2025年10月、オフィス用品通販大手のアスクルに対するサイバー攻撃について、ハッカー集団RansomHouseが犯行声明を出したと報じられた。国内の著名企業が標的となり、さらに「声明」という形で攻撃者が情報戦を仕掛けてくる展開は、近年のランサムウェア（身代金要求型マルウェア）やデータ窃取型攻撃の潮流を端的に示している。
本稿では、今回の報道から読み取れる攻撃者の狙い、企業が直面する典型的なリスク（業務停止・情報漏えい・信用毀損）、そして実務として優先すべき対策を、インシデント対応の観点から整理する。
犯行声明が意味するもの：攻撃は「技術」だけでなく「交渉・心理戦」へ
攻撃者が犯行声明を出す背景には、単なる愉快犯的な誇示以上の意図がある。第一に、被害企業に対し「交渉に応じなければ情報を公開する」といった圧力を強めるためだ。第二に、顧客・取引先・株主・規制当局といったステークホルダーの不安を煽り、企業の危機管理（広報・法務・経営判断）を揺さぶる狙いがある。第三に、他の組織への見せしめとして成功例を示し、同業他社への抑止ではなく“宣伝”として作用させるケースもある。
ここで重要なのは、攻撃のゴールが「暗号化して身代金を取る」から「データ窃取＋公開脅迫＋業務妨害」という複合型へと進化している点だ。いわゆる二重恐喝（Double Extortion）は、バックアップがあっても「漏えい」を盾に交渉を迫れるため、攻撃者にとって費用対効果が高い。
通販・物流・BtoBサービスが狙われやすい理由
アスクルのように受発注・在庫・配送・決済・会員基盤を抱える事業者は、攻撃者から見て“止める価値が高い”標的になりやすい。主な理由は以下の通りだ。
業務停止の影響が即時に顕在化する
受注停止や出荷遅延が発生すると、法人顧客の業務にも波及し、復旧を急ぐプレッシャーが強まる。
個人情報・取引情報が集中する
会員情報、取引履歴、請求・配送情報などが集約されており、窃取データの“価値”が高い。
外部委託や連携システムが多い
決済、倉庫管理、配送、コールセンター、マーケティング基盤など多段のサプライチェーン連携が存在し、侵入口（攻撃面）が広がる。
想定すべき被害シナリオ：暗号化より怖い「静かな侵入」
ランサムウェア事案では、暗号化が表面化するまでに、数日〜数週間の潜伏期間があることが多い。攻撃者はその間に認証情報を奪い、権限昇格や横展開（ラテラルムーブメント）を行い、バックアップ破壊やログ消去を試みる。さらに情報を持ち出してから暗号化を実行すれば、復旧を妨げつつ、漏えいリスクを交渉材料にできる。
犯行声明が出ている場合、企業側が押さえるべき論点は「いつ侵入されたか」「何が持ち出されたか」「どの範囲に影響が及ぶか」だ。復旧作業と並行して、フォレンジック（デジタル鑑識）によりタイムラインと流出可能性を精査し、説明責任を果たせる形に落とし込む必要がある。
初動対応で差がつく：24〜72時間の優先順位
インシデント発生時に最も危険なのは、現場が独断でサーバ停止やログ削除などを行い、証拠と復旧の両方を難しくしてしまうことだ。初動では次の優先順位が現実的である。
封じ込め（Containment）
侵害が疑われる端末・サーバのネットワーク分離、特権アカウントの無効化、VPNやリモートアクセス経路の緊急点検を行う。事業継続のために止められない系統は、セグメント分離やアクセス制御強化で被害拡大を抑える。
証拠保全（Preservation）
ログ、メモリ、ディスクイメージ、EDRのテレメトリなどを保全し、後続の原因究明と対外説明に備える。法務・監査・保険対応でも証跡の品質が問われる。
指揮系統の確立（Command）
IT部門だけではなく、経営、法務、広報、CS、調達、情報システム委託先を含む意思決定体制を敷く。攻撃者との接触可否、公開情報の範囲、顧客対応方針は“会社として”統一しなければならない。
再発防止の要点：ゼロトラストと「復旧できる設計」
二重恐喝が一般化した現在、対策の軸は「侵入を完全に防ぐ」から「侵入前提で被害を最小化し、早く正確に復旧する」へ移っている。実務的に効果が出やすい施策は次の通りだ。
認証の強化（MFAの徹底と特権管理）
VPN、管理コンソール、クラウド、メール、SaaSに多要素認証（MFA）を適用し、例外を極小化する。特権IDは日常利用を禁止し、PAM（特権アクセス管理）やジャストインタイム権限付与で横展開を抑える。
EDR/XDRとログ設計
検知は導入だけでは不十分で、監視体制（SOC/運用委託含む）と、復旧に役立つログ保持期間・粒度の設計が必要だ。加えて、ログの改ざん耐性（書き込み専用領域、クラウド保管、WORM等）を検討すべきである。
バックアップの「隔離」と復旧訓練
バックアップは存在するだけでは意味がない。オフライン/イミュータブル保管、バックアップ用アカウントの分離、復旧手順の定期訓練がセットで初めて機能する。RTO（復旧目標時間）とRPO（復旧目標時点）を事業部と合意し、システムごとに優先順位を明確にする。
サプライチェーン対策（委託先・連携先の可視化）
外部委託先の運用アカウント、リモート保守経路、API連携、SaaS権限を棚卸しし、契約上のセキュリティ要件（通知義務、ログ提供、脆弱性対応SLA、再委託管理）を具体化する。攻撃者は最も弱い接点から入るため、サプライチェーンの成熟度が企業全体の耐性を左右する。
情報公開と顧客対応：透明性と慎重さの両立
犯行声明が出た局面では、企業は「分かっていないこと」と「分かったこと」を峻別しながら、適時に説明する必要がある。過小評価は後で信頼を失い、過大評価は風評と二次被害を拡大させる。顧客に対しては、影響範囲、想定されるリスク（不審メール、なりすまし、パスワード再利用の危険など）、取るべき行動（パスワード変更、二要素認証の有効化、請求情報の確認）を具体的に示すことが重要だ。
また、漏えい可能性が否定できない場合は、CS部門の問い合わせ動線整備、FAQの更新、フィッシング注意喚起を早期に実施し、二次攻撃（便乗詐欺）を抑止する。
まとめ：声明が出た時点で「攻撃は終わっていない」
今回のようにハッカー集団が犯行声明を出す事案では、技術対応だけでなく、交渉圧力と世論形成を含む“複合戦”として捉える必要がある。企業に求められるのは、侵入経路の封鎖と復旧のスピード、漏えい可能性の見極め、そして一貫した対外説明である。
平時から、MFA・特権管理・ログと監視・隔離バックアップ・サプライチェーン統制を積み上げておけば、最悪のシナリオ（長期停止・大規模漏えい・信頼失墜）の確率と影響を下げられる。サイバー攻撃は不可避になりつつあるからこそ、「被害を受けない」ではなく「受けても致命傷にしない」設計と運用が、経営の重要課題として突きつけられている。