させる。
そして食料供給を不安定にする。
サイバー攻撃は、すでに実際の戦争でそのように利用されています。
ロシアのウクライナ侵攻では、軍事攻撃とサイバー攻撃が組み合わされた
代表的なのがロシアによるウクライナ侵攻です。
2022年2月24日、ロシア軍がウクライナへの全面侵攻を開始する約1時間前、衛星通信ネットワーク「KA-SAT」がサイバー攻撃を受けました。
EUはこの攻撃をロシアによるものとし、ウクライナの政府機関、企業、市民などに通信障害を発生させ、軍事侵攻を容易にしたと評価しています。
重要なのは時間です。
サイバー攻撃が起き、その直後に軍事侵攻が始まった。
つまり、サイバー攻撃は戦争とは別の犯罪ではなく、軍事作戦と組み合わせる手段になっています。
敵の戦車を破壊しなくても通信を使えなくする。
発電所を爆撃しなくても制御システムを止める。
物流拠点を破壊しなくても配送情報を混乱させる。
現代の戦争では、物理空間とサイバー空間の境界が薄くなっています。
今回のQilinの基盤は北朝鮮系アクターにも利用されていた
さらに注目すべき事実があります。
日本の外務省が公開している多国間制裁監視チームの2025年報告書では、北朝鮮系とされるサイバーアクター「Moonstone Sleet」が、少なくとも2025年2月以降、ロシアを拠点とする非国家サイバー犯罪グループQilinからランサムウェア機能を借り、複数の被害組織にQilinランサムウェアを展開していたとされています。
ここは誤解してはいけません。
アサヒを北朝鮮が攻撃したと確認されたわけではありません。
その証拠は現在公表されていません。
しかし、
アサヒへの攻撃について犯行声明を出したQilinの犯罪基盤が、実際に北朝鮮系アクターにも利用されていた
ことは重要です。
つまり、犯罪者と国家系攻撃者が使用する道具やインフラは、完全に別々とは限りません。
平時には身代金目的で使われる攻撃基盤が、国家系アクターに利用されることもあります。
だから今回のProtection上の問題は、
「北朝鮮がアサヒを攻撃したのか」
ではありません。
平時の犯罪者に利用された弱点は、有事には国家系攻撃者にも利用され得る
ことなのです。
戦争になれば食品企業も無関係ではない
もちろん戦争になった場合、最初にサイバー攻撃の対象となるのは軍、政府、通信、電力、金融など、より直接的な軍事・国家機能である可能性が高いでしょう。
しかし戦争が長期化すれば、食品供給も国家を支える重要な機能です。
兵士も市民も食事をしなければ生きられません。
さらに食品の中には、代替しやすいものと、代替が難しいものがあります。
例えば乳幼児用の粉ミルクやベビーフード。
高齢者や要介護者向けの介護食。
特定の栄養管理が必要な食品。
こうした商品は、「別の商品を食べればいい」で簡単に代替できない人もいます。
アサヒグループ食品は、まさにそうした商品を扱う企業です。
そのため、アサヒグループ食品のサイバー防衛は、
会社の売上を守るためだけのものではありません。
乳幼児や高齢者を含め、市民の生活を守るProtectionでもあります。
日本政府も「一企業だけの問題ではない」と認識している
では日本政府は、この事件を単なる民間企業のトラブルとして扱ったのでしょうか。
そうではありません。
2025年10月10日のデジタル担当大臣会見では、アサヒへのランサムウェア攻撃について、国内グループ各社の受注・出荷停止や新商品の発売延期など、国民生活へ影響が生じていることが取り上げられました。
さらに12月23日の会見では、アサヒグループやアスクルへの攻撃について、民間生活へ一定程度の影響を及ぼしており、基幹インフラへの攻撃につながることを防ぐためにも「一企業だけの問題ではない」と捉える必要があるとの認識が示されています。
2026年4月には経済産業省も、特定国家を背景とする情報窃取、ランサムウェアによる広範囲な業務停止、重要インフラへの攻撃などを産業界が直面する重大なリスクとして挙げ、サプライチェーン全体での対策強化を進めています。
さらに2026年7月31日のサイバーセキュリティ戦略本部では、政府は国家を背景とするものを含めたサイバー攻撃を、日本の経済社会や国家安全保障への大きな脅威と位置づけ、社会全体のレジリエンス強化を指示しています。
そのため、
「日本政府はサイバー攻撃を軽視している」
とするのは正確ではありません。
政府も問題を認識し、対策を強化しています。
しかし、それでも疑問は残ります。
日本では食品製造が「重要インフラ」に入っていない
日本政府が2025年に策定した「重要インフラのサイバーセキュリティに係る行動計画」では、重要インフラとして情報通信、金融、航空、空港、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油、港湾の15分野を対象としています。
ここに食品製造は独立した分野として入っていません。
物流は重要インフラです。
