アスクルの被害から学ぶ、中小企業のランサムウェア対策と自社点検10項目

もしもある朝、受注システムを開いたら画面が真っ白のまま動かない。それどころか、次のような状態が起こっていたら、あなたならどうしますか？

さらに、こうした状態が数日、あるいは数週間続いたとしたら、あなたの会社はどこまで耐えられるでしょうか。

2025年10月、大手通販会社のアスクルがランサムウェア攻撃を受け、データの暗号化とシステム障害により大規模なサービス停止と保有情報の流出が確認される事態となりました。アスクルの事件は、ニュースで見聞きした方も多いかと思いますが、このような出来事は決して一部の大企業だけに関係する問題ではありません。ランサムウェアは、パソコンが重くなる、ファイルが開けないといった局所的なトラブルではなく、受注、在庫、出荷、顧客対応、売上といった企業活動そのものを止めてしまう攻撃だからです。

この記事では、アスクルの事例を入り口にしながら、ランサムウェア被害が事業へどのような影響を及ぼすのか、被害が大きくなりやすい企業にどのような特徴があるのか、そして中小企業はまず何から優先して取り組めばよいのかを整理していきます。記事の後半では、自社の状況をその場で振り返ることのできる点検項目もご用意しました。万が一のときにも、慌てず冷静に対処できる指針のヒントを得るために、どうぞ最後までお読みください。

参考・出典：

• ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報）／ PR TIMES

アスクルの被害が示した、ランサムウェアの本当の怖さ

アスクルの事例は、ランサムウェアが単なるシステムトラブルではなく、事業継続そのものを揺るがす問題であることを示しています。まずは、あのときアスクルで何が起きたのかを事実ベースで押さえたうえで、そこから見えてくる論点を整理していきます。

システム停止が売上と物流を同時に止める

2025年10月19日、アスクルはランサムウェア攻撃によるシステム障害を確認し、「ASKUL」「ソロエルアリーナ」「LOHACO」での受注を停止しました。物流システムが暗号化されたことで出荷業務も広い範囲で止まり、2025年11月度の単体売上高は前年同月比で約95%減という水準にまで落ち込んだと報じられています。

受注システムが止まれば、注文そのものを受けられなくなります。在庫管理や出荷指示ができなければ、倉庫の現場も身動きが取れません。影響は売上の減少だけにとどまらず、顧客対応や取引先との調整にも及びます。

セキュリティ事故は情報システム部門だけで完結する問題ではなく、経営、営業、物流、カスタマーサポートなど、複数の部門を同時に巻き込む出来事なのです。

参考・出典：

• アスクルが説明したランサムウェア攻撃で感染した理由＋サイバー保険による損害補償＋セキュリティ投資方針／ネットショップ担当者フォーラム

復旧は「バックアップを戻せば終わり」ではない

アスクルの事案では全物流センターの停止から完全復旧まで3ヶ月半を要し、約74万件の個人情報流出を招いたとされています。実際の復旧では、次のような一連の対応が必要になりました。

この問題の厄介なところは、被害への対応が技術的な復旧作業だけで終わらないということです。さらに、いつサービスを再開するか、顧客や取引先へどう説明するかといった経営判断も同時に求められます。

こうしたニュースに触れると、多くの中小企業では、つい「うちのような小さな会社には関係ない」「バックアップがあるからすぐ元に戻せる」と考えたくなるかもしれません。しかし、実際にはそう単純に済まないケースがあることも、この後の章で触れていきます。

参考・出典：

• アスクルCEOが語る、ランサムウェア被害下での意思決定と逆境から進化への転換 – AWS Summit Japan 2026／UNITIS

物流業界以外でも同じことが起こり得る

システムに業務を依存しているのは、物流業界だけではありません。製造業であれば生産管理や部品発注が止まり、小売業であれば受注、在庫、決済が止まります。サービス業では予約や顧客管理ができなくなり、建設業では図面や工程情報へアクセスできなくなる場面が想定されます。

