アスクル事案が示した、物流停止事例にみる経営課題

「通販会社の障害」では済まなかった理由

アスクルのランサムウェア事案を、「通販会社のシステム障害」とだけ見ると、本質を見誤る。同社は文具や日用品を販売する会社であると同時に、企業活動に必要な備品、消耗品、購買の流れを支える存在である。さらに、自社の販売だけでなく、外部企業の物流や販売チャネルにも関わっている。

そのため、今回止まったのは、単にWebサイトではない。注文、出荷、配送指定、問い合わせ、取引先への影響、顧客への説明といった、仕事を前に進めるための一連の流れである。オフィスの机の上に届くはずだったもの、店舗で売られるはずだったもの、取引先に出荷されるはずだったものが、連鎖的に止まった。

2025年10月19日、アスクルはランサムウェア攻撃によるシステム障害を確認し、「ASKUL」「ソロエルアリーナ」「LOHACO」といったサービスの受注・出荷業務を停止した。その後、10月29日に一部商品の出荷トライアルを始め、11月12日以降にASKULおよびソロエルアリーナのWeb受注を段階的に再開した。

2026年1月には、ASKULでサービス停止前に提供していたすべての商品を購入できる状態となり、配送日指定、時間帯指定、置き場所指定も再開した。LOHACOについても1月20日に全商品の注文を再開し、21日に出荷を再開して全面復旧したと公表されている。2月13日には、ようやく全物流センターで新物流システムによる出荷再開が完了し、主要なECサービス機能についても障害発生前の水準まで復旧したと発表された。つまり、ただ「止まった」のではない。長い停止と段階的な復旧を強いられたのである。

ここに、この事案の重さがある。サイバー攻撃は、情報システム部門の中だけで完結しない。業務の流れを止め、顧客対応を増やし、取引先との関係を揺らし、経営の数字にも影響する。場合によっては、企業が社会に提供している価値そのものまで問われる。「サイバー」と聞けば技術の話にも思えるが、実際には事業継続の話であり、信用の話であり、経営の話である。

攻撃は「入られた瞬間」に発動するとは限らない

もっと嫌な話がある。トレンドマイクロによるアスクル報告書の解説では、初期侵入日は2025年6月5日とされている。10月19日にランサムウェアが発動し、サーバー暗号化やファイル削除が行われるまで、4カ月以上の期間があったことになる。

これは、最近のランサムウェア被害を考えるうえで重要な点である。ランサムウェアというと、突然画面がロックされ、業務が止まる場面を想像しがちである。しかし実際には、侵入後すぐに攻撃を発動するとは限らない。社内の構造を調べ、権限を広げ、重要な情報やシステムの場所を探り、最後に最も痛いところを、場合によっては最悪のタイミングを見計らって狙う攻撃と捉えた方がよい。

アスクルの公表資料では、攻撃者は認証情報を窃取し、不正に使用したと推定されている。初期侵入後にはネットワーク偵察、複数サーバーへアクセスするための認証情報収集、EDREDR：エンドポイントの挙動を継続的に監視・記録し、すり抜けて侵入した脅威や不審な活動を検知して、調査と対応を支援する仕組み。詳しく見る →等の脆弱性対策ソフトの無効化、複数サーバー間の移動、権限取得が行われたとされる。さらに、必要な権限を奪取した後、複数サーバーにランサムウェアを展開し、ファイル暗号化を一斉に行った。その際、バックアップファイルの削除も同時に行われたことが確認されている。

本件では、例外的に多要素認証を適用していなかった業務委託先向け管理者アカウントのIDとパスワードが、何らかの方法で漏えいし、不正利用されたことが確認されていると解説されている。経営の言葉に置き換えると、問題は「最新の防御ツールが足りなかった」だけではない。例外運用が残り、特別扱いされた入口が攻撃者に利用された可能性がある、という点である。

企業では、委託先、保守用アカウント、古い運用、緊急時の例外などが残りやすい。現場にとっては理由がある。業務を止めないため、作業を早く済ませるため、以前からそうしていたためである。しかし攻撃者にとっては、その忘れられた例外こそが入口になる。

