アスクルへのサイバー攻撃で何が起きた？受注停止の全容と企業が学ぶべき対策

2025年10月19日、オフィス通販大手の「アスクル」が大規模なシステム障害に見舞われました。法人向けの「ASKUL」や個人向けの「LOHACO」が停止し、多くの企業や個人ユーザーに影響が広がっています。

「一体何があったのか？」「自分の注文はどうなる？」「個人情報は大丈夫？」と不安に感じている方も多いのではないでしょうか。

この記事では、アスクルに起きたサイバー攻撃で、一体何が起きたのか、その原因から影響範囲、そして私たち企業が学ぶべき対策まで、ITライターの視点で分かりやすく解説していきます。

【速報】アスクルでランサムウェア攻撃が発生──受注・出荷が全面停止
犯人は誰？攻撃に使われたランサムウェア「Qilin」の正体
あなたの個人情報は大丈夫？データ流出リスクと影響範囲
なぜアスクルが狙われたのか？サイバー攻撃の侵入経路を徹底分析
復旧までどのくらいかかる?過去の事例から見る影響期間と被害額
企業が学ぶべき教訓──ランサムウェアから組織を守る5つの対策
もしランサムウェアに感染したら？初動対応の5ステップ
よくある質問と回答
まとめ：サイバー攻撃は「他人事」ではない──今こそ対策の見直しを
参考文献

【速報】アスクルでランサムウェア攻撃が発生──受注・出荷が全面停止

まず、現在起きている事態の概要を整理しましょう。これは「対岸の火事」ではなく、現代のビジネス環境そのものに潜むリスクが表面化した事件です。

2025年10月19日に確認されたシステム障害の全容

アスクルがシステムの異常を検知したのは、10月19日の午前7時頃でした。調査の結果、これは「Qilin（キリン）」と呼ばれるランサムウェア（身代金要求型ウイルス）によるサイバー攻撃だったことが判明しています。

どういうことかというと、攻撃者によって会社の基幹システムが暗号化されてしまい、受注や出荷を管理するシステムが完全に機能停止に陥った、ということです。19日の公表時点では「復旧の目処は立っていない」とされており、事態の深刻さがうかがえます。

法人向け「ASKUL」と個人向け「LOHACO」の両方が影響を受ける

この攻撃の影響は、アスクルの主要サービス全体に及んでいます。具体的には、以下のサービスが停止状態となりました。

法人向け「ASKUL」「ソロエルアリーナ」： Webサイトからの注文やFAX注文が受け付けられず、受注・出荷が停止。
個人向け「LOHACO」： 同様に受注・出荷が停止。すでに受注済みだった注文も、一部の直送品を除きキャンセル扱いとなりました。

アスクルの法人顧客IDは約569万件、LOHACOの累計お客様数は約1,010万アカウント（2025年5月時点）に上ります。非常に広範囲な利用者に直接的な影響が出ている状況です。

無印良品ECサイトも連鎖的に停止──サプライチェーンへの波及

この問題はアスクルだけに留まりませんでした。良品計画が運営する「無印良品」の公式ECサイトも、19日夜から全面停止するという事態に発展しています。

なぜ関係のないはずの無印良品まで？と疑問に思いますよね。実は、無印良品はECサイトの物流業務の大部分を、アスクルの子会社である「ASKUL LOGIST」に委託していました。つまり、アスクルのシステムが止まったことで、無印良品のECサイトも注文受付から発送までの一連の業務が不可能になったのです。

これは、一社のサイバー攻撃被害が、取引先や委託先を巻き込む「サプライチェーン・リスク」として顕在化した典型的な例と言えます。

犯人は誰？攻撃に使われたランサムウェア「Qilin」の正体

今回、アスクルを攻撃したとされる「Qilin（キリン）」。この名前を聞き慣れない方も多いと思いますが、セキュリティ業界では今、最も警戒されている攻撃グループの一つです。

ロシア系ハッカー集団が運営するRaaS型ランサムウェア

「Qilin」は、2022年頃から活動が確認されている攻撃グループです。運営者はロシア語圏を拠点にしていると推測されています。

彼らの特徴は、「RaaS（Ransomware as a Service）」というビジネスモデルを採用している点です。これは、ランサムウェアという「攻撃ツール」を開発する運営者が、それを実行犯（アフィリエイト）に貸し出し、利益を分け合うという仕組みです。まるでSaaS（Software as a Service）の犯罪版ですよね。これにより、高度な技術を持たない実行犯でも、強力な攻撃が可能になっているのです。

