アサヒグループホールディングスへのサイバー攻撃のまとめ|セキュリティニュース-セキュリティ対策 Lab

投稿日時: 2025年10月01日更新日時: 2026年06月25日

アサヒグループホールディングスへのサイバー攻撃で生産停止やグループ企業へも影響発生

2025年9月29日、アサヒグループホールディングスはサイバー攻撃の影響で国内システムに障害が発生したと公表しました。現時点で個人情報や顧客データの外部流出は確認されていません。

その後、ランサムウェアグループQilin（キリン）が犯行を声明。本インシデントは生産・出荷の全面停止、プロ野球のビールかけ中止、決算発表の延期にまで波及し、日本の食品・飲料業界におけるサイバー攻撃の影響の大きさを改めて示す事例となりました。

1 アサヒグループホールディングスへのサイバー攻撃の概要
2 インシデントの時系列
3 ランサムウェアグループ「Qilin」が犯行声明
- 3.1 Qilinとは
4 サイバー攻撃の影響
5 サプライチェーンへの影響
6 個人情報漏洩の判明：約191万件のおそれ → 確定11万5,513件
7 スーパードライが出荷再開 ─ 一方、大手ビール各社も出荷制限
8 コンビニ商品（プライベートブランド）も欠品
9 プロ野球「ビールかけ」が中止に
10 決算発表の延期とランサムウェアによる業績への影響
- 10.1 業績への影響（アサヒGHD公式発表に基づく）
11 攻撃の手口と侵入経路
- 11.1 攻撃の流れ（最終調査報告書より）
- 11.2 被害前から対策を講じていたにもかかわらず突破された
12 最終的に実施した再発防止策（2026年2月18日最終報告より）
- 12.1 他企業が学ぶべき教訓
13 企業の教訓として
14 よくある質問（FAQ）

アサヒグループホールディングスへのサイバー攻撃の概要

項目	内容
被害組織	アサヒグループホールディングス株式会社（および傘下グループ各社）
発生・公表日	2025年9月29日
攻撃の種類	サイバー攻撃（ランサムウェアの関与が疑われる）
犯行声明グループ	Qilin（キリン）（2025年10月7日、ダークウェブ上で声明）
推定侵入経路	VPN装置の脆弱性（詳細は非公開）
個人情報流出	現時点で確認されていない（公式発表）
主な影響	国内全工場の生産・出荷停止、グループ各社の新商品発売中止、決算発表延期、ビールかけ中止

インシデントの時系列

日付	出来事
9月29日	サイバー攻撃発生・公表。北海道工場でビール出荷停止
10月1日	北海道工場の生産全面停止。新製品発表会・新商品発売を中止。アマノ通販が電話・FAX・メール受付を停止
10月2日	アサヒビールが国内全6工場で製造を再開。手作業による受注・出荷を開始
10月7日	ランサムウェアグループQilinがダークウェブで犯行声明
10月14日	2025年12月期第3四半期決算短信の延期を発表
10月16日	プロ野球クライマックスシリーズのビールかけ中止が判明（複数球団に影響）
11月27日	記者会見を開催。個人情報漏洩のおそれ約191万4,000件と発表。VPN・WAN廃止済みを公表。個人情報保護委員会に確報を提出
12月初旬	受注・出荷システムが復旧（発生から約2か月）
2026年2月12日	ビール・飲料の物流が正常化
2026年2月18日	再発防止策を公表。漏洩確定は11万5,513件と確定発表
2026年3月10日	第3四半期決算を発表。連結純利益前年比26.2%減（1,028億円）
2026年4月7日	全商品の出荷を再開（システム障害から約6か月）

ランサムウェアグループ「Qilin」が犯行声明

2025年10月7日、ランサムウェアグループQilin（キリン）がダークウェブ上のリークサイトでアサヒグループホールディングスへのサイバー攻撃と不正アクセスを主張しています。

なお、公開されているサンプルデータは一部であるため、直近のインシデントの攻撃元がQilinであるか否かは現時点では不明です。ランサムウェアグループは自身の犯行を誇大に主張することもあるため、情報の取り扱いには注意が必要です。

Qilinとは

Qilinは「二重恐喝型」のランサムウェアグループで、データを暗号化するとともに窃取したデータをダークウェブのリークサイトで公開することで被害者に身代金の支払いを迫ります。医療機関・インフラ・製造業を含む幅広い業種を標的にしており、国際的に活動が確認されています。

サイバー攻撃の影響

今回の障害は、国内の受注・出荷を全面的に停止させ、その影響が生産計画にも波及しました。

北海道工場では物流管理システムの停止により9月29日からビールの出荷が不可能となり、10月1日からは一部続いていた生産も全面停止となりました。10月1日に予定していたビールの新製品発表会も中止となっています。

