アスクルのランサムウェア被害原因は委託先の管理者アカウント

アスクル株式会社オフィス用品の通販・物流JPランサムウェア

1 概要

2025年10月19日午前、アスクルはランサムウェア攻撃を検知し、法人向け・個人向けサービスの受注と出荷が止まった。調査の結果、最初の侵入は4か月半前の6月5日で、多要素認証のない業務委託先の管理者アカウントが使われていた。約74万件の情報が流出した。Web での受注再開は12月3日である。

推定原因: 多要素認証を例外的に外していた業務委託先の管理者アカウントが、漏洩したパスワードで社外から使われた。

図 4-6-1アスクルの侵入口

出典: アスクル株式会社ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報） (PDF pp.1–4, 6)

会社の説明は、業務委託先の管理者アカウントで「社外より」侵入されたというもの。そのアカウントでどの機器にログインしたかは書かれていない。

S=1:100 2 事実情報

2.1 侵入口

会社は「例外的に多要素認証を適用していなかった業務委託先に対して付与していた管理者アカウントの ID とパスワードが何らかの方法で漏洩し不正利用された」とし、社外から初期侵入されたと説明している。VPN 機器ベンダーが2025年9月末ごろに公表した脆弱性については、悪用の痕跡は確認されなかったとしている。

製品: 記載なし
CVE: 記載なし

2.2 侵入後

6月から10月上旬にかけて、侵入者は管理者権限の取得を試みた。7月以降、EDR などのセキュリティソフトが無効化され、物流と社内のシステムに侵入範囲が広がり、ランサムウェアが配置された。10月19日にランサムウェアが実行され、サーバが暗号化され、バックアップファイルも削除された。10月22日には外部クラウドサービスのアカウントも不正アクセスを受け、情報が窃取された。攻撃者は10月30日、11月10日、12月2日に情報を公開した。

2.3 被害

10月19日から ASKUL、ソロエルアリーナ、LOHACO の受注・出荷が止まり、ソロエルアリーナと ASKUL の Web サイトは12月3日に受注を再開した。法人顧客、個人顧客、取引先、役員・社員を含む約74万件が流出した。会社は攻撃者と接触していない。

2.4 経過表

時刻	主体	出来事	出典
2025-06-05	侵入者	業務委託先用のアカウントを使って社外から初期侵入。	アスクル株式会社
2025-10-19	会社	午前、ランサムウェアによる攻撃を検知。第1報を発表。	アスクル株式会社
2025-10-20	会社	外部専門機関に支援を要請し、ログ解析を開始。	アスクル株式会社
2025-10-22	侵入者	外部クラウドサービスへの不正アクセス。	アスクル株式会社
2025-10-31	会社	10月30日夜に攻撃者が公開した情報の確認を完了。	アスクル株式会社
2025-12-03	会社	ソロエルアリーナと ASKUL の Web サイトで受注を再開。	アスクル株式会社
2025-12-12	会社	影響調査結果を公表（第13報）。	アスクル株式会社

S=1:100 3 分析

項目	判断	出典
業務委託先の管理者アカウント1つに、例外的に多要素認証が適用されていなかった。	記載	アスクル株式会社
VPN 機器ベンダーが2025年9月末に公表した脆弱性の悪用の痕跡はなかった。	記載	アスクル株式会社
業務委託先の ID とパスワードがどのように漏洩したか。	不明	アスクル株式会社

S=1:100 4 結論

会社は、多要素認証の対象外だった業務委託先の管理者アカウントで6月5日に社外から侵入され、4か月半をかけて防御を無効化しランサムウェアを配置したうえで、10月19日に実行されたと結論している。

S=1:100 5 再発防止策

提言・実施の主体: 会社

全管理者アカウントを含む主要アカウントのパスワードを再設定し、主要システムに多要素認証を適用する。
業務委託先を含むすべてのリモートアクセスに多要素認証を適用する。
全サーバに EDR を導入し、24時間365日監視する。
ランサムウェアの届かないバックアップを持つ。