アサヒグループホールディングスは、2025年9月29日に発生したサイバー攻撃（ランサムウェア攻撃）に関連し、取引先の役員や従業員、個人事業主らの個人情報約37万8千件に新たに漏えいのおそれがあるとする追加の発表を行った。今回の追加発表により、漏えいのおそれがある個人情報は合計で約228万9千件（約230万件）に拡大したとされている。漏えいのおそれがあるのは氏名、住所、電話番号、メールアドレスなどの情報であり、該当する取引先関係者には順次、漏えいの可能性を通知している。現時点で、これらの個人情報について外部への流出の事実や不正利用などの二次被害は確認されていない。
事案の詳細
今回の発表は、2025年9月29日に同社グループが受けたサイバー攻撃事案に関する追加の説明として示されたものである。当初、アサヒグループHDは、グループ各社のお客様相談室への問い合わせ情報や従業員・その家族などの個人情報計約191万4千件に漏えいのおそれがあると公表していた。その後、外部専門機関も含めた調査や、個人情報保護委員会など関係当局との協議を踏まえ、漏えいの可能性を完全には否定できない情報についても対象に含める方針とした結果、取引先の役員・従業員、個人事業主に関する約37万8千件の個人情報を新たに「漏えいのおそれがある個人情報」として扱うことを決定し、追加発表を行った。
公表内容によれば、ランサムウェアによるサイバー攻撃によって、データセンターを通じて従業員に貸与している一部のパソコン端末からのデータ流出が確認されている。一方で、当社グループのデータセンター内のサーバーに保管されていた個人情報については、現時点で外部への流出の事実やインターネット上での公開は確認されていないものの、技術的な観点から流出の可能性を完全に排除できない情報についても「漏えいのおそれがある」と位置づけて対象範囲に含めている。今回の追加発表においても、「漏えいか」としてあくまで漏えいのおそれがある段階であり、個人情報が確定的に第三者へ渡ったと断定しているわけではない。影響の有無や範囲の詳細については、引き続き外部専門機関も交えた調査が進められている。
新たに対象に含められた約37万8千件の個人情報は、取引先の役員や従業員、個人事業主などに関するもので、その内容は氏名、住所、電話番号、メールアドレスなどの基本的な連絡先情報が中心とされている。クレジットカード情報などの決済情報は含まれていないと説明されている。件数規模が大きいことに加え、取引先関係者という事業上の重要なステークホルダーが対象となっている点が特徴であり、当初公表された範囲から調査を進める中で、影響範囲の見直しと拡大が必要になったことがうかがえる。
影響と背景
個人情報の漏えいのおそれがある件数が合計で約228万9千件（約230万件）に上るとされたことで、影響範囲は非常に広い可能性があり、顧客・従業員・その家族・社外関係者・取引先関係者と、多様なステークホルダーに波及し得る状況となっている。同社によると、攻撃はランサムウェアによるもので、日本で管理しているシステムを中心に影響が及び、データセンターを通じて従業員に貸与している一部のパソコン端末からのデータ流出が確認されている。また、データセンター内のサーバーで管理している個人情報については、外部への流出やインターネット上での公開は確認されていないものの、技術的・法令上の観点から流出の可能性を完全に否定できない情報が存在すると判断され、その範囲を「漏えいのおそれがある個人情報」として扱っている。
今回のように、追加発表として漏えいのおそれがある件数が新たに示されるケースでは、企業側の調査の進展や関係当局との協議に伴い、リスク認識が段階的に更新されていくことが多い。アサヒグループHDも、個人の権利利益保護および二次被害防止の観点から、漏えいの可能性を完全には否定できない情報を積極的に対象に含める方針を採用しており、その結果として対象件数が拡大している。現時点では、情報の不正利用や詐欺、なりすましなど、今回の事案に起因するとみられる二次被害は確認されていないとされているが、対象となる個人情報の量と範囲が大きいことから、利用者や関係者が受け止めるリスク認識は高まり得る状況にある。
背景としては、ランサムウェア攻撃が企業の事業活動に伴って保有する情報を広範に標的にし得ること、攻撃の影響が一部のシステムに限られていても、そのシステムを通じて連携している端末やデータセンターの情報にも波及しうることが挙げられる。また、個人情報保護法などの関連法令に基づき、漏えいの可能性が完全には否定できない場合でも、一定の条件のもとで当局への報告や本人への通知、公表が求められることから、企業は慎重な判断のもとに対象範囲を拡大して公表する傾向がある。今回の追加発表も、関係当局との協議を踏まえた対応として位置づけられており、関係者が最新の公表内容を踏まえて状況を把握することが重要になる。
対策・今後の展望
本件は、ランサムウェアによるサイバー攻撃に関連した個人情報漏えいのおそれが論点であり、今後も調査の進展や関係当局との協議に伴って、公表される情報が更新され得る。アサヒグループHDは、外部専門機関を交えた調査を継続するとともに、再発防止策やガバナンス体制の強化に取り組む方針を示している。現時点では、漏えいのおそれがある対象者には順次通知を行っており、情報の不正利用などの二次被害は確認されていないと説明しているが、今後の状況によっては追加の案内や注意喚起が行われる可能性がある。
関係者や利用者が取り得る対応としては、事業者からの公表内容や通知を継続的に確認し、追加の案内や注意喚起が示された場合にそれに従うことが基本となる。特に、漏えいのおそれがあると通知された取引先関係者や顧客、従業員などは、自身の連絡先情報やアカウント情報の取り扱いについて注意を強めることが望ましい。
- 公表情報の確認：アサヒグループHDが公表するニュースリリースや、追加発表を含む最新の説明、対象範囲の案内を定期的に確認し、自身が対象に含まれるかどうかを把握する。
- 案内があった場合の対応：事業者から漏えいのおそれがある旨の通知や、対応手続き・問い合わせ方法などの指示が示された場合は、内容を慎重に確認し、必要な対応（問い合わせ、情報の確認・変更など）を行う。
- 不審な連絡への注意：個人情報漏えいが取り沙汰される局面では、事案に関連するかのように装った電話、メール、メッセージなどの不審な連絡が増えることがあるため、心当たりのない連絡や、過度に個人情報の提供を求める連絡には慎重に対処する。事業者からの正式な案内かどうか分からない場合は、公式な窓口や公表情報を通じて真偽を確認することが望ましい。