アスクルで漏えい懸念が134万件に拡大——2025年10月のランサムウェア攻撃で追加60万件が判明、個人情報保護委員会から行政指導も

「会社でアスクルを使っているんだけど、自分の情報も漏れているの？」
「ランサムウェアって感染したら終わりなの？ 復旧できるの？」

チップス

会社でアスクルを使っているんでしゅけど、自分の情報も漏れているんでしゅか？

ボス

2025年10月に発生したランサムウェア攻撃の影響が調査を経るたびに拡大している。今回の追加発表で漏えい懸念の総件数は134万件に達した。

アスクル株式会社は2026年7月30日、2025年10月19日に受けたランサムウェア攻撃に関連する追加調査の結果を発表し、新たに約60万件の個人情報が漏えいのおそれがあると公表しました。
これにより漏えい懸念の総件数は約134万件に拡大。個人情報保護委員会からの行政指導も受けたことが明らかになっています。

大規模なデータ漏えいが後から判明するケースは多く、「調査中」の段階では被害の全容が見えないことを企業は認識する必要があります。

事件の経緯——2025年10月の攻撃から134万件の漏えい懸念まで

アスクルは2025年10月19日、ランサムウェアによるサイバー攻撃を受け、システム障害が発生しました。
その後の調査で、2025年7月15日から10月19日の間に発送した注文に関する顧客情報が外部に漏えいしていた可能性が判明しています。

2026年7月30日の第13報では、追加調査で以下の情報が漏えいのおそれがあると新たに特定されました。

チップス

なぜ発覚から9ヶ月も経ってから追加漏えいが判明するんでしゅか？

ボス

ランサムウェアは暗号化だけでなく、ネットワーク内を長期間横断してデータを収集してから攻撃する。どのデータが持ち出されたかを特定するのに時間がかかる。今回は複数のシステムにまたがって調査が必要だったためだな。

ランサムウェア攻撃の手口と教訓——EDR検知回避型の脅威

アスクルが公表した技術情報によると、今回の攻撃では「複数種のランサムウェアが使用され、当時のEDRシグネチャでは検知が難しいものも含まれていた」とされています。

この「EDR検知回避型」ランサムウェアの台頭は、企業セキュリティにとって重大な課題です。

チップス

EDRがあっても防げないなら、何をすればいいんでしゅか？

ボス

EDRは必要だが十分ではない。行動ベースの検知・ネットワーク異常監視・最小権限原則の徹底・バックアップの隔離保存の多層防御が重要だ。どれか一つに頼ることが最大のリスクになる。

個人情報保護委員会からの行政指導は、インシデント発生後の報告義務と個人情報管理体制の改善を求めるものです。
大規模な漏えいが発生した場合、企業は被害者への通知と行政への適切な報告を迅速に行う義務があります。

まとめ——サプライチェーン全体でのランサムウェア対策

アスクルの事案から学べる最も重要な教訓は「調査が完了するまで被害の全容は分からない」ということです。
134万件という最終的な数字は、最初の発表から大きく拡大しています。

ランサムウェアへの備えとして今すぐ実施すべき対策は以下の通りです。

アスクルが134万件の漏えい懸念に至るまでの経緯は、ランサムウェアが「業務停止」だけでなく「長期的な情報漏えい」というリスクを同時に持つことを示しています。
事前の準備が事後の被害を最小化する唯一の手段です。