前回は、Web API について取り上げてきました。
今では API を使った情報連携は一般的で多くの Web サービス（SaaS サービス）で実現しています。 WebAPI というのは、通常の Web アプリケーションとは異なり、様々な機能の処理を実行したうえで、表示用の画面ではなくデータのみを返すものです。ご興味のある方は、ぜひご覧ください。
今回は、2025 年 9 月〜10 月現在においても大きな影響が続いている、アサヒグループホールディングスのサイバー攻撃について取り上げます。
アサヒグループホールディングスへのサイバー攻撃
2025 年 9 月 29 日、アサヒグループホールディングスはサイバー攻撃によってシステム障害が発生していると公表しました。（※1）そこから調査をするとサイバー攻撃が「ランサムウェア」であることが判明し、業務にも多くの影響が出ている状況です。
（※1）
https://www.asahigroup-holdings.com/newsroom/detail/20250929-0102.html
https://www.asahigroup-holdings.com/newsroom/detail/20251014-0103.html
概要を説明すると以下のようになります。
2025 年 9 月 29 日にアサヒグループホールディングスが自社へのサイバー攻撃を確認し、攻撃の影響で国内のシステム稼働が影響を受けました。その後、緊急事態対策本部を設置して操作を進めたところランサムウェアの影響だということが判明しました。
対策として、顧客や取引先の重要データ保護を優先し被害の拡大を止めるためにシステムを遮断したところ、国内グループ会社の受注・出荷業務やコールセンター業務が停止し、社外からのメール受信も不可能となりました。
まだ調査が続いている状況ですが、現状では個人情報の外部流出は確認されていないとしています。しかし情報流出の可能性の痕跡も見つかっていることから、今後ある程度の個人情報流出が発表される可能性もあります。
業務への影響としては、工場での生産も全面的に停止したためにアサヒの商品の出荷が止まったことで、コンビニや飲食店などでは欠品や品薄も発生してしまいました。
これらの事象を踏まえて、経理関連のデータへアクセスできない等の理由から、アサヒグループホールディングスは 2025 年 12 月期第 3 四半期の決算発表を延期する事になってしまっています。
今回のランサムウェアですが、身代金要求型ウイルスと呼ばれているものでロシアの犯罪集団 Qilin（キリン）が行いました。この集団は、ランサムウェアをサービスとして提供する「RaaS（Ransomware-as-a-Service）」型の犯罪組織です。
実はこの RaaS はかなり悪質で、彼ら自身は攻撃対象に直接的に侵入することはせずに、暗号化ツール等をサービスを提供した下請けの攻撃者が実施します。攻撃によって収益が出たら、それを山分けするようなビジネスモデルです。
今回は基幹システムが影響を受けたが、Web も注意が必要
今回のアサヒグループホールディングスへの攻撃は、基幹物流システムの「SPIRIT」というものが被害を受けて停止し大きな影響が出てしまいました。
基幹システムはしっかりとしたセキュリティ対策ができていそうですが、それでも大きな被害になってしまうというので恐ろしいです。
しかしこれは、Web サイトや Web システムにも同様に言えることです。Web サイトや Web システムはインターネットという誰でもが利用できる空間に公開しているものですので、そこを突いた攻撃は多数あります。ですので特に Web セキュリティについてもランサムウェアを含めたサイバー攻撃に注意をしなければならないということになります。
Web セキュリティ関連の知識について、詳しくなりたい場合は、徳丸本を学ぶことをおすすめします。
徳丸本は、Web セキュリティに関する基本知識が網羅されています。セキュリティは正確に体系立てて理解をしていかないと、システムや会社にとって致命的な問題に繋がります。これらの知識を身に着けたエンジニアとして活躍されていく方にはおすすめです。
そして、学んだあとは理解を確認するために徳丸試験でチェックしてみると理解度が可視化されるため、ぜひチャレンジしてみてください。
【徳丸本】
体系的に学ぶ 安全な Web アプリケーションの作り方 第 2 版 脆弱性が生まれる原理と対策の実践
徳丸浩の Web セキュリティ教室
【徳丸試験】
ウェブ・セキュリティ基礎試験(徳丸基礎試験）
ウェブ・セキュリティ実務知識試験(徳丸実務試験