業種・規模の大小を問わず、日々の業務がシステムの上で成り立っている企業であれば、アスクルの事例は、決して他人事とは言い切れない話ではないでしょうか。

なぜランサムウェア被害は企業全体へ広がるのか

被害が大きくなる企業には、いくつかの共通した弱点があります。ここでは技術的な話に偏らず、日常的なシステム管理や運用の視点から3つの観点を見ていきましょう。

管理できていない端末や古いシステムが残っている

あなたの会社では、こうしたものが社内のどこかに残っていないでしょうか。現場の判断で導入されたクラウドサービスや、利用状況が把握しきれていない外部接続機器も同様です。

複数の拠点を持つ企業では、拠点ごとに端末や運用のルールが異なり、全体像の把握が難しくなりがちです。大がかりな管理ツールを導入していなくても、まずは表計算ソフトで一覧化するところからでも始められます。

1つのアカウントから被害が横に広がる

これらが重なると、1つのアカウントの鍵で、社内のあらゆる部屋に入れてしまうような状態になります。

アスクルの事案では、業務委託先に付与していた管理者アカウントの一部で多要素認証が例外的に適用されておらず、そのID・パスワードが漏えいしたことで侵入を許したとされています。加えて一部の物流センターではEDR（端末の不審な動きを検知する仕組み）が未導入で、24時間の監視体制も十分ではなかったため、侵入の検知が遅れて被害が拡大したと説明されています。1つの弱点が全体へ波及する構図は、業種や規模を問わず起こり得るものです。

バックアップまで同時に被害を受ける

アスクルの事案では、オンラインバックアップも暗号化されていたことに加え、ハードウェア管理や復旧手順にも課題があったために、復旧に時間を要したと報じられています。これは、本番環境と同じネットワーク上にバックアップを置いていると、バックアップデータごと暗号化される可能性があるということを表しています。つまり、バックアップを取っていても、いざというときに復元できない場合もあるのです。多くの企業では、復元テストを一度も行っていない、復旧にどれくらいの時間がかかるか把握していないという状態も珍しくはないはずです。

「バックアップを取っていること」と「事業を復旧できること」は、必ずしも同じ意味ではありません。この違いを意識できているかどうかが、被害の拡大を防げるかどうかの分かれ目になります。

参考・出典：

• アスクルが説明したランサムウェア攻撃で感染した理由＋サイバー保険による損害補償＋セキュリティ投資方針／Yahoo!ニュース

中小企業が優先すべきランサムウェア対策

対策をやみくもに並べても、どこから手をつければよいか分からなくなってしまいます。ここでは「把握する」「侵入を防ぐ」「被害拡大を抑える」「復旧に備える」という4段階で考え方を整理します。

最初に、守るべき業務とシステムを決める

すべてのシステムを同じ水準で守ろうとすると、限られた予算と人員では対応しきれません。まずは、止まると売上に直結する業務、顧客対応に欠かせないシステム、個人情報や取引情報を扱うシステムを洗い出してみてください。1時間も止められない業務なのか、数日であれば代替対応が可能な業務なのか、あるいは紙や電話、表計算ソフトで一時的に代替できる業務なのかを分けて考えると、優先順位が見えてきます。

端末・システム・アカウントを棚卸しする

現実的には、まずはこれらを一覧化することが、対策の出発点です。大がかりな仕組みを整える前に、まずは現状を把握するところから始めてみてはいかがでしょうか。

侵入と被害拡大を抑える

現状が把握できたら、侵入されにくくする施策と、侵入された後の被害拡大を抑える施策を組み合わせていきます。

施策	主な目的
OSやソフトウェアの更新	既知の脆弱性を悪用されるリスクを減らす
多要素認証の導入	ID・パスワードの漏えいだけでは突破されにくくする
不要なアカウントの削除	退職者や異動者のアカウントを侵入経路として使わせない
管理者権限の制限	1つのアカウントから広範囲へ被害が及ぶ状況を避ける
外部接続環境の見直し	委託先や外部サービスからの侵入口を減らす
セキュリティソフトの導入と更新	既知の攻撃を検知・防御する
異常を検知する仕組み	侵入後の不審な動きに早く気づく
重要なネットワークやシステムの分離	感染が全社へ一気に広がる状態を避ける

