一拠点への侵入を、全社の被害に広げないために
拠点への侵入から管理者権限を奪取され、一斉暗号化へ。通信経路と権限の両方で被害を絞る設計を考えます。
拠点への侵入から、管理者権限を奪われて被害が広がった
2025年9月29日、アサヒグループでランサムウェアによるシステム障害が発生しました。攻撃者はその約10日前に、国内拠点のネットワーク機器から侵入していました。
攻撃者は主要データセンターへ入り込み、パスワードの弱点を突いて管理者権限を奪取しました。そのアカウントを使い、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返したとみられています。9月29日にはランサムウェアが一斉に実行され、複数のサーバーや一部の従業員用PCが暗号化されました。[1]
被害を止めるため、約300拠点との接続を遮断した
アサヒは被害拡大を防ぐため、リモートアクセスVPN、約300拠点の拠点間ネットワーク、クラウド間の接続を遮断しました。さらにインターネット回線も遮断してデータセンターを隔離し、全システムを停止しました。
受注・出荷システムも利用できなくなり、手作業での対応が続きました。電子受発注の再開は12月上旬、配送のリードタイムを含む物流業務全体の正常化は2026年2月となりました。被害の拡大を止めるための遮断も、業務停止につながったのです。
再発防止では、リモートアクセスVPN装置の全面廃止や古い通信経路の排除に加え、全システムのネットワーク分離・接続制限、認証・権限管理の強化を進める方針を示しました。[1]
通信経路と管理者権限の両方で、被害の広がる範囲を絞る
ネットワークをVLANなどで分割していても、業務や管理のために許可した通信経路は残ります。その経路を通り、奪った管理者アカウントで別のシステムを操作できれば、攻撃者は区画をまたいで被害を広げられます。
見直すべきなのは、どこへ通信できるかと、どの権限で何を操作できるかの両方です。例えば、ADなどで認証を共通化している環境では、一つの管理者アカウントが操作できる範囲や、その認証情報を使う端末まで確認します。管理用の端末・アカウントを業務用と分け、管理権限をシステムや用途ごとに限定する設計が必要です。
一つの拠点や認証情報が侵害されたとき、攻撃者はどこまで到達できるのか。侵害された範囲を切り離したとき、どの業務まで止まるのか。通信と権限、業務の依存関係を合わせて確認し、被害を限定できる構成かを検証することが重要です。