アサヒ、ランサムウェア集団による約200万人分の個人情報流出の可能性を認める

アサヒはついに、日本で9月に発生したランサムウェア攻撃による影響を集計し、犯罪者らが最大で約200万人分の個人データを持ち去った可能性があることを認めた。

9月29日、アサヒは日本国内の事業において、受注、出荷、コールセンターの各システムを停止させた「サイバー攻撃によるシステム障害」が発生したことを公表した。その数日後、この攻撃はQilin（キリン）ランサムウェア集団によるものだと主張され、同集団は従業員情報、契約書、財務書類、その他の機密資産を含む約27GBの内部ファイルを盗み出したとみている。

そして11月27日になって、アサヒはようやく、影響を受けた可能性のある対象と内容の詳細な内訳を公表した。それによると、カスタマーサービスセンターに問い合わせを行った152万5,000人、弔電・祝電を受け取った11万4,000人の社外関係者、現・元従業員10万7,000人、およびその家族16万8,000人が含まれる。流出した可能性のあるデータには、氏名、住所、電話番号、メールアドレスが含まれ、一部については生年月日や性別も含まれるが、クレジットカード情報は含まれていないという。

アサヒによると、流出した可能性のあるデータは日本国内で運用されているシステムに限定されており、現時点ではいずれのデータも公開されていない。また、実際に情報流出が確認された個人には通知を行うとしているが、対象が約200万人規模となるため、その通知作業は膨大なものとなる。

最新の更新情報によれば、アサヒは、日本国内のグループデータセンター施設に設置されたネットワーク機器が侵害され、そこから攻撃者が侵入したと説明している。攻撃者は同日にランサムウェアを展開し、稼働中の複数サーバーおよび一部接続PC上のデータを暗号化した。この結果、広範囲にわたる業務停止を余儀なくされ、受注処理システムは停止、出荷は中断され、カスタマーサービス窓口も沈黙することになった。同社は数時間以内にデータセンターを隔離したものの、扉が開いてしまってからのランサムウェア集団の動きは素早い。

この混乱は、アサヒの通年決算発表スケジュールにまで影響を及ぼした。同社は、12月31日に終了する会計年度の通期決算発表を、期末から50日以上も遅らせることになった。投資家、販売代理店、小売業者が見通しを待つビールメーカーにとって、これは誰のカレンダーから見ても大幅な遅延だ。

同社は、システムの復旧を慎重かつ段階的に進めていることを明らかにしている。分離されたシステムの安全性が確認され次第、製品出荷は段階的に再開されている。決算発表の遅延は、完全な業務正常化には当初の想定より時間を要することを示唆しており、ロイターは、物流機能が完全に回復するのは2月になる可能性があると報じている。

アサヒは工場でのビール醸造を再開しているかもしれないが、調査結果が示したのは、より苦い「露出」の後味だ。まず個人情報の流出、次に広報上の悪影響、そして業績への影響は2026年まで持ち越される格好となった。もし情報漏えいの開示がビールだったなら、今回の件は専用の生産ラインが必要になるレベルだろう。®