しかし、物流会社が正常でも、そもそも食品メーカーの受注・生産・出荷機能が止まれば商品は届きません。
電力も重要です。
水道も重要です。
通信も重要です。
しかし、
電気も水も通信もあるのに、食料が供給されなければ市民生活を維持できるでしょうか。
アサヒ事件は、その疑問を現実のものにしました。
米国では「Food and Agriculture」が重要インフラ
ここは日本と米国で大きく違います。
米国では16の重要インフラ分野が設定されており、その一つに明確にFood and Agriculture Sector（食品・農業分野）があります。
担当政府機関として農務省と保健福祉省が指定されています。
これは、食料供給が単なる民間ビジネスではなく、
国民生活、
公衆衛生、
経済、
国家安全保障
に関わる機能だと位置づけているということです。
日本と米国では制度そのものが異なるため、単純に「米国の方が優れている」と断定することはできません。
しかし、
食品供給を国家のProtectionとして明確に位置づけているか
という点では、米国の方が分かりやすい考え方を採用しています。
米国では食肉最大手JBSへの攻撃をFBIが追跡した
食品企業への大規模サイバー攻撃は、アサヒが初めてではありません。
2021年には、世界最大級の食肉企業JBSがランサムウェア攻撃を受け、米国、カナダ、オーストラリアの食肉生産施設が停止しました。
FBIは攻撃から間もなく、REvil/Sodinokibiによる攻撃と判断したことを公表し、攻撃者へ責任を負わせるため捜査を進めると表明しました。
その後、REvilに対しては国際的な捜査が行われ、関連する攻撃者の逮捕、暗号資産の差し押さえ、制裁など、複数国・複数機関をまたぐ対処が行われました。FBIは後に、JBSを攻撃したREvilに対する一連の作戦で、被害者への復号鍵提供、700万ドルを超える暗号資産の差し押さえ、複数の関係者の逮捕などにつながったと説明しています。
FBIはJBS事件について、サイバー犯罪者が人々の食卓に食べ物を届ける能力にまで影響を与え得ることを示した事例として扱っています。
この認識は重要です。
食品企業へのサイバー攻撃は、
企業と犯罪者の問題だけではない。
食料供給を守る国家の問題でもある、という考え方です。
日本政府の対応は甘いのか
では、日本の対応は米国に比べて甘いのでしょうか。
現時点では、
「日本政府は何もしていない」
とは言えません。
サイバー対処能力強化法を含め、政府は近年かなり対策を強化しています。
企業との情報共有、重要インフラの脆弱性対応、サプライチェーンのセキュリティ評価なども進めています。
一方で、アサヒ事件によって巨大食品企業が長期間にわたり物流障害を起こしたにもかかわらず、食品製造そのものは現在も日本の重要インフラ15分野に独立して位置づけられていません。
ここには検討の余地があります。
特に、
粉ミルク、
ベビーフード、
介護食、
主食、
飲料水、
その他の生活必需食品
を大量に供給する企業については、一般的な食品企業とは別に、社会インフラに近い役割を持っていると考えることもできます。
アサヒのような企業を全面的に「国家重要インフラ」とすることが適切かは議論が必要でしょう。
しかし、
食品供給のサイバーProtectionを現在より強く国家安全保障へ組み込む必要があるのではないか
という問題提起は十分に成り立ちます。
国のシビックランクでもProtectionを審査できる
シビックランクは企業だけに適用する必要はありません。
将来的には国も、
Safety、
Innovation、
Protection
という視点から評価できます。
特に国家のProtectionを見る場合、単純な軍事力ランキングにはしない方がよいでしょう。
戦争になったときに戦闘機を何機持っているかだけでは、市民を守る能力は分かりません。
重要なのは、
食料を確保できるか。
水を供給できるか。
電力を維持できるか。
通信を維持できるか。
医薬品を確保できるか。
物流を動かせるか。
サイバー攻撃を防げるか。
攻撃を受けても代替手段へ移行できるか。
災害や戦争によって一つの地域が機能しなくなったとき、別の地域から供給できるか。
そして、それらをどれだけ早く復旧できるかです。
Protectionとは、敵を倒す能力だけではなく、市民の生活を止めない能力でもあります。
この考え方で見ると、日本のProtectionについても、単純に「高い」「低い」と決める前に多くの項目を審査する必要があります。
しかし少なくとも、今回確認した食品供給のサイバーProtectionには改善の余地があると考えられます。
アサヒだけを責めれば解決する問題ではない
今回の事件について、アサヒ側には改善すべき点があります。
約10日前から侵入され、パスワードの脆弱性から管理者権限を奪われました。
システム停止後には国内の広い範囲で受注・出荷へ影響が生じました。
さらに会社自身が内部統制の重要な不備を認めています。
