アスクル、ランサムウェア攻撃で全物流センターが停止 — 委託先の管理者アカウントが起点、漏えいのおそれは累計約134万件に

項目	内容
発生日	2025年10月19日（ランサムウェア攻撃の発生）
公表日	2025年12月12日（第13報・影響調査結果）／2026年7月30日（第19報・追加特定）
対象組織・業界	アスクル株式会社（事業所向け通販「ASKUL」と個人向け通販「LOHACO」を運営／小売・EC）
影響件数	累計 約134万件。2025年12月12日公表分 約74万件（事業所向け顧客 約59万件、個人向け顧客 約13万2,000件、取引先 1万5,000件、役員・社員 2,700件）＋2026年7月30日追加分 約60万件（事業所向け 約55万件、個人向け 約5万件）。カード情報は含まれない
攻撃手法	ランサムウェア。業務委託先が使用していた管理者アカウントの認証情報が漏えいし、そのアカウントに多要素認証が適用されていなかったことが突破口になった
情報源	アスクル株式会社「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告」（2025年12月12日）、同「情報漏えいのおそれに関する本人通知の追加実施について」（2026年7月30日）、ITmedia NEWS（2025年12月12日）、ITmedia NEWS（2026年7月31日）

概要

アスクル株式会社は2025年10月19日、ランサムウェア攻撃を受けました。全物流センターが停止し、事業所向け通販「ASKUL」と個人向け通販「LOHACO」を含む複数サービスの出荷が止まりました。

侵入経路は、業務委託先が使用していた管理者アカウントの認証情報の漏えいです。このアカウントには多要素認証が適用されておらず、それが不正アクセスの突破口になったと公表されています。

2025年12月12日、同社は影響調査の結果を報告し、約74万件の個人情報について漏えいのおそれがあると公表しました。内訳は事業所向けサービスの顧客情報 約59万件、個人向けサービスの顧客情報 約13万2,000件、取引先情報 1万5,000件、役員・社員の情報 2,700件です。

その後、2026年7月30日に約60万件を追加特定しています。対象は2025年7月15日から攻撃発生日である10月19日までに発送した注文に関する情報の一部で、事業所向け 約55万件、個人向け 約5万件。項目は氏名・住所・電話番号・メールアドレスで、クレジットカード情報は含まれていません。これにより漏えいのおそれがある個人情報は累計 約134万件となりました。

なお同社は、2026年7月16日に個人情報保護委員会から、個人情報および特定個人情報の安全管理措置についての行政指導を受けています。事業への影響も大きく、売上高は前期比16.8%減、最終損益は221億円の赤字を計上しました。

経緯

• 2025年7月15日〜10月19日: 追加特定分（約60万件）の対象となる注文の発送期間
• 2025年10月19日: ランサムウェア攻撃が発生。全物流センターが停止し、ASKUL・LOHACOを含む複数サービスの出荷が止まる
• 2025年11月12日: Web注文の再開を発表
• 2025年12月12日（第13報）: 影響調査結果を報告。約74万件の漏えいのおそれを公表。侵入経路を業務委託先の管理者アカウントの認証情報漏えいと特定
• 2026年7月16日: 個人情報保護委員会から行政指導を受ける
• 2026年7月30日（第19報）: 約60万件を追加特定。累計 約134万件に
• 2026年7月31日以降: 追加対象者へ約1か月かけて順次個別通知

原因

判明している事実: 業務委託先が使用していた管理者アカウントの認証情報が漏えいし、そのアカウントに多要素認証が適用されていなかったことが不正アクセスの突破口になったと公表されています。認証情報がどのような経路で漏えいしたかは公表されていません。

考えられる原因（推測）

侵害されたのが委託先が使う管理者アカウントであった点に、この事案の構造が現れています。委託先に付与するアカウントは、業務の遂行に必要な権限を与える一方で、その利用者は自社の従業員ではありません。多要素認証の有無、パスワードの管理方法、端末の状態といった条件は、委託先側の運用に委ねられます。自社の従業員アカウントには多要素認証を必須にしていても、委託先向けのアカウントが対象から外れているという状態は、権限の設計と適用範囲の設計が別々に行われた場合に生じます。

