【2025年】アスクル、ランサムウェアで売上16.8%減 最終赤字221億円

何が起きたのか

アスクルは事業所向けの「ASKUL」「ソロエルアリーナ」と個人向けの「LOHACO」を運営する通販の会社です。2025年10月19日の午前にランサムウェアの攻撃を検知し、同日16時半に受注と出荷を止めました。

物流センターを管理する複数のシステムが暗号化され、物流センターの出荷が全面的に止まりました。自動倉庫などがこのシステムの上で動いていたためです。10月22日には外部のクラウドで使っていたお問い合わせ管理システムにも不正アクセスがありました。基幹システムとお客様向けの EC サイトには、侵害の痕跡がなかったとしています。

攻撃者は盗んだ情報を10月30日、11月10日、12月2日の夜に公開しました。流出が確認されたのは、事業所向けサービスのお客様情報が約59万件、個人向けが約13万2,000件、取引先が約1万5,000件、役員・社員等が約2,700件です。LOHACO の決済ではカード情報を同社が受け取らない仕組みで、個人のお客様のカード情報は持っていません。

同社は攻撃者と接触しておらず、身代金の支払いも交渉もしていないと説明しています。

会社に何が起きたのか

• 売上高：4,001億99百万円（前期比16.8%減、2026年5月期）
• 営業損益：174億45百万円の赤字（前期は140億4百万円の黒字）
• システム障害対応費用：特別損失に51億8百万円。物流基盤の維持、調査と復旧、出荷期限切れの商品の評価損など
• 最終損益：221億50百万円の赤字（前期は90億68百万円の黒字）
• 売上の落ち込み：ASKUL 事業は11月度に前年同月度比94.5%減。第4四半期は前年同期比11.4%減まで回復
• 利益率：売上の回復に向けた過去最大規模の販促などで、売上総利益率が2.1ポイント低下
• 資金：手元の資金を確保する借入で短期借入金が269億円増加。営業キャッシュフローは108億2百万円の支出
• 財務と配当：自己資本比率は34.2%から20.8%に低下。年間配当は38円から10円に減少

最終赤字には攻撃とは別の事情で計上したグループ会社の減損損失48億23百万円も含まれます。

復旧までの流れ

最初の出荷は攻撃から10日後でした。10月29日、FAX の注文を受けて2拠点から37品目のケース品を出す「出荷トライアル」を始め、11月10日までに7拠点、230品目へ広げました。決算短信によると、復旧までの間は物流システムを介さず手作業で届ける流れを作りました。利益率は低くても需要の高いコピー用紙などを先に出しました。

11月12日からソロエルアリーナと ASKUL の Web 受注を順に再開し、LOHACO の再開は2026年1月20日でした。主要なサービスの水準が障害の前に戻ったのは2026年2月以降です。

復旧では既存の環境を部分的に直さず、安全が確認された新しい環境をゼロから作りました。時間はかかるものの、汚染の可能性を残さないための選択です。

なぜそこまで広がったのか

第13報によると、業務委託先に渡していた管理者アカウントが不正に使われました。このアカウントには例外的に多要素認証を適用しておらず、ID とパスワードが何らかの方法で漏れました。当時のログが消えていて、原因の完全な究明は難しいとしています。委託先が管理するノートパソコンのログも OS の更新の過程で消えていました。

侵入した攻撃者はネットワークを探り、複数のサーバーに入るための認証情報を集めました。さらに EDR などの対策ソフトを無効にしてサーバーの間を移動し、必要な権限を取ってから、複数の種類のランサムウェアを一斉に広げています。

検知も遅れました。被害を受けたデータセンターのサーバーには侵入を検知する EDR が入っておらず、24時間の監視もありませんでした。

復旧にも時間がかかりました。オンラインのバックアップはありましたが、ランサムウェアを想定した環境ではなく、一部が暗号化されました。暗号化と同時にバックアップファイルの削除も行われています。

再発防止とその後

再発防止策は原因ごとに決めました。不正アクセスには同社と委託先のすべてのリモートアクセスへの多要素認証の徹底、管理者権限の厳格な運用、従事者の再教育です。検知には24時間365日の監視と EDR の導入、復旧にはランサムウェアを想定したバックアップ環境と機器管理の詳細化を挙げました。

2026年8月に更新した同社のページは、続く対策として SaaS のログ監視、IT と物流設備を横断したリスク管理、事業継続計画の見直し、外部機関による定期的な評価を挙げています。

2027年5月期の計画は売上高4,900億円、営業利益70億円です。売上高は被害の前の水準まで戻す計画ですが、収益水準の回復は2028年5月期としています。決算説明では、生涯の取引額が大きいお客様ほど戻りが早かったことも報告しました。

中小企業が学ぶこと

例外のアカウントを洗い出しましょう。委託先の保守用アカウントは社員のものより確認が抜けやすい部分です。VPN、サーバーの管理画面、クラウドの管理者を順に見て、多要素認証が入っていないものを書き出します。

バックアップは本番と切り離した場所にも置いておきたいところです。同社では暗号化と削除が同時に行われました。本番の管理者権限では消せない場所を1つ用意します。持ち方はランサムウェアで止まらないためのバックアップの持ち方にまとめています。

システムが止まったときに手作業で届ける手順があれば、売上の落ち込みを抑えやすくなります。同社の例のように、FAX で受ける、品目を絞る、需要の高いものから出す、という順なら小さな会社でも紙に書いておけます。

直接の費用より営業の赤字のほうが大きい点も見ておきます。対応費用が51億円なのに対し、営業赤字は174億円でした。復旧の後にも販促や物流の費用が続くことを見込み、売上が止まる間の支払いをどう賄うかを取引銀行と話しておきましょう。