🕵️‍♂️アサヒGHDを襲った「空白の10日間」の謎。ハッカーはVPNから入って何をしていたのか？

はじめに：衝撃の会見内容と事件の概要 🍺💥

みなさん、こんにちは！👋

今年の9月末ごろ、「あれ？コンビニにアサヒのビールが置いてない…？」って不思議に思ったこと、ありませんでしたか？🤔

実はあれ、アサヒグループホールディングス（以下、アサヒ）が大規模なサイバー攻撃を受けて、システムがダウンしていたからなんです💥

長い間、詳細が語られず沈黙が続いていましたが… ついに11月27日、アサヒGHDが記者会見を開き、その全貌を明らかにしました！🎤

アサヒGHDの記者会見ノーカット版です（約２時間）

そこで語られた「被害の規模」が衝撃的…📉

会見で社長の口から語られた事実は、私たちが想像していたよりも遥かに深刻なものでした。

• 😱 個人情報漏洩の恐れ：なんと約191万件！
  • お客様相談室への問い合わせや、取引先、従業員の情報などが含まれているそうです。
• 🚚 物流が完全ストップ！
  • 受発注システムが使えなくなり、現場は**「紙とFAXと電話」**のアナログ対応（昭和スタイル！）でなんとか商品を届けていたとのこと。

この記事の目的：ニュースじゃわからない「裏側」へ🕵️‍♂️

テレビや新聞では「大変だったね」「情報漏洩が心配だね」という話が中心ですが、私がしりたいのはそこじゃありません。

• 「なぜ、NIST（米国基準）の対策をしていた大企業が突破されたのか？」
• 「侵入から発症まで10日間もあったのに、なぜ検知できなかったのか？」

今回の記事では、会見で明かされた事実をベースに、一般的なニュースでは報じられない**「攻撃の技術的裏側」**を、セキュリティエンジニアの視点でガッツリ解説していきます！👨‍💻🔍

アサヒを襲ったハッカーの手口とは？そして「空白の10日間」に何が行われていたのか？ そのミステリーを一緒に紐解いていきましょう！🚀

侵入の起点：なぜ「VPN」が突破されたのか？ 🚪🔓

鉄壁と思われたアサヒのセキュリティ。その最初のドミノが倒れたのは、企業の「玄関口」であるVPN装置でした。

会見で語られた事実と、そこから見える技術的な背景を紐解いてみましょう。

🟢【事実】「既知の脆弱性」が狙われた

会見で社長は、侵入経路について以下のように認めました。

• 侵入元: グループ拠点にある**「ネットワーク機器（VPN）」**。
• 機種: 記者から「Fortinet社のVPN製品ではないか？」と問われ、「具体的な名前は言えませんが、ご想像の通りです」というニュアンスで肯定🤭
• 脆弱性の種類: 誰も知らない未知のバグ（ゼロデイ）ではなく、**「既知の脆弱性（すでに修正パッチが出ているバグ）」**だった。
• 対策: 復旧の過程で、VPNは全廃止した🚫

つまり、「対策しようと思えばできたはずの穴」を突かれてしまったのです…。

🔴【解説】VPNの脆弱性って、そんなにヤバいの？

本来、VPNは上の図のように、インターネット上に「暗号化された安全なトンネル」を作る技術です。このトンネルを通るには、普通なら「ID・パスワード」や「スマホ認証（多要素認証）」という厳しい関所を通らなければなりません。

しかし、今回悪用されたと見られる脆弱性は、この関所を無効化する恐ろしいものでした😱

🐛 認証回避（Authentication Bypass）

これ、最悪のバグです。 本来なら警備員（認証システム）に身分証を見せないといけないのに、特定の不正なデータを送りつけるだけで、警備員が「どうぞ〜」と通してしまうイメージです。 どんなに複雑なパスワードを設定していても、パスワード入力画面すら出ずに侵入されてしまうのです。

🐛 ID・パスワードの奪取

さらに、VPN装置のメモリに残っている**「今ログインしている他の人のIDとパスワード」が丸見えになる**バグも存在します。これを使われると、正規の社員になりすまして堂々と侵入されてしまいます。