Protectionとして減点される材料です。
しかし、アサヒ一社だけを責めても問題は解決しません。
食品企業にどの程度のサイバー防衛を求めるのか。
どの程度のBCPを義務づけるのか。
社会的に重要な食品企業と政府がどのように情報共有するのか。
大規模攻撃を受けたとき、国がどこまで復旧を支援するのか。
攻撃者をどのように特定し、摘発し、攻撃コストを高めるのか。
これは企業だけでは解決できない問題です。
米国の事例からも分かるように、重要インフラを守るには企業の防御と国家の防御の両方が必要です。
シビックマーケットでは「止まらない企業」を評価したい
今回の事件を踏まえると、企業のProtection審査もさらに具体化できます。
単純に、
「サイバー攻撃を受けたから減点」
という審査にはしない方がよいでしょう。
攻撃される可能性を完全にゼロにすることはできないからです。
見るべきなのは、侵入をどこまで防いでいたのか、早期発見できたのか、被害を一部のシステムへ限定できたのか、代替手段へ移行できたのか、市民への供給を維持できたのか、何日で復旧できたのか、事件後に十分な改善を行ったのか、そして被害をどこまで正確に公開したのかです。
今回のアサヒにも評価できる部分はあります。
海外で管理しているシステムへの影響は確認されず、被害は日本で管理するシステムに限定されました。攻撃後には手作業による受注・出荷を行い、全工場の部分的な生産再開も進めました。さらに原因調査を公表し、再発防止策も示しています。
一方で、侵入を許した経緯、管理者権限を奪われたこと、数カ月にわたる物流への影響、内部統制の重要な不備などは、Protection上の重大な課題です。
この両方を評価する必要があります。
サイバーセキュリティは「会社を守る費用」ではない
企業にとってセキュリティ投資は、直接売上を生み出しにくい費用に見えるかもしれません。
システムが正常に動いている間は、
「こんなにバックアップが必要なのか」
「ネットワークをそこまで分離する必要があるのか」
「セキュリティ人材にそこまでお金を使う必要があるのか」
と思われることもあるでしょう。
しかし、アサヒの事件を見ると、その考え方は危険です。
セキュリティ投資によって守られているのは会社のデータだけではありません。
食品を作る。
注文を受ける。
商品を運ぶ。
店頭へ並べる。
市民が購入する。
その社会的な流れそのものです。
だから食品企業におけるサイバーセキュリティは、
利益を守るためのIT費用ではなく、市民生活を守るProtectionへの投資
と考えた方が実態に近いでしょう。
まとめ｜企業のProtectionと国家のProtectionはつながっている
2025年9月29日に発生したアサヒグループへのサイバー攻撃は、食品企業のProtectionを考える重要な事例になりました。
攻撃者は障害発生の約10日前から内部へ侵入し、パスワードの脆弱性を突いて管理者権限を取得していました。
ランサムウェアの実行後、アサヒは被害拡大を防ぐために約300拠点のネットワークなどを遮断。
その結果、受注・出荷などの業務にも大きな影響が生じました。
アサヒグループ食品では全7工場が影響を受け、電子受発注再開は12月、物流業務全体の正常化は2026年2月となりました。
さらにアサヒ自身が、その後の内部統制報告で重要な不備を認めています。
したがって、
「高度な攻撃だったから仕方がない」
だけで済ませることはできません。
一方で、今回の攻撃が北朝鮮など特定国家によるものだった証拠もありません。
Qilinが犯行声明を出していますが、それだけから特定国家の関与を断定することはできません。
ただし、Qilinのランサムウェア基盤を北朝鮮系アクターが実際に利用していたことは確認されています。
そしてウクライナでは、軍事侵攻とサイバー攻撃が組み合わせられ、通信などの社会インフラが標的になりました。
つまり、
平時に犯罪者が突いた弱点が、有事には国家安全保障上の弱点になる可能性があります。
その意味で、アサヒへのサイバー攻撃は単なる企業ニュースではありません。
さらに考える必要があるのが日本政府です。
政府はアサヒ事件を「一企業だけの問題ではない」と認識し、サイバー防衛を強化しています。
それでも、日本の重要インフラ15分野には食品製造が独立した分野として含まれていません。
一方、米国ではFood and Agricultureが重要インフラの一つです。
戦争や災害が起きても、
電気が使える。
水が出る。
通信できる。
しかし食べ物が届かない。
それでは市民を守れているとは言えません。
Protectionとは軍事力だけではありません。
危機が起きても、市民が生活を続けられる社会を作ること。
企業には、自社の商品を止めないためのProtectionが必要です。
国家には、社会全体の供給網を止めないProtectionが必要です。
今回のアサヒ事件は、その二つが切り離せないことを示した事件だったのではないでしょうか。
