アサヒグループホールディングス株式会社

アサヒグループホールディングスは、外部の専門家と進めてきた調査の結果を公表しました。9月29日7時ごろにシステム障害が起きて暗号化されたファイルを確認し、11時ごろにネットワークを遮断してデータセンターを隔離しています。攻撃者はグループ拠点のネットワーク機器を経由してデータセンターのネットワークに入り、ランサムウェアを一斉に実行して、起動中の複数のサーバーと一部のパソコンのデータを暗号化しました。従業員に貸与した一部のパソコンのデータが流出しており、サーバー内の個人情報にも流出の可能性がありますが、ネット上での公開は確認されていません。

漏えいまたはそのおそれがあるのは、3社のお客様相談室への問い合わせ者152.5万件、慶弔対応先11.4万件、退職者を含む従業員10.7万件、その家族16.8万件で、クレジットカード情報は含まれません。11月26日に個人情報保護委員会へ確報を出し、専用の問い合わせ窓口を設けました。安全を確かめたシステムから段階的に復旧し、通信経路の再設計、監視の見直し、バックアップと事業継続計画の再設計などを進めるとしています。

アサヒグループホールディングスは、2026年2月18日時点の調査結果と、ガバナンス体制の強化を含む再発防止策を公表しました。障害の約10日前に、攻撃者が拠点のネットワーク機器を経由して侵入したことが分かりました。主要なデータセンターでパスワードの脆弱性をついて管理者権限を奪い、主に業務時間外にサーバーへの侵入と偵察を繰り返したとみられるとしています。ゼロトラストモデルへの移行前のパソコンから情報の一部が盗まれています。受注と出荷は12月2日と3日に電子受発注で再開し、物流は2月までに正常化しました。

漏えいのおそれがある件数は11月26日時点と同じで、新たに漏えいが確認された個人情報として、従業員5,117件と取引先の役員・従業員など110,396件を示しました。12月10日にも、流出の疑いがある情報がネット上で新たに見つかったとして委員会に追加報告しています。リモートアクセスVPN装置の全面廃止、全パソコンのEDR設定の強化、専任の担当役員と情報セキュリティ委員会の設置などを進めるとしています。

アサヒグループHDは、2025年9月のサイバー攻撃について追加の調査と精査を続け、漏えいのおそれがある個人情報の範囲を改めて整理したと公表しました。データセンターのサーバーにあった個人情報が外部に出た事実は確認されていないものの、個人情報保護委員会との協議を踏まえ、漏えいのおそれを完全には否定できないものも対象に含める扱いに改めたとしています。

7月17日時点の対象は、お客様相談室への問い合わせ者152.5万件、慶弔対応をした社外の関係先11.7万件、従業員（退職者を含む）10.7万件、従業員の家族16.2万件に、新たに取引先の役員・従業員や個人事業主など37.8万件を加えたものです。項目は氏名、生年月日、性別、住所、電話番号、メールアドレスなどで、クレジットカード情報は含まれません。慶弔先と家族の件数も2月18日の発表から直しています。

2月18日に公表した漏えい確認済みの情報（従業員5,117件、取引先11万396件）に訂正はないとしています。対象者には順次知らせており、二次被害は確認されていません。