🤔 なぜ「NIST基準」や「EDR」で防げなかったの？

ここが最大の疑問ですよね。「世界標準のNIST基準で対策してた」「EDR（監視ソフト）も入れてた」のに、なぜ？

理由は大きく2つ考えられます。

理由①：パッチ適用の「タイムラグ」が命取りに⏰

「既知の脆弱性」ということは、メーカーから修正パッチ（絆創膏）が出ていたはずです。 しかし、最近のハッカーはパッチが公開されてから数時間〜24時間以内に世界中のVPN機器をスキャンして攻撃を仕掛けてきます。

アサヒ側が「週末にパッチを当てよう」と数日待っている間に、攻撃者が先に侵入してしまった可能性があります。あるいは、**「侵入されたことに気づかずにパッチを当てて安心していた（裏口を作られた後だった）」**というケースも考えられます。

理由②：EDRの「死角」だった🕵️‍♂️💦

アサヒはPCやサーバーには「EDR」という監視カメラを入れていました。 しかし、VPN装置そのものにはEDRをインストールできないことが多いんです（専用のOSで動いているため）。

つまり、「玄関（VPN）がこじ開けられる瞬間」は監視カメラ（EDR）に映らなかった。 攻撃者が玄関を突破し、社内のサーバー（監視カメラの範囲内）に足を踏み入れるまで、アラートが鳴らなかったのです。

まさに、セキュリティの「隙間」を突かれた侵入劇だったと言えます😰

権限昇格の恐怖：侵入者はどうやって「神」になったのか？ 🔑😈

VPNという「玄関」を突破されたアサヒ。でも、実はこの時点ではまだ、会社全体を乗っ取ることはできません。

ゲームで例えるなら、まだ「レベル1の村人」が城の敷地に入っただけ。王様の部屋（重要データ）には鍵がかかっていて入れないんです🏰🔒

しかし、攻撃者はそこから恐ろしい手口を使って、あっという間に**「全知全能の神（管理者）」**へとレベルアップしてしまいました。

🟢【事実】「パスワードの脆弱性」で鍵を奪われた

会見で勝木社長は、侵入後の動きについてこう説明しました。

• 「パスワードの脆弱性を突いて、管理者権限を奪取した」
• 「ダッシュ（奪取）したアカウントを悪用して、ネットワーク内を探索した」

さらっと言っていますが、エンジニアからすると、ここが一番の「詰み」ポイントです。「管理者権限を取られた」＝「ゲームオーバー」を意味するからです💀

🔴【解説】「侵入＝即攻撃」ではない！恐怖のすごろく🎲

VPNで入ってから、どうやって全社を支配したのか？ その手口は、まるで**「すごろく」のように一歩ずつ進んでいくものでした。これを専門用語で「ラテラルムーブメント（横展開）」や「権限昇格」**と呼びます。

Step 1：まずは「一般人」として潜入 👤

VPNを突破した直後、攻撃者はまだ「一般社員Aさん」くらいの権限しか持っていません。これでは、自分のPCは見れても、隣の部署のサーバーや、工場の制御システムまでは触れません。

Step 2：社内をウロウロして「落とし物」を探す 🔍

攻撃者は社内のセキュリティが甘いサーバーやPCを探して飛び移ります。そして、**「メモリの中に残っている他人のパスワード情報」**を探し回ります。 （※専門的には「Mimikatz」などのツールを使って、PCのメモリからログイン履歴を引っこ抜く手法がよく使われます）

Step 3：見つけた！「神の鍵（ドメイン管理者）」 🗝️✨

もし、情シス担当者がメンテナンスのためにログインしたPCに攻撃者が侵入できたら…？ そこで、情シス担当者のIDとパスワード情報を盗み出します。

これが手に入ると、**「ドメイン管理者（Domain Admin）」**への昇格完了です。

Step 4：全サーバーを支配下に 😈

ドメイン管理者権限があれば、アサヒグループ内の：

• ✅ すべてのサーバー
• ✅ すべての社員のPC
• ✅ バックアップシステム

これら全てに、パスワードなしで「神」としてアクセスし放題になります。 会見で「複数のサーバーへ侵入と偵察を繰り返した」と言っていたのは、この「神の鍵」を使って、堂々と正面玄関から重要サーバーに入りまくっていた状態だったのです😱

