アスクルへのランサムウェア攻撃、被害が深刻化
2025年11月11日、アスクル株式会社が10月末に発生したランサムウェア攻撃について、流出情報の件数拡大を公表しました。オフィス用品の通販大手として知られる同社への攻撃は、ランサムウェアグループ「Ransomhouse」によるものとされ、すでに2回目のデータリークまで発生している深刻な事案です。
フォレンジック調査に従事する立場から言えば、この手のランサムウェア攻撃は一度成功すると、攻撃者が長期間にわたってシステム内に潜伏し、段階的にデータを窃取するケースが多いのが実情です。アスクルの事案も、まさにその典型例と言えるでしょう。
流出した情報の詳細
今回拡大が確認された流出情報は以下の通りです：
- 事業所向けEC（「ASKUL」「ソロエルアリーナ」）の顧客問い合わせ情報
- 個人向けEC（「LOHACO」）の顧客問い合わせ情報
- 商品仕入れ先（サプライヤー）の商品関連システム登録情報
幸い、LOHACOでは外部決済システムを利用しているため、クレジットカード情報の流出は回避されています。しかし、顧客の個人情報や企業の機密情報が攻撃者の手に渡っている状況は変わりません。
Ransomhouseによる二段階攻撃の手口
今回の攻撃で特筆すべきは、Ransomhouseが二段階にわたってデータを公開している点です。通常のランサムウェア攻撃では、身代金を支払わない企業に対して一度にデータを公開するケースが多いのですが、今回は10月30日の初回犯行声明に続き、11月8日頃に2回目のデータリークが発生しています。
2回目に公開されたとされる情報には以下が含まれているとの報告があります：
- 社員のメールアドレスリスト
- 社内フォルダリスト
- サポート関連の情報リスト
これは典型的な「二重恐喝」の手法で、企業に対してより強い心理的プレッシャーを与える狙いがあります。
個人ユーザーが取るべき対策
アスクルやLOHACOを利用していた方は、以下の点に注意してください：
1. なりすましメールへの警戒
流出した個人情報を悪用したフィッシングメールが送られてくる可能性があります。アスクルを装ったメールでも、以下の点をチェックしてください：
- 送信者のメールアドレスが公式ドメインか確認
- 不自然な日本語や誤字脱字がないか
- 緊急性を煽る内容ではないか
- 添付ファイルやURLリンクが含まれていないか
2. セキュリティソフトの導入・更新
このような大規模な情報流出事件の後は、マルウェアを仕込んだメールが大量に送られてくることがあります。アンチウイルスソフト
を最新状態に保ち、リアルタイム保護を有効にしておくことで、悪意あるファイルやWebサイトからシステムを守ることができます。
3. VPN利用による通信の暗号化
個人情報が流出している状況では、インターネット通信も狙われやすくなります。特に公共のWi-Fiを利用する際は、VPN
を使用して通信を暗号化することをおすすめします。
企業が学ぶべき教訓
今回のアスクル事案から、企業が学ぶべき教訓は数多くあります。フォレンジック調査の現場で見てきた経験から、以下の点が重要です：
1. 多層防御の重要性
ランサムウェア攻撃は単一の脆弱性を狙うのではなく、複数の侵入経路を組み合わせることが多いです。ファイアウォール、侵入検知システム、エンドポイント保護など、複数のセキュリティ層を構築する必要があります。
2. 定期的な脆弱性診断の実施
攻撃者はシステムの弱点を執拗に探します。Webサイト脆弱性診断サービス
を定期的に実施し、潜在的なリスクを事前に特定・修正することが不可欠です。
3. インシデント対応計画の策定
攻撃を完全に防ぐことは困難ですが、被害を最小限に抑えるための準備は可能です。インシデント発生時の対応手順を明文化し、定期的な訓練を実施することで、初動対応の迅速化が図れます。
ランサムウェア攻撃の現在の脅威レベル
Ransomhouseのようなランサムウェア集団は、近年ますます巧妙化しています。単純にファイルを暗号化するだけでなく、以下のような手法を組み合わせています：
- データの事前窃取（二重恐喝）
- 段階的な情報公開による心理的圧迫
- サプライチェーンを含む関連企業への波及攻撃
- ソーシャルエンジニアリングとの組み合わせ
このような高度な攻撃に対抗するには、技術的対策だけでなく、組織全体のセキュリティ意識向上が欠かせません。
今後の注意点と対策
アスクル事案は現在も調査中であり、追加の情報流出が発覚する可能性があります。同社を利用していた個人・法人問わず、以下の対策を継続的に実施することをおすすめします：
- パスワードの変更：アスクル関連サービスで使用していたパスワードを他のサービスでも使い回している場合は、すべて変更してください
- 二要素認証の設定：可能な限り、重要なアカウントには二要素認証を設定しましょう
- クレジットカード明細の確認：不正利用がないか定期的にチェックしてください
- フィッシング詐欺への警戒：今後数か月間は、アスクルを装った詐欺メールに特に注意が必要です
企業においては、この機会に自社のセキュリティ体制を見直し、必要に応じて外部専門機関による診断を受けることを強く推奨します。
ランサムウェア攻撃は「もし起きたら」ではなく「いつ起きるか」という前提で対策を講じる時代になっています。今回のアスクル事案を他山の石として、個人・企業それぞれが適切な対策を取ることが重要です。