守りの強さは、最も強い場所ではなく、最も甘い場所で決まる。しかも、被害企業から見ると、このような例外は、そもそも識別・認識されていないことも多い。管理対象に含まれていない入口は、監視も強化されない。だからこそ、例外運用は「便利な裏口」ではなく、「経営が把握すべきリスク」として扱わなければならない。

バックアップは「ある」だけでは足りない

今回の事案で、もう一つ大きな論点になったのが復旧までの時間である。アスクルの公表資料では、物流システムや社内システムでランサムウェア感染が確認され、一部データ、バックアップデータを含むデータが暗号化され、使用不能になったと説明されている。物流センターを管理運営する複数の物流システムが暗号化され、同じデータセンター内のバックアップファイルも暗号化されたため、復旧に時間を要したとされる。さらに、攻撃者がバックアップファイルの削除も同時に行ったことが確認されている。

ここは、多くの企業にとって耳の痛い話である。バックアップを取っているかどうかは、よく確認される。だが、実際に問うべきなのは、「そのバックアップから、どの業務を、どの順番で、どれくらいの時間で戻せるのか」である。

本番環境と同じ攻撃で暗号化されたり削除されたりするバックアップは、いざというときに頼れない。通常の障害対策としては意味があっても、ランサムウェア対策としては不十分な場合がある。経営者に必要なのは、「バックアップはある」と聞いて安心することではない。「復旧訓練をしたか」「戻せることを確認したか」「どの業務を最優先で戻すかを決めているか」を問うことである。

特に物流や受発注を担う企業では、復旧の遅れがそのまま顧客や取引先の業務停止につながる。止めないことだけを考えるのではなく、止まる前提で考えておくことが肝要である。止まった後に、事業をいかに継続するか。どの業務を先に戻すか。手作業で代替できる範囲はどこか。ここまで考えて初めて、事業継続の計画になる。

それを実施するには、平時の業務では意識されにくい業務プロセスへの深い理解が必要となる。そうでないと、どの業務を手作業でこなし、どのシステムからどのように復旧していくかの手順を想像することすら難しい。

特に、長年使われてきたシステムほど、現存メンバーが詳細な仕様を把握していないことがある。その場合、既存システムを何とか元に戻すことだけが正解とは限らない。失われた仕様を掘り起こしながら復旧するよりも、現在の業務を知るメンバーで、必要な機能を整理し直し、システムを再設計・再構築した方が現実的な判断になることもある。

復旧とは、単にシステムを元の状態に戻すことではない。業務を再び安全に、確実に、継続できる状態へ戻すことである。その意味では、復旧計画は技術計画であると同時に、業務設計そのものでもある。

サプライチェーンは、止まって初めて姿を現す

アスクルは、自社だけで完結する会社ではない。トレンドマイクロの記事では、良品計画やそごう・西武が、アスクルの物流業務を外部企業に包括的に委託するサービスを利用していたことから、商品の発送などに影響が出たと紹介されている。報道では、無印良品、ロフト、そごう・西武、ネスレ日本などのネット販売や出荷にも影響が出たとされている。これは、サイバー攻撃が1社の問題にとどまらないことを示している。

サプライチェーンリスクという言葉は、会議資料ではよく使われる。しかし、実際に起きることはもっと具体的である。商品が出せない。届かない。売れない。問い合わせに答えられない。取引先に説明しなければならない。顧客からの信頼が揺らぐ。

つまり、サプライチェーンとは、平時には効率の仕組みであり、有事には依存関係の連鎖である。自社がどれだけ守られていても、委託先が止まれば自社の業務も止まる。逆に、自社が止まれば、顧客や取引先を止める側にもなる。

中小企業にとっても、これは他人事ではない。自社が物流を持っていなくても、受注管理、決済、クラウドサービス、外部倉庫、制作会社、保守会社など、多くの外部サービスに支えられている。問題は、「どこに委託しているか」だけではない。「その委託先が止まったとき、自社はどうなるか」である。

情報漏えいは、事故後の長期戦を生む

情報漏えいの面も軽視できない。アスクルは、2025年12月12日時点で、お客様情報に加え、一部の取引先情報が外部へ流出していると公表した。また、該当する顧客・取引先には個別通知を行い、公開された情報が悪用される可能性を踏まえ、長期的な監視体制を継続し、必要に応じて追加対応を実施するとしている。