アサヒ飲料やアサヒ食品グループでも10月1日の新商品発売が中止されたほか、グループ会社が運営するアマノ通販でも電話・FAX・郵送での各種手続きや問い合わせメールの受付が停止されました。

サプライチェーンへの影響

時間軸	影響の内容
短期	出荷停止により、卸・小売での在庫繰りや納期に遅延が発生。コンビニ棚でのPB商品欠品も顕在化
中期	工場の稼働調整が長引けば、SKU単位での欠品や販促計画の手直しが必要。お歳暮シーズンへの影響が波及
広報・販促	新製品発表会の中止など、マーケティング計画にも波及。競合他社も出荷制限を余儀なくされるなど業界全体に影響

個人情報漏洩の判明：約191万件のおそれ → 確定11万5,513件

2025年10月14日に個人情報が流出した可能性が発表された後、11月27日の記者会見で全容が明らかになりました。

公表日	対象	件数	主な情報
2025年11月27日（漏洩のおそれ）	お客様相談室への問い合わせ者・慶弔対応の社外関係先・従業員（退職者含む）等	約191万4,000件	氏名・住所・電話番号・メールアドレス等（クレジットカード情報は含まれない）
2026年2月18日（漏洩確定）	従業員（退職者含む）	5,117件	氏名・住所・電話番号・メールアドレス等
2026年2月18日（漏洩確定）	取引先の役員・従業員・個人事業主	11万396件	氏名・電話番号等
確定合計	11万5,513件が流出確定		残りは「漏洩のおそれ」段階で引き続き調査中

同社は個人情報保護委員会への確報提出（2025年11月26日）および対象者への個別通知を順次進めています。漏洩データがダークウェブ等に公開された事実は確認されていないとしています。

スーパードライが出荷再開 ─ 一方、大手ビール各社も出荷制限

アサヒビールは10月2日から国内全6工場で製造を再開したと発表しました。受注・出荷システムの停止が続いていたため手作業による受注に切り替えて順次出荷を開始し、商品偏在の解消にも取り組んでいます。

一方、同社のインシデントを受けてキリン・サッポロ・サントリーなども飲食店向けの出荷を制限する方向で調整しました。さらに2025年11月には、サントリーとサッポロが一部お歳暮ギフト商品の販売休止を発表しています。

コンビニ商品（プライベートブランド）も欠品

アサヒ食品やアサヒ飲料が大手コンビニエンスストアへ卸していた炭酸水・サイダー・チューハイも生産が停止され、欠品が発生しました。食品・飲料のサプライチェーン全体への波及が確認されました。

プロ野球「ビールかけ」が中止に

プロ野球のクライマックスシリーズ（CS）でソフトバンクがファイナルステージを突破した際の恒例行事「ビールかけ」の実施が難しくなったことが、2025年10月16日に明らかになりました。

アサヒグループホールディングスで発生したシステム障害の影響でビールの供給が滞り、祝勝用の手当てができないためです。共同通信によると、影響はソフトバンクを含む複数球団に及びました。

ビールかけはプロ野球の優勝・シリーズ突破の象徴的な恒例行事であり、国民的なニュースとなったことで、今回のサイバー攻撃の影響範囲の広さが改めて浮き彫りになりました。

なお、CSの対戦相手だった北海道日本ハムファイターズも、ファイナルステージ突破の際はシャンパンファイトに変更する予定だったと報じられています。

決算発表の延期とランサムウェアによる業績への影響

サイバー攻撃は同社の財務報告にも深刻な影響を与えました。通期決算の発表日が期末後50日を超えるという上場企業として異例の事態となりました。

日付	決算に関する動き
10月14日	第3四半期（Q3）決算短信の開示が四半期末後45日を超えることを発表。業績影響は「精査中」
11月27日	通期決算の開示が期末後50日を超える見込みと発表。決算日は未定。勝木社長が「2025年12月期の業績悪化は避けられない」と明言
2026年2月26日	通期決算の進捗状況を開示。日本・東アジアではシステム障害の影響により計画未達となる見込みと公表
2026年3月10日	第3四半期累計の連結業績を開示。売上収益は前年比△0.6%、事業利益は前年比△5.5%（為替一定では△4.6%）。年間業績予想は変更なし

