前回のブログでは、ASKULを襲ったサイバー攻撃に触れました。インシデント発生から約3週間が経過した今も、10月末時点で一部FAXや手作業による出荷業務は再開したものの、11月7日現在、本来の業務は未だ停止中で復旧の目途は立っていません。
攻撃を仕掛けたのは、ロシア系ハッカーグループ「RansomHouse」とされ、ダークウェブ上で犯行声明を発表。約1.1テラバイトのデータを窃取したと主張しています。ASKUL側は、現時点で具体的な被害範囲や内容を公表していませんが、その影響は物流システムを含むサプライチェーン全体に拡大しています。
この記事でわかること
|
サプライチェーンリスクは、いまや単なるIT部門の課題ではなく、企業経営に直結する深刻なリスクです。
本記事では、ASKULを襲ったサイバー攻撃を中心に、被害の構造・原因・影響を整理し、
企業が今すぐ取り組むべき現実的かつ効果的なセキュリティ対策を解説します。
自社の防御力だけでなく、取引先を含めたサプライチェーン全体のセキュリティ体制を見直すきっかけとして、ぜひご活用ください。
サプライチェーンリスクの怖さ
特にASKULのような通販業において、製品の出荷や配送が止まってしまうことは致命的で、配送もできず、その予定さえ立たなければ、受注は全てキャンセルせざるを得ず、販売による一切の売上が立たなくなります。
さらに、ASKULは独自の物流システムを持ち、無印良品（良品計画）やネスレ日本などの出荷代行も担っていたため、今回の停止は取引先のビジネスにも波及しました。
過去のランサムウェア事例から見ても、完全復旧には数か月単位の期間が必要と考えられます。
想定される被害と影響範囲
今回の攻撃による損害は、以下の3つに分類されます。
|
仮に復旧まで2か月を要した場合、年間通販売上の約1/6が失われる可能性があり、損害額は数百億円規模に達します。これに加えてサプライチェーン補償が発生すれば、影響はさらに甚大です。
今回のランサムウェア攻撃の具体的な侵害方法や経路にもよりますが、このようなビジネスとその存続・将来にも与える甚大な影響を考慮すると、あらためて自社及び取引先（サプライチェーン）のサイバーセキュリティの実態を能動的に確認し、適宜共有する時期にきていると思います。
自社と取引先のセキュリティ実態を把握する重要性
今回の攻撃から学べる最大の教訓は、「自社だけの防御では限界がある」ということです。
これまでのように、取引先に対して質問表の回答を求めるだけの確認では不十分です。今後はその回答内容について、第三者的な確認や取引先への提示が必要となってきます。脅威情報を収集すれば、自社及び取引先や顧客に関する情報も収集可能であり、攻撃者目線の実態把握が可能となります。実際に、弊社でご提供している脅威分析（OSINT）サービスで、インフォステラーマルウェアの感染が疑わし情報が検出される場合がありますが、そのような情報の取引先への情報提供・共有という点では、なかなか進んでいないのが実情です。
また、サプライチェーン全体の脆弱性を把握するためには、脅威情報（Threat Intelligence）の収集・分析が欠かせません。攻撃者視点でリスクを可視化することで、潜在的な侵入口を特定できます。
脅威情報を活用したリスク検知と共有
弊社が提供する脅威情報分析サービス（OSINT）では、外部からの観測データをもとに、マルウェア感染や情報流出の兆候を可視化します。また、クレデンシャル漏洩やダークウェブ上の不正取引情報を自動検出する「ZERO DARKWEB」を活用することで、企業・取引先のアカウント情報の悪用を未然に防止できます。
今年５月に一気に顕在化したネット証券における不正取引においては、その顧客アカウントの乗っ取り方法に、（インフォステラー）マルウェアへの感染の可能性が指摘されており、こうした情報は、検出後に速やかに関係各所と共有することが重要です。情報を保持していながら通知を怠ることは、被害拡大を容認することに等しいと認識する必要があります。
サプライチェーン攻撃に対抗する3つの基本対策
サプライチェーンを狙ったサイバー攻撃から企業を守るためには、以下の3つの対策を早急に導入することが推奨されます。
1. IT/OTネットワークの分離とマイクロセグメンテーション
社内システム間の横展開（ラテラルムーブメント）を防止。
2.脅威情報の収集と迅速な共有体制の構築
異常検知から共有までのスピードを高め、被害の拡大を防止。
3．サプライヤー・ベンダー管理の強化
取引先のセキュリティレベルを定期的に評価・監査。
| 関連記事 |
|
サイバー攻撃の目的とは？攻撃者の正体から目的・対策までを解説 |
まとめ：被害を「受ける前提」で備える時代へ
ASKULへの攻撃は、もはや「他人事」ではありません。どの企業もサプライチェーンの一部であり、被害者にも加害者にもなり得ます。
「侵入を防ぐ」から「侵入されても被害を最小化する」へ──
この発想の転換こそが、これからのサイバーセキュリティ対策の鍵です。
- ネットワークの分離・ラテラルムーブメントの防止
Janus netKeeper （OT・IoT機器向けの内部ファイアウォールソリューション）
Janus netKeeper 製品チラシ - 外部と接する全てのデバイスの脅威管理と対策
Device Total （OT・IoT・ネットワーク機器向けの脆弱性管理ソリューション）
Device Total 製品チラシ - サプライヤ・ベンダ管理の強化
Labrador Labs（SBOM管理ソリューション） - 脅威情報の収集/分析の迅速化
脅威分析(OSINTサービス)
ZERO DARKWEB（クレデンシャル漏洩監視サービス）
など、企業の規模や環境に合わせた統合的なセキュリティ対策をワンストップでご提供しています。今こそ、自社とサプライチェーン全体のセキュリティ体制を見直すときです。