「二重脅迫」でデータ暗号化と情報流出の両方で脅迫

Qilinの最も厄介な手口が、この「二重脅迫（ダブルエクストーション）」です。

どういうことかというと、従来のランサムウェアはデータを暗号化して「元に戻したければ金を払え」と要求するだけでした。しかしQilinは、データを暗号化する「前」に、まず機密情報を盗み出します。

そして、「身代金を支払わなければ、盗んだデータをダークウェブで公開する」と脅迫するのです。これにより、被害企業は「システム復旧」と「情報漏洩」の二重の人質を取られることになります。

2025年に日本で最も猛威を振るう攻撃グループ

Qilinは、特に2025年に入ってから日本での活動を急激に活発化させています。警察庁の調査でも、2025年上半期の国内ランサムウェア被害は前年比1.4倍に増加しており、その中でもQilinが最も多くの被害を出していると報告されています。

記憶に新しいのが、2025年9月に発生したアサヒグループへの攻撃です。この攻撃もQilinによるもので、ビールの出荷が停止し最大90億円の損害が出たと報じられました。大手企業を狙った深刻な被害が、わずか1ヶ月ほどの間に相次いで発生しているのが現状です。

あなたの個人情報は大丈夫？データ流出リスクと影響範囲

アスクルやLOHACOを利用している方にとって、最も気がかりなのは「自分の個人情報やクレジットカード情報が漏れていないか？」という点だと思います。

現時点で判明している被害状況と調査中の内容

アスクルの公式発表（2025年10月19日時点）によれば、個人情報や顧客データの外部流出については「現在調査中」とのことです。

ランサムウェア攻撃では、まずシステムの復旧が最優先されますが、同時に「攻撃者がどこまで侵入し、何を盗んだのか」を特定するフォレンジック（デジタル鑑識）調査が行われます。この調査には数週間から数ヶ月かかることも珍しくありません。現時点では「不明」としか言えないのが実情です。

しかし、先ほど解説したQilinの手口が「二重脅迫」であることを考えると、データが外部に窃取されている可能性は非常に高いと考えるべきです。

過去のランサムウェア事例から見る情報流出の実態

過去の国内事例を見ても、ランサムウェア被害と情報流出はセットになっているケースがほとんどです。

2024年6月のKADOKAWAグループの事例では、約26万人分の個人情報流出が確認されました。また、2025年9月のアサヒグループの事例でも、Qilinが27GBのデータを窃取したと主張し、実際にデータの一部が公開されています。

盗まれた情報は、ダークウェブの暴露サイトで公開されたり、他の犯罪者に販売されたりして、フィッシング詐欺などの二次被害に使われる危険性があります。

利用者が今すぐ確認すべきこと・取るべき行動

では、私たち利用者は今、何をすべきでしょうか。不安を煽るだけでは意味がありませんので、具体的な対策を提案します。

現時点で、被害が確定していなくても「漏洩したかもしれない」という前提で行動することが重要です。

パスワードの変更： アスクルやLOHACOで使用していたパスワードをすぐに変更してください。特に同じパスワードを他のサービスでも使い回している場合は、今すぐ全てのサービスで変更が必要です。
不審なメールやSMSへの警戒： アスクルや公式機関を装い、「個人情報を確認してください」といったフィッシング詐欺が急増する可能性があります。絶対にリンクや添付ファイルを開かないでください。
クレジットカード明細の確認： クレジットカードの利用明細をこまめにチェックし、身に覚えのない請求がないか確認しましょう。
公式発表の確認： 不安な時は、SNSの噂ではなく、必ずアスクルやLOHACOの公式サイトで最新情報を確認するようにしてください。

なぜアスクルが狙われたのか？サイバー攻撃の侵入経路を徹底分析

「アスクルのような大企業でも攻撃を防げないのか？」と疑問に思うかもしれません。しかし、現在のサイバー攻撃は非常に巧妙化しており、「絶対に安全」という防御は存在しないのが現実です。

VPN機器の脆弱性が狙われやすい理由

今回の侵入経路はまだ特定されていませんが、近年のランサムウェア被害で最も多い侵入経路が「VPN機器の脆弱性」です。

VPNとは、社外から社内ネットワークに安全に接続するための仕組みで、特にテレワークの普及で利用が急増しましたよね。しかし、この「入口」が狙われているのです。

警察庁のデータでも、2024年のランサムウェア被害の55%がVPN経由でした。なぜVPNが狙われるかというと、

セキュリティパッチ（修正プログラム）の適用が遅れている
弱いパスワードを使っている
多要素認証（MFA）を導入していない

といった「設定の不備」を突かれやすいためです。攻撃者は常にインターネット全体をスキャンし、こうした脆弱なVPNを探しています。

ランサムウェアが企業ネットワーク内部に侵入する手口

攻撃は、VPNから侵入したら終わりではありません。むしろ、そこからが本番です。

侵入に成功した攻撃者は、すぐには活動せず、数週間から数ヶ月にわたってネットワーク内部に潜伏します。そして、PowerShellなど、システム管理者が普通に使う「正規のツール」を悪用しながら、徐々に活動範囲を広げていきます。