管理者アカウントであったことも、被害の規模に直結したと考えられます。管理者権限を得た攻撃者の操作は、以降は正規の管理作業として記録されるため、通常の監視では異常と見分けにくくなります。全物流センターが停止するまで攻撃が進んだという結果は、侵入から暗号化までのあいだに止められる契機が乏しかったことを示唆します。

件数が2段階で公表された点についても触れておく必要があります。2025年12月の約74万件は顧客・取引先・役職員のデータベースを対象とした集計で、2026年7月の追加約60万件は「2025年7月15日から10月19日に発送した注文に関する情報」という別の切り口です。当初の集計では拾いきれていなかった範囲が、後の調査で対象と判断されたと考えられます。

対策

組織が学ぶべきこと

1. 多要素認証の適用範囲を、委託先アカウントまで含めて確認する

本件の突破口は、委託先が使う管理者アカウントに多要素認証が適用されていなかったことです。「自社の従業員には適用済み」という状態は、委託先アカウントが対象外である可能性を排除しません。外部の利用者に発行しているアカウントの一覧と、それぞれの認証方式を突き合わせる作業が必要です。

2. 委託先に管理者権限を渡す必要が本当にあるかを問い直す

奪われたのは一般利用者のアカウントではなく管理者アカウントでした。委託業務の遂行に必要な権限と、管理者権限は同じではありません。付与済みの権限を業務内容に照らして棚卸しし、必要最小限まで絞ることが、侵害されたときの到達範囲を決めます。

3. 物流が止まったときの代替手段を、事前に取引先と決めておく

全物流センターの停止は、同社の顧客だけでなく取引先の事業にも波及しました。システムの復旧計画とは別に、業務そのものを別の手段で継続する計画が要ります。受発注をどう受けるか、出荷をどう回すかを、平常時に紙とアナログの手順まで含めて決めておけるかが分かれ目になります。

ヤグラの視点 — 攻撃面の拡張：守るべき境界は、自社の従業員の外側にある

侵入の起点は、アスクル自身の従業員アカウントではありませんでした。業務委託先が使っていた管理者アカウントです。そのアカウントに多要素認証が適用されていなかったことが突破口になり、そこから全物流センターの停止と、累計約134万件の漏えいのおそれにまで至っています。

自社の管理が届く範囲を「自社の従業員と自社のシステム」で線引きすると、この経路は視界に入りません。委託先の担当者が使うアカウントは、権限としては自社システムの内側にありながら、運用の実態は委託先の管理下にあります。パスワードをどこに保管しているか、端末にマルウェア対策が入っているか、多要素認証を有効にしているか——いずれも自社が指定しなければ、委託先の既定の運用のまま動きます。攻撃者の側は、この境界の継ぎ目を探します。

そして管理者権限が奪われた後、攻撃の痕跡は正規の管理操作と同じ形で記録されます。マルウェアの検知では捉えられず、異常を見分けられる材料は認証と操作の記録しかありません。それらは認証サーバ、リモートアクセス機器、各サーバの操作履歴と複数の場所に分散して現れるため、人が横断して見続けるのは現実的ではありません（→ ヤグラ AI SOC）。

件数が74万件から134万件へ、9か月かけて段階的に増えたことも、この事案の性格を示しています。攻撃を止められなかったことと、影響範囲を確定するのに時間がかかったことは、別々の課題です。後者は、事後にログを掘り返す作業の質に左右されます。委託先にアカウントを発行するときは、権限の設計と同時に、そのアカウントの操作をどこまで記録するかも決めておく必要があります。

今後の対応

• 委託先の管理者アカウントの認証情報が漏えいした経路の特定
• 影響範囲のさらなる追加特定の有無
• 行政指導を踏まえた安全管理措置の見直し状況

更新履歴

日時	内容
2026-08-17	アーカイブ記事として作成。2025年12月12日の影響調査結果報告（第13報）を基礎とし、2026年7月30日の追加特定（第19報）および2026年7月16日の行政指導までを反映