2025年10月5日、快晴の日曜日。家族と久しぶりの庭バーベキューを楽しもうと、近所のスーパーにビールを買いに出かけた。いつもの売り場に向かうと、アサヒスーパードライの棚だけがぽっかりと空っぽ。店員に尋ねると「システムトラブルで入荷未定」と申し訳なさそうに言われた。まさか、自分の休日がサイバー攻撃に振り回されるとは、夢にも思わなかった。
IT/イット “それ”が見えたら、終わり。(吹替版)ジェレミー・レイ・テイラー
そこから始まった“災害級”の連鎖
あの日の異変は、JNSAが後に「2025セキュリティ十大ニュース」第1位に選んだ「相次ぐ企業へのサイバー攻撃、いまや“災害級”」を、まさに私自身が肌で感じた瞬間でもある。アサヒグループホールディングスが9月29日に受けたランサムウェア攻撃によって、出荷システムが完全に停止。物流が麻痺し、全国のスーパーや飲食店からビールが姿を消した。歳暮ギフトの商戦期を直撃し、約74万件の個人情報流出も発覚。勝木社長が記者会見で「防げた攻撃だった」と声を詰まらせた姿は、テレビ越しにも重く響いた。
しかし、私にとっての“災害級”はそれだけではなかった。私は中堅食品メーカーの物流管理を任されている。主力製品の生産ラインに欠かせない専用洗浄剤や梱包資材の大半は、アスクル経由で調達していた。そのアスクルが10月19日、同じくランサムウェア攻撃を受けた。実は攻撃者は約4か月前の6月5日に、多要素認証を例外的に免除されていた業務委託先アカウントから社内に侵入し、ひっそりと潜伏していたのだ。
「え、明日の納品が全部止まるってどういうこと？」
社内チャットが阿鼻叫喚に包まれたのを覚えている。出荷指示はFAXと電話に切り替わり、ホワイトボードに書き殴る日々。DX化を進めてきたはずの現場が、昭和の手作業に一瞬で逆戻りした。あの時ほど、デジタルの便利さと脆さを同時に痛感したことはない。
サプライチェーンという名の“弱い環”
さらに追い打ちをかけたのが、サプライチェーンの責任問題だ。私たちの取引先からも「おたくは大丈夫なのか」と立て続けに安全確認が入り、契約書のサイバー免責条項を法務部と夜中まで見直す羽目になった。前橋市とNTT東日本が9500万円で和解し、大阪の医療センターでは10億円の和解金が動いたニュースが、完全に他人事とは思えなくなった。自分たちが加害側になるリスクは、どの企業にも潜んでいる。
私が始めた四つの生存策
こんな目に遭うのはもうたくさんだ。あの混乱を教訓に、会社に根回しして実践した対策がある。
図解即戦力 ITインフラのしくみと技術がこれ1冊でしっかりわかる教科書北崎 恵凡技術評論社2024-11-09
**1. 経営層を“にわかセキュリティオタク”に変える**
アサヒの勝木社長は、VPNやNISTといった用語を自ら説明していた。高度な知識がなくとも、リーダーが自分の言葉でセキュリティを語るだけで現場の緊張感は変わる。まず月一回、私が選んだニュースを社長にレクチャーする時間を強引に作った。
**2. 究極のBCPは“原始に戻る”ことと腹を括る**
システムが全滅したら、紙と電話でどこまで事業を回せるのか。アスクルショックの後、全社を巻き込んだ机上訓練を二度やった。いざという時に恥をかくより、平時のうちに汗をかいた方がいい。
**3. 取引先の“認証の例外”を洗い出す**
アスクルの突破口はたった一つの「MFA免除アカウント」だった。自社に限らず、大丈夫という顔をしている協力会社にこそ、小さな例外が潜んでいないか。調達部門と半年がかりで点検を進めている。
**4. 本番さながらの訓練で“脇汗”をかく**
LINEヤフーが実施したランサムウェア訓練のニュースを読み、すぐに真似た。訓練と分かっていても、緊急連絡網がうまく回らず部署間で怒鳴り声が飛ぶ場面もあった。参加者からは「もう二度とやりたくない」と言われたが、そのリアルな脇汗こそが最大の収穫だと信じている。
IT/イット “それ”が見えたら、終わり。(字幕版)ジェレミー・レイ・テイラー
対岸の火事は、もう終わった
JNSAの発表は「防御の取り組み」も四件選ばれ、攻守が拮抗したと評した。しかし現場の実感は、まだ守りが追いついていない。能動的サイバー防御関連法が成立し、国が動き始めたとはいえ、被害を止める最後の砦は現場だと痛感している。
あの日、消えたビールをきっかけに、私たちの戦いは始まった。2026年、同じ過ちを繰り返さないために。今日も私は、システムのログを眺めながら、次の“災害”に備えている。