2025年10月19日、アスクル株式会社（以下「アスクル」）は、自社システムがランサムウェアに感染し、受注・出荷業務に大規模な障害が発生したと発表しました。法人向けECサービス「ASKUL」「ソロエルアリーナ」、個人向けEC「LOHACO」の運営に関わる物流・システム環境が影響を受けたことが明らかです。
同社は10月30日、ロシア系とみられるハッカー集団「ランサムハウス」が約1.1テラバイトのデータを窃取したとする犯行声明をインターネット上で公開したと報じられました。
さらに10月31日には、アスクルが「顧客情報などの一部が外部に流出したことを確認した」と発表しました。
アスクル システム障害発生から流出確認までの経緯
10月19日：障害公表
アスクルは10月19日に、身代金要求型ウイルス（ランサムウェア）によるシステム障害を受け、受注および出荷業務を停止したと公表しました。物流システムを含む複数の業務プロセスが影響を受け、原因調査に入っていたことが明らかです。
10月29日：出荷の“手作業”再開を発表
29日、アスクルは「一部商品の出荷を手作業で再開」すると発表しました。倉庫管理システム（WMS）を使用せず、医療機関・介護施設を含む法人向けの限定運用を行うトライアル体制です。
ただし、本格的なシステム復旧の時期は未定であり、トライアル対象は限定的です。
10月30日–31日：犯行声明と外部流出確認
10月30日、ハッカー集団ランサムハウスがアスクルに対する犯行声明を出したとされ、アスクル側もその声明を把握しているとコメントしています。
10月31日、アスクルは「保有する情報の一部が外部に流出した」ことを正式に発表。流出情報には問い合わせ記録・サプライヤー登録情報などが含まれ、現時点でクレジットカード情報の流出は確認されていないと説明しています。
流出情報の中身とリスク
アスクルが発表した「外部流出を確認した情報」の内容は以下の通りです：
- 法人向けEC（ASKUL・ソロエルアリーナ）のお客様からのお問い合わせ記録の一部（会社名、担当者氏名、メールアドレス、登録電話番号、お問い合わせ内容等）
- 個人向けEC（LOHACO）のお客様からのお問い合わせ記録の一部（氏名、メールアドレス、電話番号、お問い合わせ内容等）
- サプライヤー（商品仕入れ先）が登録していた情報の一部（会社名、担当者部門名・氏名・メールアドレス等）
クレジットカード情報については、LOHACOの決済システムがカード情報を保持しない構造になっており、個人のカード情報は保有していないと説明されています。
このような情報が流出した場合、主に次のようなリスクがあります：
- 問い合わせ内容を含むことで、標的型フィッシングメール／なりすましメールに利用される可能性が高まる
- 担当者名・部署名・会社名といった業務情報が含まれることで、組織的な詐欺やターゲティング攻撃の踏み台にされるリスク
- 被害が現時点で確認されていないとは言え、今後の悪用可能性があるため、早急な注意と対策が必要
アスクルの現在の復旧状況と見通し
復旧状況
- 出荷業務停止：アスクルはシステム障害の影響で、注文受付・出荷業務を停止していました。
- トライアル運用開始：10月29日から、倉庫管理システム（WMS）を使わずに手作業での出荷を一部顧客（医療・介護含む）向けに限定して再開しています。
- 本格復旧のスケジュール未提示：アスクルは10月31日時点で復旧スケジュールは確定していない」と説明しています。新規注文受付は停止しています。
見通し／今後の焦点
- システム全面復旧までにはまだ一定の時間がかかる見込みです。WMSなど物流システムの稼働なしでの運用は限定的であり、通常運用に戻るまで全体的な復旧が必要です。
- 流出情報の調査・被害拡大防止：アスクルは外部専門機関と連携して流出範囲の調査を継続中であり、追加流出の可能性も示唆されています。再発防止策も焦点です。
- 法的・行政対応：アスクルは関係当局への報告を完了しており、個人情報保護委員会などの対応による監視も予想されます。
このように、復旧に向けた動きは始まっているものの「完全な正常化」「被害の全容把握」「再発防止体制の構築」には段階的な取り組みが必要であり、業界・利用者双方が注視すべきフェーズにあると言えます。
アスクル利用者・取引先が今すぐ取るべき安心対策
個人利用者（LOHACO利用者など）
- 頻繁にメールをチェックしているアドレスに、不審なメール（知らない差出人、件名・文面が不自然、添付ファイル付きなど）が届いたら開封・リンククリックを控えてください。
- パスワードの使い回しを避け、可能であれば二段階認証（2FA）を設定しておくことをおすすめします。
- 利用しているサービスの公式サイトで「メール配信停止」「サービス状況」の案内が出ていないか定期的に確認してください。
法人利用者・サプライヤー企業
- 社内メール宛に「アスクルを名乗る」「サプライヤー情報の更新を求める」などの連絡が来た場合、必ず別経路（電話・公式ポータル）で確認を取ってください。
- 社内で顧客・取引先の個人情報を扱う部署があれば、当該流出事件を知らせ、注意喚起を行ってください。
- ログ監視・アクセス履歴の異常がないか点検し、必要ならセキュリティ専門機関への相談も検討しましょう。
アスクルのサイバー攻撃が示す教訓流通業サイバーリスク
- 流通・物流を担う企業では、システム停止が直接「受注停止」「出荷遅延」に繋がり、顧客・取引先・サプライチェーン全体に影響が及びやすいという構図があります。
- ハッカー集団が「データ窃取＋身代金要求＋流出公開」という流れを取るケースが増えており、単なる暗号化被害だけではなく“情報を材料にした二次被害”が重要なポイントです。
- 今後、企業は「情報流出が起きたときの開示／利用者対応／サービス復旧スケジュール」を含むインシデント対応計画（IR）を持っておく必要があります。
- 利用者・取引先も、取引先企業がこのような状況に陥る可能性を前提に、自社側のリスク管理・情報管理を強化することが望まれます。
