アスクル、ランサムウェアによるサイバー攻撃の追加調査で約60万件の個人情報漏洩の恐れ-個人情報保護委員会から行政指導も|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

アスクル株式会社（東京都江東区、代表取締役社長：吉岡晃）は2026年7月30日、2025年10月19日に発生したランサムウェア攻撃に伴うシステム障害について第19報を公表し、継続的な調査・精査の結果として外部への漏えいのおそれを否定できない個人情報を約60万件追加で特定したことを明らかにしました。同社は2025年12月12日の第13報で当時の調査結果を公表し本人通知を実施していましたが、その後も調査を継続した結果、追加の対象者が判明したものです。また今回の第19報では、2026年7月16日に個人情報保護委員会から個人情報および特定個人情報の安全管理措置について行政指導を受けたことも合わせて公表されました。

アスクル第19報・追加60万件漏洩リスクと行政指導のサマリー

2025年10月19日のランサムウェア攻撃以来、19回目となる公式報告（第19報）を2026年7月30日に公表
追加で特定された個人情報：約60万件（事業所向け約55万件・個人向け約5万件）
対象期間：2025年7月15日〜2025年10月19日（ランサムウェア攻撃発生日）に発送となった注文の一部
漏洩リスクのある情報：氏名・住所・電話番号・メールアドレス（クレジットカード情報は含まない）
現時点で今回追加特定の60万件について外部への漏洩および不正利用の事実は確認されていない
第13報後に新たなシステム侵害は発生していない
2026年7月16日、個人情報保護委員会から安全管理措置について行政指導を受けたことを今回初めて公表
対象者への個別通知：2026年7月31日より約1か月かけて順次実施

整理表

項目	内容
今回の発表	第19報（2026年7月30日）
攻撃発生日	2025年10月19日
攻撃グループ	RansomHouse（1.1TBのデータ窃取を主張）
追加特定件数	約60万件（事業所向け約55万件・個人向け約5万件）
対象期間	2025年7月15日〜2025年10月19日発送のご注文（一部）
漏洩リスクの項目	氏名・住所・電話番号・メールアドレス
クレジットカード情報	含まない
外部漏洩の確認	なし（現時点）
行政指導	2026年7月16日（個人情報保護委員会、安全管理措置について）
通知実施期間	2026年7月31日〜約1か月かけて順次
参考：第13報時点の件数	約74万件の流出可能性を公表（2025年12月12日）

今回の追加発表——事業所向け55万件・個人向け5万件の内訳

今回追加で特定された約60万件の内訳は、事業所向けサービスに関するお客様情報の一部が約55万件、個人向けサービスに関するお客様情報の一部が約5万件です。

対象となるのは「2025年7月15日から2025年10月19日（ランサムウェア攻撃発生日）に発送となったご注文」に関する情報ですが、同社は「対象期間内の全てのご注文が該当するわけではない」と明記しており、一部の注文に限定されます。また対象者はご注文者様の情報だけでなく、お届け先様の情報も含まれる点が注意点です。

漏洩のおそれがある情報は氏名・住所・電話番号・メールアドレスの4項目で、クレジットカード情報は含まれていません。

影響範囲は130万人

第13報（2025年12月12日）時点の約74万件に今回の追加60万件を加えると、同事案に関連して漏洩のおそれを否定できない個人情報の累計は130万件規模に達します。ただしこれは「漏洩のおそれを否定できない」件数であり、実際に外部に流出したことが確認された件数とは区別して理解する必要があります。なお同社は漏洩件数に関する詳細の公表については案件ごとに対応しており、今回の60万件について現時点で外部への漏洩および不正利用の事実は確認されていないとしています。

行政指導——今回の第19報で初めて明かされた7月16日の指導

今回の公表で特に注目されるのは、2026年7月16日に個人情報保護委員会から行政指導を受けていたという事実です。これは第19報の付属PDFで初めて公表されたもので、法人向けサービスのお知らせページ（shopnews）には記載がなく、コーポレートサイトのPDFに記載されています。

指導の内容は「個人情報および特定個人情報の安全管理措置について」とされています。個人情報保護委員会からの行政指導は、安全管理措置に係る個人情報保護法上の義務への対応が不十分と判断されたことを意味します。同社は「本指導を真摯に受け止め、すでに講じている再発防止策の実効性をより高め、情報管理体制のさらなる高度化に取り組む」としています。

なお今月公表されたKDDIへの行政指導（総務省、電気通信事業法に基づく）と同様に、個人情報保護委員会の行政指導は法的な強制力を持つ処分ではなく改善を求めるものですが、大規模なインシデントを起こした事業者への監督措置として重みを持ちます。

2025年10月から続く調査の経緯と第19報という位置づけ

アスクルのランサムウェア攻撃は2025年10月19日に発生し、全物流センターの停止、LOHACOを含む複数サービスの出荷停止という事業継続上の深刻な打撃をもたらしました。2026年5月期の決算では売上高が前期比16.8%減、最終損益が221億円の赤字となり、被害の規模が財務数値として明らかになっています。

今回の第19報は攻撃発生から約9か月が経過した段階での追加調査結果です。同社は個人情報保護委員会と継続的に協議を重ね、通知対象および通知内容の確認を経た上で今回の公表に至ったとしており、第13報以降も精査が続いていたことがわかります。

なお、アスクルに対してランサムウェア攻撃を行ったグループ「RansomHouse」は、2025年10月30日に犯行声明を発表し約1.1TBのデータ窃取を主張したグループです。同グループは2026年7月にはニチレイへの攻撃でも犯行声明を発表しており、引き続き国内組織への攻撃を継続している点にも注意が必要です。

二次被害への注意と通知スケジュール

アスクルは今回の対象者への個別通知を2026年7月31日より約1か月かけて順次実施するとしています。

二次被害の防止策として、同社や公的機関を装った「なりすまし」や「フィッシング」メールへの注意を呼びかけています。漏洩リスクのある情報（氏名・住所・電話番号・メールアドレス）は、フィッシングメール・なりすまし電話・不審な郵便物への悪用が懸念される組み合わせです。不審なメールに記載されたリンクへのアクセスや添付ファイルの開封はしないよう呼びかけています。

問い合わせ窓口（平日 9:00〜17:00）：