これらの施策は、侵入を完全に防ぐためのものではなく、侵入される可能性を下げつつ、被害の広がりを抑えるためのものと捉えていただくのが実態に近いでしょう。特定の製品を導入すれば安心、というものではなく、それぞれがどのような役割を持つのかを理解したうえで組み合わせることがポイントです。

バックアップと復旧手順を確認する

これらは、すべて有効な予防策です。単にバックアップを取るだけでなく、「実際に復旧できる状態」をつくっておくことが、いざというときの差につながります。

自社のセキュリティ体制を確認する10項目

ここまでの内容を踏まえ、自社の状況をその場で振り返れるチェック項目をまとめました。「はい」「いいえ」で気軽に確認してみてください。

チェック結果のおおよその目安は以下の通りです。

ただしこれは、あくまで簡易的な目安であり、安全性を保証する診断ではない点にご留意ください。すべてを一度に見直す必要はなく、まずは1つずつ確認していくことで十分です。

ランサムウェア対策に関するよくある質問（FAQ）

Q.ウイルス対策ソフトを入れていれば十分ですか？

ウイルス対策ソフトだけで十分とは言い切れません。既知のウイルスの検知には有効ですが、管理者アカウントの漏えいや、未更新のソフトウェアの脆弱性を突く攻撃には対応しきれない場合があります。OSやソフトウェアの更新、多要素認証、権限管理、バックアップ、監視、復旧体制まで組み合わせて考えることを推奨します。

Q.小規模な会社でもランサムウェアに狙われますか？

企業の規模に関係なく、脆弱な機器やアカウントが攻撃の対象になる可能性があります。攻撃者は無差別に脆弱な接続先を探すこともあれば、取引先へ侵入するための足がかりとして中小企業を狙うケースも報告されています。「規模が小さいから狙われない」とは考えにくい状況です。

Q.バックアップがあれば復旧できますか？

バックアップが感染環境から分離されていること、データが破損していないこと、実際に復元できることの3つがそろって初めて、復旧の見込みが立ちます。定期的な復元テストと、どのシステムから復旧するかという順序の確認も欠かせません。

Q.セキュリティ対策は何から始めればよいですか？

まずは重要業務、端末、システム、アカウントの把握から始めることをおすすめします。そのうえで、更新状況、外部接続、権限、バックアップの順に確認していくと、無理なく進められます。製品選びから入るのではなく、現状把握と優先順位づけを先に行うことがポイントです。

まとめ：ランサムウェア対策は事業を止めないための備え

ランサムウェア攻撃は、情報漏えいだけでなく、受注、出荷、顧客対応、売上といった事業活動全体を止めてしまう可能性があります。これは物流業界に限らず、そして企業規模の大小を問わず、システムに業務を依存する企業であればどこにでも起こり得る問題です。その対策はセキュリティ製品の導入だけで完結するものではありません。

これらを段階的に進めていくことが、現実的でしょう。

ただし、自社点検で不足が見つかった場合も、焦って全部を一気に解決しようとする必要はありません。まずは、自社にどのような端末、システム、アカウントがあり、誰が管理しているかを確認することから始めてみてください。

セキュリティ対策は、製品を導入する前に、自社のシステム構成や運用状況を把握することが出発点です。管理できていない端末がある、バックアップから復旧できるか分からない、古いシステムを使い続けているといった不安がある場合は、現在の環境の整理するから検討してみてください。株式会社MUでは、既存システムの保守・運用、セキュリティ、システム再構築に関するご相談を承っています。お気軽にご相談ください。