業績への影響（アサヒGHD公式発表に基づく）

2025年12月期業績への主な影響

勝木社長が「今期（2025年12月期）の業績悪化は避けられない」と明言（2025年11月27日記者会見）
第3四半期（1〜9月）累計：売上収益前年比△0.6%、事業利益前年比△5.5%
日本・東アジアでは10月以降の売上収益が計画を下回り、通期で計画未達となる見込み
欧州・アジアパシフィックは概ね計画ライン（障害の影響は国内システムに限定）
個人情報漏洩：当初191万4,000件の流出可能性と発表したが、最終調査（2026年2月18日）で確認された実流出件数は合計115,513件（従業員等5,117件、取引先等110,396件）

勝木社長は「中長期の戦略を変えるつもりはない」とも述べており、サイバー攻撃による業績への打撃は認めつつも、2030年に向けた長期経営方針は継続する考えを示しています。

なお、物流は2026年2月に正常化し、全商品の出荷は2026年4月7日に再開予定と発表されました。

攻撃の手口と侵入経路

2026年2月18日に公表されたアサヒGHDの最終調査報告書により、攻撃の全貌が明らかになりました。

侵入経路としてVPN（Virtual Private Network）装置の脆弱性を突かれたとされています（同社は「ネットワーク機器」と表現し機器名は非公表）。会見での質疑応答では「皆様のご想像とそんなに違わない」との回答があったことから、VPN機器とみて間違いないとされています。

攻撃の流れ（最終調査報告書より）

9月19日頃：外部攻撃者が拠点のネットワーク機器（VPNと推測）を経由してグループネットワークに侵入
データセンターに侵入し、パスワードの脆弱性を突いて管理者権限を奪取
奪取したアカウントを正規アカウントのように使い、業務時間外にネットワーク内を探索（ラテラル・ムーブメント）
複数サーバーへの侵入と偵察を繰り返した後、9月29日午前7時にランサムウェアを一斉実行し複数のサーバー・PC端末のデータを暗号化

被害前から対策を講じていたにもかかわらず突破された

同社は攻撃発生前からNISTサイバーセキュリティフレームワーク（NIST CSF）に準拠したセキュリティ診断、ホワイトハッカーによる模擬攻撃（ペネトレーションテスト）、EDRによる監視などを実施していました。しかし「認識を超える高度で巧妙な攻撃」によりEDRが検知できなかったと勝木社長は説明しています。

最終的に実施した再発防止策（2026年2月18日最終報告より）

2026年2月18日、アサヒGHDは最終調査結果と再発防止策を正式に公表しました（出典：アサヒグループホールディングス公式ニュースルーム）。

対策カテゴリ	具体的な対策内容
VPN廃止・ゼロトラスト化	リモートアクセスVPN装置を全面廃止（「改善」ではなく「廃止」という抜本的対処）。WAN接続も廃止し、ゼロトラストモデル対応の専用PC端末へ完全移行
ネットワーク再設計	攻撃拡大を防止するための全システムでのネットワーク分離・接続制限。安全なネットワークエリアの新設。外部侵入リスクを抱えるデバイスの全面廃止
EDR強化	全パソコン端末のEDR設定強化。クラウド環境でのEDRによる監視強化。SOC（セキュリティオペレーションセンター）の体制を見直し、攻撃検知の精度を向上
データ保護	PCからのデータ窃取リスク低減のためクラウド保管へ一本化、キャッシュ非残存対策を実施。バックアップ戦略とBCP（事業継続計画）の再設計・実装
継続的なセキュリティ検証	ペネトレーションテスト（第三者によるインターネットからの侵入を試行するテスト）とスレットハンティング（脅威調査）を継続的に実施
ガバナンス体制の強化	情報セキュリティを専門に扱う独立組織と専任役員の設置、サイバーセキュリティ委員会の新設、定期的な復旧訓練の実施、全従業員への情報管理規程の周知徹底

勝木社長は会見で「今後はセキュリティー水準を継続的に見直し、より実効性のある社員教育や外部監査を定期的に実施して、組織全体のセキュリティーガバナンスを強化していく」と語りました。

他企業が学ぶべき教訓

「バックアップがあれば安心」「EDRを入れていれば安全」という2つのセキュリティ神話が現実に打ち砕かれた事例です。今回の攻撃は侵入から暗号化発動まで10日間の潜伏期間があり、既存のEDR検知体制では捕捉できませんでした。多層防御と継続的な監視体制（SOC）の構築がいかに重要かを示しています。

企業の教訓として

アサヒGHDはNIST CSFへの準拠・ペンテスト・レッドチーム演習・EDR監視といった「必要かつ十分な対策を講じていた」（勝木社長）にもかかわらず被害を受けました。侵入からシステム障害発覚まで約10日間、攻撃者はネットワーク内部を偵察し続けていたとされます。「EDRが検知できなかった高度で巧妙な攻撃だった」と説明されており、対策の実施だけでなく検知・対応能力の継続的な高度化が不可欠であることが改めて示されました。