彼らの目的は、受注システムや顧客データベースといった「最重要データ（クラウンジュエル）」と、それらを復旧させないための「バックアップデータ」の場所を特定することです。全てを把握し、データを盗み出した後、満を持して一斉にランサムウェアを展開し、システムを暗号化するのです。

大企業でも防げない攻撃の巧妙さ

アスクルやアサヒグループの事例は、攻撃が「防ぐ」段階から、「侵入される前提で、いかに早く検知し、被害を最小化するか」という段階（ゼロトラスト）にセキュリティの考え方をシフトさせる必要性を示しています。

正規のツールを悪用されると、従来のウイルス対策ソフトでは異常を検知するのが非常に困難です。また、バックアップサーバーまで破壊されてしまうと、自力での復旧も不可能になります。これが、大企業であっても被害を防ぎきれない巧妙な手口の実態です。

復旧までどのくらいかかる?過去の事例から見る影響期間と被害額

利用者が気になる「いつ復旧するのか」、そして企業経営者が気になる「被害額はいくらになるのか」。過去の事例から推測してみましょう。

ランサムウェア被害からの復旧に要する平均時間

警察庁のデータによると、ランサムウェア被害からの復旧に「1週間以上1ヶ月未満」かかったケースが32%と最も多くなっています。

なぜこんなに時間がかかるのか？それは、「どのバックアップデータが安全か分からない」「被害範囲の特定に時間がかかる」といった問題があるからです。約7割の企業で、完全な復旧は困難だったというデータもあり、業務停止は長期化しやすい傾向があります。

アサヒグループやKADOKAWAの被害額と復旧状況

被害額についても、過去の事例が参考になります。

KADOKAWA（2024年6月）： システム復旧費用や補償費用などで、売上高で84億円、営業利益で64億円のマイナス影響、36億円の特別損失を計上しました。
アサヒグループ（2025年9月）： 最大で90億円の損害が出ると報じられています。ビールの出荷が停止し、年末商戦にも大きな影響が出ています。

これらの事例から、被害額は数十億円規模に達する可能性があることが分かります。

アスクルの業績への影響予測

アスクルの場合、受注・出荷という事業の根幹が停止しており、復旧が長引けば顧客離れや信用の失墜は避けられません。さらに、無印良品のような取引先の事業停止による損害も加わります。

トレンドマイクロの調査では、ランサムウェア被害を経験した企業の平均被害額は約2億2,000万円というデータもありますが、これは中小企業も含めた平均です。アスクルやKADOKAWAのような大手企業の被害額は、これを遥かに上回る規模になるでしょう。

企業が学ぶべき教訓──ランサムウェアから組織を守る5つの対策

今回の事件を受け、「うちの会社は大丈夫か？」と不安になっているIT担当者や経営者の方も多いはずです。これは他人事ではありません。今すぐ確認し、実行すべき5つの対策を提案します。

VPN機器の脆弱性対策と多要素認証の導入

まず、最大の侵入口であるVPNの点検です。今すぐ確認してください。

VPN機器のファームウェアは最新ですか？セキュリティパatchは適用されていますか？
VPN接続に多要素認証（MFA）は導入されていますか？もしIDとパスワードだけで入れているなら、非常に危険です。
パスワードが初期設定のまま、あるいは推測しやすいものになっていませんか？

多要素認証の導入は、コストパフォーマンスが最も高いセキュリティ投資の一つです。

バックアップデータを安全に保管する「3-2-1ルール」

ランサムウェア対策の「最後の砦」はバックアップです。しかし、ただバックアップを取っているだけでは意味がありません。攻撃者はバックアップも狙ってきます。

重要なのは、「3-2-1ルール」です。

「3」：データは常に3つ（本番データ＋バックアップ2つ）持つ。
「2」：うち2つは、異なる種類の媒体（例：社内サーバーとクラウド）に保存する。
「1」：うち1つは、必ずオフサイト（物理的に離れた場所）やオフライン（ネットワークから切り離した状態）で保管する。

