[ITmedia エンタープライズ] 犯人は「本物のID」でやって来る アサヒ・アスクル・日経、検知をすり抜けた“あの手口”

アサヒグループHDやアスクル、日本経済新聞社など、国内で大規模なサイバー被害が相次いでいる。侵入の入り口は機器の脆弱性や委託先のアカウントなどさまざまだが、被害が拡大する過程には共通点があるという。攻撃者は何を狙うのか。

» 2026年11月12日 07時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　ITデバイスとSaaSの統合管理クラウドを手掛けるジョーシスは2026年11月5日、メディア向け勉強会を開いた。登壇した松本恭攝社長は、複数の調査報告や被害企業の公表資料を基に、AI時代のサイバー攻撃の全体像と企業の守り方を解説した。

　松本氏によると、AIの普及で変わったのは攻撃の規模、コスト、スピードで、手法そのものは変わっていない。侵入の入り口は4つの系統に分かれる。最も多いのが脆弱（ぜいじゃく）性や露出した機器を突く攻撃で約3割を占める。フィッシングなど人をだます攻撃と、盗まれた認証情報による攻撃がそれぞれ約2割で続き、委託先やSaaS連携を経由する侵入も増えているという。

　ただし松本氏が「最も重要だ」と強調したのは、入り口の多様さではない。アサヒグループホールディングス（以下、アサヒグループHD）もアスクルも日本経済新聞社も、入られた経路は異なるのに、その後の被害の広がり方はよく似ているというのだ。

3社の被害に共通する「拡大の仕組み」とは

　松本氏が示した答えは、入り口がどこであれ、被害の拡大は「鍵」、すなわち認証情報の悪用に集約されるというものだ。

侵入の入り口は4系統に分かれるが、その後の拡大は「鍵」の悪用に集約される（出典：ジョーシスの資料）

　攻撃者は侵入後、端末やブラウザ、チャットツールからパスワードやログイン状態といった鍵を集める。次に、奪った鍵を使い、管理者用の遠隔接続やSaaS連携といった正規の通り道を通る。最後に顧客情報や事業情報の入ったデータベースに到達する。本物のIDで動くため、不正アクセスとして検知しにくい。松本氏は、侵入からデータ持ち出しまでが最速級の事案では72分だったという調査結果を挙げ、遅い事案では何カ月も気付かれないと説明した。

　盗まれる鍵は2種類ある。1つは社員のアカウントとパスワードといった「人のID」だ。もう1つはAPIキーやSaaS連携の通行証、クラウドの鍵など、システム同士のやりとりに使う「ノンヒューマンアイデンティティ」（NHI）だ。NHIには多要素認証のような本人確認がなく、持ち主が分からないまま何年も有効な場合が多い。松本氏は、NHIの数は人のIDの最大100倍に上るとする調査もあると紹介した。

侵入経路が違っても、分かれ目は同じだった

　松本氏は国内の被害事例をこのフレームワークに沿って読み解いた。アサヒグループHDの事例では、攻撃者がネットワーク機器を経由して侵入し、管理者権限を奪ってランサムウェアを展開した。同社はサイバー攻撃による2025年12月期の営業減益影響が400億円弱に上ったと公表している。松本氏は「管理者の権限が1カ所に集まっていなければ、被害を抑えられた可能性がある」との見方を示した。

　アスクルの事例では、多要素認証を例外的に適用していなかった業務委託先の管理者アカウントが悪用された。攻撃者は侵入から検知までの4カ月余りの間に社内の認証情報を集め、セキュリティ対策ソフトを無効化し、バックアップを削除した上でデータを暗号化した。同社の2026年5月期連結決算は、サイバー攻撃による受注停止などが響き、純損益が221億円の赤字だった。

　日本経済新聞社の事例では、私物PCのマルウェア感染で業務チャットツール「Slack」の認証情報が流出し、社員アカウントを経由して個人情報への不正アクセスにつながった。同社は2026年10月にも、クラウドサービスの認証情報が窃取されて不正アクセスを受けたと公表している。松本氏は、チャットやメールにパスワードを貼り付けるやりとりが攻撃の起点になると注意を促した。

多要素認証を入れても破られるのはなぜか

　こうした事例を踏まえて松本氏は、多要素認証を導入していれば安全だという前提が崩れつつあると指摘した。攻撃者が突く抜け道は次の4つだという。

1. 例外が残っている：　委託先や一部の管理者アカウントだけ多要素認証を適用していない
2. 本人確認のない入り口がある：　一元管理の外にあるシステムや古い接続方式から入られる
3. リセットさせる：　社員を装ってヘルプデスクに電話し、本人確認そのものを付け替えさせる
4. ログイン後の状態を盗む：　認証を通過した後のログイン状態を盗めば、本人確認は不要になる

　検知型の対策も万能ではない。攻撃者は本物のIDでログインして目立つ挙動を避けるため、端末の不審な挙動を検知するEDR（Endpoint Detection and Response）や監視サービスをすり抜ける例が増えていると松本氏は説明する。アスクルの事例のように、攻撃者がEDRなどを無効化した上で侵入範囲を広げるケースもある。

　ではどうすれば守れるのか。松本氏は平時のガバナンスが大切だと結論付け、次の対策を挙げた。社員や委託先、退職者のアカウントを1つの台帳で把握し、本人確認を例外なくかける。使われていないアカウントや広すぎる権限は定期的に整理する。自社のIDがダークWebに流出していないかを監視し、漏れたらパスワードの変更だけでなくログイン状態も無効にする。NHIも発行から失効まで、人のIDと同じ基準で管理する。

　「AIのサイバー攻撃の時代にセキュリティを強化するということは、ガバナンスを強化し、凡事を徹底するということだ。これが最も重要になっている」（松本氏）

ランサムウェア被害は過去最多、日経225企業の96.4％で「鍵」がダークWebに

　警察庁が2026年9月10日に公開した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（注）によると、2026年上半期に国内で報告されたランサムウェア被害は123件で、半期として過去最多だった。

　ジョーシスの調査では、日経225構成企業とそのグループの96.4％で、自社の情報とされる認証情報がダークWeb上で流通していた。調査期間は2023年3月～2026年6月で、無効化済みの情報を含む可能性があるという。松本氏は「多くの企業が認証情報の漏えいを経営リスクと認識している。一方で、管理を明文化して実行できていると答えた企業は少ない」と話した。

　ジョーシスはITデバイスやSaaS、IDを一元管理するクラウドサービスを提供しており、2027年1月からNHIの管理機能を提供するという。