2025年、アサヒグループホールディングスやアスクルなど大企業へのランサムウェア攻撃が相次ぐ一方、IoT製品のセキュリティを分かりやすく示すラベリング制度「JC-STAR」の運用が始まった。
事案の詳細
インターネット関連の動向を振り返る企画の中で、2025年はアサヒグループホールディングスやアスクルなど、名の知れた大企業がランサムウェア攻撃を受ける事案が相次いだことが取り上げられた。アサヒグループホールディングスでは2025年9月末に国内の業務システムが停止し、主力製品の生産ラインを含む物流や受注・出荷システムに大きな影響が生じたことが公表されている。アスクルでもランサムウェア感染に伴うシステム障害が発生し、受注・出荷業務などに影響が出た事案が報じられている。これらの事案は、ランサムウェアが企業の業務や情報へのアクセスを妨げることで、事業継続に直接影響し得る脅威であることを改めて示した。
今回のまとめでは、特定の一社に限らず「大企業へのランサムウェア攻撃が相次ぐ」という点が強調されている。大規模組織であっても攻撃対象になり得ること、そして同種の被害が連続して話題になる状況にあったことが、2025年のセキュリティ関連ニュースとして整理された。被害額の詳細や攻撃グループの特定など、個別案件に関する一部の情報は現時点で不明な点も残るが、重要インフラや大手メーカー、EC関連企業など多様な業種がランサムウェアの標的となっている構図が浮き彫りになっている。
また、同じ文脈でIoT製品に関する取り組みとして、セキュリティラベリング制度「JC-STAR」の運用開始が紹介された。JC-STAR（Japan Cyber-Security Technical Assessment Requirement）は、経済産業省と独立行政法人情報処理推進機構（IPA）が運営する、日本独自のIoT製品向けセキュリティ要件適合評価・ラベリング制度であり、2025年3月25日に運用が始まった。IoT製品は企業や家庭の現場に広く普及している一方、製品ごとの安全性の違いが利用者に伝わりにくい課題がある。JC-STARは、その安全性を★1〜★4の4段階のラベルで示す制度として運用が始まり、★1・★2は製造事業者による自己適合宣言、★3・★4は第三者による評価を前提とした仕組みになっている。制度開始後、★1適合ラベルの交付が開始され、複数社・多数の製品が適合ラベルを取得している。
影響と背景
大企業へのランサムウェア攻撃が相次いだという事実は、業種や企業規模にかかわらずサイバー攻撃が社会課題として継続していることを示す。生産・物流・受発注などの基幹業務システムがランサムウェアによって停止すると、事業活動全体に深刻な影響が及び、復旧には長期間と多大なコストを要する場合がある。DXの進展やクラウド活用により、企業内のデータやシステムが高い効率で連携する一方で、特定のシステムやネットワークに障害が生じた際の影響範囲が広がる傾向も指摘されている。
加えて、IoT製品の安全性を「見える化」するJC-STARの運用開始は、利用者が製品選定時にセキュリティを判断しやすくするための環境整備として位置付けられる。JC-STARでは、端末機器やネットワーク機器など対象とするIoT製品のセキュリティ機能を共通の基準で評価し、その結果をラベルとして表示することで、利用者がどの程度のセキュリティ要件を満たしている製品なのかを一目で把握できるようにしている。これにより、企業調達や自治体・インフラ事業者の機器選定において、価格や機能だけでなくセキュリティ水準を比較するための指標が提供されることになる。制度は任意適合であり、すべてのIoT製品が対象となっているわけではないものの、政府による普及施策や業界団体の周知活動を通じて、今後ラベル表示製品の拡大が期待されている。
対策・今後の展望
- 調達・導入の基準を明確化：IoT製品や周辺機器を新規に導入する際、JC-STARなどセキュリティラベルや第三者評価が確認できる情報を基準に加え、調達ポリシーやベンダー選定基準にセキュリティ要件を明記する。ラベルの有無やレベルだけでなく、自社の利用環境に必要なセキュリティ機能（認証・暗号化・更新手続きなど）が満たされているかを確認することが重要となる。
- インシデントを前提にした備え：ランサムウェアのように業務停止につながる脅威を想定し、連絡体制や復旧手順などの整理を進める。具体的には、バックアップの取得・保管方針、復旧時に優先すべき業務システムの整理、経営層・現場・外部ベンダー間の連絡フローの文書化などが挙げられる。また、被害発生時の公表方針や顧客・取引先への説明プロセスをあらかじめ検討しておくことも、レピュテーションリスクの低減につながる。
- 現場での運用を継続改善：導入時だけでなく、利用中の機器やシステムの状態を定期的に点検し、必要な更新や設定の見直しを行う。IoT機器については、ファームウェア更新や不要な機能・ポートの停止、初期パスワードの変更状況などを定期的に確認し、古い機器やサポートが終了した製品の扱いを明確化することが求められる。こうした運用面の改善は、ラベル表示された製品を選ぶことと同様に、セキュリティ水準の維持・向上に不可欠である。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIの診断現場では、多くの中小企業で「外部から到達できる機器や管理画面が残ったまま」「更新が止まった端末が混在」といった状態が見つかる。インターネットに直接露出した機器や、VPN・リモートデスクトップなどの遠隔接続手段が過去の運用のまま残存している例も多い。マネージド型の監視サービス（MDR）では、不審なログイン試行や権限の急な変更が頻出であり、攻撃者が侵入後に権限昇格や lateral movement（横移動）を試みている兆候が見られる。
【観点②：平易な解説】ランサムウェアは、例えるなら会社の書類棚に鍵をかけられ、鍵を返す条件を突きつけられるようなものだ。つまり、止まるのはパソコンだけでなく、受発注や出荷など日々の仕事そのものになり得る。最近の事例では、システム暗号化だけでなく、情報を盗み出したうえで「公開されたくなければ支払え」と二重・三重の恐喝を行う手口も広がっており、事業継続と情報漏えいの双方の観点から対策が必要になっている。
【観点③：今週中にできること】まず社内で「外から入れる入口」がないか、公開中の機器やリモート接続の有無を棚卸しする。次に更新が止まった端末や機器を洗い出し、担当者に今週中の更新方針を共有する。最後に緊急連絡先と停止判断の基準を一枚にまとめる。ここまでの対応で、外部からの侵入に利用されやすい入口の閉塞と、ランサムウェアなどのインシデント発生時に迅速に動ける最低限の体制づくりが進む。なお、個々の企業のネットワーク構成や既存システムの詳細は現時点で不明な部分もあるため、自組織の実情に合わせて具体的な対応手順を検討することが望ましい。
参照: 【2025年のINTERNET Watch】アサヒグループHDやアスクルなど大企業へのランサムウェア攻撃が相次ぐ。IoT製品のセキュリティラベリング制度「JC-STAR」運用開始