ネットワークに常時接続されたバックアップは、本体と同時に暗号化されます。ネットワークから論理的・物理的に分離することが不可欠です。

従業員向けセキュリティ教育の重要性

VPNの次に多い侵入経路は、従業員がだまされる「フィッシングメール」です。巧妙なメールを見抜くのは困難ですが、教育と訓練でリスクは減らせます。

「不審なメールは開かない」という精神論だけでなく、「不審な挙動に気づいたら、すぐにIT部門に報告する」という文化を作ることが重要です。報告をためらう空気が、被害を拡大させます。

侵入検知システムとゼロトラストアーキテクチャの導入

攻撃は「防ぐ」ものではなく「侵入される」前提で考える、と解説しました。そこで重要になるのが、侵入後の不審な動きを検知する「EDR（Endpoint Detection and Response）」といったツールです。

また、ネットワークを細かく分割（セグメンテーション）し、万が一侵入されても被害を最小限に食い止める「ゼロトラスト」という設計思想への移行も、中長期的な対策として必須になってくるでしょう。

インシデント発生時の初動対応計画の策定

最後に、「もし感染したら、どう動くか」という計画（インシデント対応計画）はありますか？

「誰が責任者か」「最初の連絡はどこにするか（警察？セキュリティ業者？）」「どのシステムから止めるか」といった手順を事前に決め、訓練しておくことが、被害を最小限に抑える鍵となります。

もしランサムウェアに感染したら？初動対応の5ステップ

では、万が一自社で「ランサムウェアに感染したかも？」という端末を発見した場合、具体的に何をすべきか。パニックにならず、以下の5ステップを実行してください。

ステップ1：感染端末を即座にネットワークから隔離

最優先事項です。感染が疑われるPCを発見したら、即座にLANケーブルを抜き、Wi-Fiをオフにしてください。感染を他の端末に広げないことが何より重要です。

ここで絶対にやってはいけないのが「再起動」です。再起動することで暗号化が再開・進行してしまう可能性があります。

ステップ2：証拠保全と被害範囲の確認

可能であれば、表示されている脅迫画面（ランサムノート）をスマートフォンなどで撮影し、証拠を保全します。その後、他の端末にも感染が広がっていないか、どのサーバーが影響を受けているか、被害範囲の確認に移ります。

ステップ3：警察・専門機関への通報

自社だけで解決しようとせず、すぐに専門家に連絡してください。

警察（都道府県警のサイバー犯罪相談窓口や「#9110」）
IPA（情報処理推進機構）
契約しているセキュリティベンダーやフォレンジック（調査）業者

早期に専門家の支援を受けることが、迅速な復旧と原因究明につながります。

ステップ4:身代金を支払うべきか？専門家の見解

攻撃者から身代金を要求されますが、専門家や公的機関は「身代金は支払うべきではない」と一貫して推奨しています。

なぜなら、支払ってもデータが復旧される保証は一切ないからです。それどころか、「支払う企業」とリストアップされ、さらなる攻撃の標的になったり、支払った金が次の犯罪の資金源になったりします。原則として、支払う選択肢は取るべきではありません。

ステップ5：バックアップからの復旧とシステム再構築

ステップ1で隔離したネットワークとは別の、安全な環境で「感染していない」ことが確認されたバックアップデータからの復旧を試みます。

感染したシステムは、攻撃者が裏口（バックドア）を仕込んでいる可能性があるため、絶対にそのまま使ってはいけません。必ずOSごとクリーンインストール（初期化）してからデータを戻す、という鉄則を守ってください。

よくある質問と回答

Q. アスクルやLOHACOの個人情報は、結局漏洩したのでしょうか？

A. 2025年10月20日現在、アスクルは「調査中」としており、漏洩の事実は確定していません。しかし、攻撃者「Qilin」の手口（二重脅迫）を考えると、データが盗み出された可能性は高いです。利用者は「漏れたかもしれない」という前提で、パスワードの変更や不審なメールへの警戒といった自衛策を取ることを強くお勧めします。

Q. 「Qilin」という攻撃グループは、なぜこんなに被害を広げているのですか？

A. 主に2つの理由があります。1つは「RaaS（Ransomware as a Service）」という形態で、攻撃ツールをサービスとして提供しているため、実行犯が世界中に増えやすいこと。もう1つは、VPN機器の脆弱性を突いたり、正規のツールを悪用したりするなど、従来のセキュリティ対策では検知しにくい巧妙な手口を使っているためです。

Q. 今回はアスクルやアサヒなど大企業が狙われましたが、中小企業は大丈夫ですか？

A. 大丈夫ではありません。警察庁のデータでは、ランサムウェア被害の約7割は中小企業です。攻撃者は「大企業だから」狙うのではなく、「侵入できる隙（脆弱性）があるから」狙います。セキュリティ対策が手薄になりがちな中小企業こそ、VPNの点検やバックアップの見直しといった基本的な対策が急務です。