ここで重要なのは、件数の多寡だけではない。関係者の広がりである。顧客、仕入先、委託先、サプライヤー、役員・社員。事業を回すために関わる人たちが、広く影響を受ける可能性がある。

サイバー事故は、復旧して終わりではない。問い合わせ対応、関係先への通知、追加調査、再発防止策の説明、信頼回復のための対応が続く。最初は技術対応として始まっても、最後は信頼をどう維持するかという経営の領域になる。

業績への影響もまた、事故の重さを物語る。2026年5月期通期決算では、ランサムウェア攻撃の影響により、営業損失は174億円、親会社株主に帰属する当期純損失は221億円となった。また、営業外費用として休止固定資産減価償却費12.6億円、特別損失としてシステム障害対応費用51億円が計上されている。これは単なるIT費用の増加ではない。売上、物流、顧客対応、取引先対応、信頼回復のコストが積み重なった結果として見るべきである。

セキュリティは、経営機能として扱う段階に入った

アスクルはその後、新たにCISOCISO：組織における、情報セキュリティを統括する最高責任者のこと。詳しく見る →を設置し、本部制の業務執行から独立した経営機能として、全社の情報セキュリティを統括する体制を整えたと説明している。CEO直下に独立した経営機能としてCISOを設置し、全社の情報セキュリティを統括する体制を整えたことは、サイバーセキュリティを現場任せにせず、経営機能として扱う方向への見直しと見ることができる。

これは、単なる組織改編ではない。今回のように、攻撃が物流、顧客対応、取引先、業績、ブランド、株主への説明にまで波及するなら、サイバーセキュリティは情報システム部門だけで背負える課題ではない。経営戦略、事業継続、内部統制、リスクマネジメント、サプライチェーン管理を横断して扱う必要がある。

この意味で、CISOの役割は、技術対策の責任者にとどまらない。経営がどこまでのリスクを許容するのか。どの業務を最優先で守るのか。どの取引先依存を許容するのか。どの例外運用を廃止するのか。どの復旧水準を目標にするのか。そうした問いを、経営の言葉で整理し、組織に実装する役割が求められる。

経営者がいま見直すべきこと

この事案から経営者が向き合うべき問いは、3つある。

第1に、例外運用を把握しているか。委託先のアカウント、管理者権限、保守用ID、多要素認証の対象外になっている利用者。さらに、設置されたまま放置されているサーバーやVPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →など、こうした例外は、現場では無害あるいは便利であっても、攻撃者にとっては入口になる。まずは、誰がどの権限を持ち、どこに例外があるのかを棚卸しする必要がある。NIST（アメリカ国立標準技術研究所）のサイバーセキュリティフレームワークで言えば、これは対策の地図とも言える「識別」の問題である。識別できていないものは、管理も監視もできない。

第2に、戻せる仕組みになっているか。バックアップは取っているかではなく、実際に戻せるかである。どのシステムを優先復旧するか。復旧までの間、手作業で代替できるか。物流、受注、請求、問い合わせ対応のうち、何を先に戻すべきか。これは情報システム部門だけで決める話ではない。経営、営業、物流、顧客対応部門を含めて決めるべき話である。そして、単にバックアップデータが戻せたから大丈夫ということでもない。現実に問われるのは、業務を戻せるかどうかである。データの不整合をさばき、正常に復帰していくところまで確認しておきたい。

第3に、自社はどの取引先に依存しているのか。さらに、自社が止まったとき、どの顧客や取引先の業務に影響するのか。これはサプライチェーンの地図を持つということである。

アスクル事案が示したのは、ランサムウェアの怖さだけではない。便利な業務基盤を提供する会社ほど、止まったときの影響が大きいという現実である。平時に効率を支える会社は、有事には継続力を問われる。

経営者が社内で最初に投げかけるべき問いは、難しい技術用語ではない。

「自社が止まったら、どこの何を止める会社なのか」。

この問いから始めることが、サイバーセキュリティを経営課題として捉え直す第一歩である。