アサヒグループ、個人情報228万件超に漏えいのおそれ　サイバー攻撃の被害拡大

アサヒグループホールディングスが2025年9月に受けたサイバー攻撃を巡り、漏えいのおそれがある個人情報が約228万8千件に拡大した。

従来公表していた約191万件に加え、7月17日、新たに取引先の役員や従業員、個人事業主ら約37万8千件を対象に追加した。クレジットカード情報は含まれていない。

顧客や従業員、取引先まで対象拡大

漏えいのおそれがある個人情報の主な内訳は、顧客相談室への問い合わせ者が約152万5千件、従業員と家族が約27万5千件、取引先関係者が約37万8千件、慶弔関係者などが約11万4千件となっている。

このうち、実際に外部への漏えいが確認された情報は約11万5千件。取引先関係者が11万件を超え、従業員関係は約5千件とされる。

同社は対象者への個別連絡と謝罪を進め、警察や個人情報保護委員会への報告を続けている。

生産・出荷停止で業績にも打撃

攻撃は2025年9月下旬に発生した。攻撃者はデータセンターや社内端末へ侵入し、ファイルの暗号化とデータの窃取を行ったとされる。

ランサムウェア集団「Qilin」は犯行声明を出したが、攻撃主体については捜査や調査結果を踏まえた慎重な判断が必要となる。

サイバー攻撃の影響で、国内の受注、生産、出荷に関わるシステムが停止。商品の供給や物流に混乱が生じ、全面的な出荷再開は2026年4月までずれ込んだ。

復旧費用や販売機会の損失などによる業績への影響は約400億円規模とされ、2025年12月期の純利益は前期比37％減の1215億円となった。決算発表も当初予定から約5カ月遅れた。

ゼロトラスト移行など再発防止へ

アサヒグループは再発防止策として、社内外からの接続を原則として信用せず、その都度認証するゼロトラストモデルへの移行を進めている。

監視体制やアクセス管理の強化に加え、情報セキュリティを統括する責任者や専門組織を設置し、経営レベルでサイバーリスクを管理する方針だ。

今回の被害は、個人情報の流出にとどまらず、生産、物流、販売、決算まで企業活動全体に影響が及んだ。サイバー攻撃が工場や取引先を含む供給網を止める経営リスクであることを改めて示した形だ。

記事要点

アサヒグループへのサイバー攻撃を巡り、漏えいのおそれがある個人情報は約228万8千件に拡大しました。対象は顧客相談室への問い合わせ者、従業員と家族、取引先関係者などに及び、実際に漏えいが確認された情報は約11万5千件です。攻撃は国内の生産や出荷、決算にも影響を与えており、対象者対応と再発防止策の実効性が今後の焦点となります。