こうなってしまっては、もうEDR（監視ソフト）だろうが何だろうが、管理者の権限で「オフ！」にされてしまうので、誰も止めることはできません…。

謎の「空白の10日間」：ハッカーは何を準備していたのか？ ⏳🕵️‍♂️

「侵入されたのが9月19日頃。でも、実際にシステムが止まったのは9月29日。」

この話を聞いて、「あれ？10日間も何してたの？サボってたの？」って思いませんでしたか？🤔

実はこの**「空白の10日間」こそが、今回の事件がただのウイルス感染ではなく、プロの犯罪集団による「計画的な破壊工作」**だった証拠なんです。

🟢【事実】侵入から発症まで「タイムラグ」があった

会見での時系列をおさらいしましょう。

• 9月19日頃： ネットワーク機器から侵入🚪
• （この間、約10日間）
• 9月29日 早朝： ランサムウェアが一斉に起動し、システムダウン💥

社長は「業務時間外（夜中など）に、コソコソと偵察を繰り返していた」と説明しました。

🔴【解説】プロの手口「Human-operated ransomware」とは？

昔のランサムウェアは、メールを開いた瞬間にPCが固まる「通り魔」のようなものでした。 しかし、今回アサヒを襲ったのは**「人間が操作するランサムウェア（Human-operated ransomware）」**と呼ばれるタイプです。

彼らにとっての10日間は、サボっていたどころか、**「企業を確実に仕留めるための準備」**で大忙しだったのです💦 具体的に何をしていたのか、エンジニア視点でプロファイリングしてみましょう。

Phase 1：社内マップを作る「偵察」🗺️👀

大企業のネットワークは巨大な迷路です。侵入したばかりのハッカーは、どこに何があるか知りません。 そこで、正規の管理者のふりをして社内を探索します。

• 「一番大事な売上データが入ってるサーバーはどれだ？」
• 「工場のラインを動かしているシステムはどこだ？」
• 「バックアップはどこに保存されてる？」

こうやって、**攻撃の効果が最大になる急所（重要資産）**をリストアップしていたのです。

Phase 2：データを盗み出す「窃盗」📤💨

ここが一番許せないポイントです😤 今回「191万件の個人情報漏洩の恐れ」が出たのは、このフェーズがあったからです。

最近のハッカーは、データを暗号化する前に**「機密情報を外に持ち出す」んです。これを「二重恐喝（ダブルエクストーション）」**と呼びます。

• 脅し文句： 「暗号化を解除してほしければ金払え。払わないなら、盗んだこの個人情報をネットにばら撒くぞ！」

何百GB、何TBものデータをこっそり外部に送るには時間がかかります。この10日間は、まさにデータを盗むための時間でもあったわけです。

Phase 3：警備システムを壊す「工作」🛡️🔨

アサヒ側も「EDR（高度な監視ソフト）」を入れて守っていました。 でも、いきなり攻撃を始めるとEDRにバレてしまいます。

そこで、奪った「神の権限（管理者権限）」を悪用して…

• EDRの機能を強制オフにする🔕
• 検知ログ（足跡）を削除する🧹
• 「最後の砦」であるバックアップデータを破壊・削除する💣

こうやって、アサヒ側が気づかないうちに、反撃の手段を一つずつ潰していたのです。怖すぎる…。

つまり、この「空白の10日間」は、**「泥棒が家に入り込んで、金目のものをトラックに積み込み、最後に防犯カメラの線を切って、全部屋に時限爆弾を仕掛けていた時間」**だったのです。

アサヒ側が異常に気づいた時には、もう爆発（暗号化）が始まっていて、手遅れだった…。 これが、現代のサイバー攻撃の恐ろしい実態です😱

復旧の壁：「バックアップ」があるのになぜ2ヶ月かかったのか？ 💾🐢

「バックアップデータは無事でした！消されていません！」 会見でそう聞いた時、多くの人がこう思ったはずです。

「え、じゃあそれをポチッと戻せば、明日には復旧できるんじゃないの？なんで2ヶ月もかかったの？」 🤨

ここが、システム担当者と一般の方の感覚が一番ズレるところであり、今回アサヒが一番苦しんだポイントでもあります。 実は、ランサムウェア攻撃におけるバックアップ復旧は、**「地雷撤去作業」**と同じくらい神経を使う作業なんです。

🟢【事実】バックアップは無事だったが、使えなかった

勝木社長の説明はこうでした。

• 「バックアップ自体は健全な状態で残っていた」 ✨
• 「しかし、安全確認と再構築に慎重を期したため、時間がかかった」 🐢

つまり、データはあるけど、**「怖くてすぐにはシステムに戻せなかった」**というのが真実です。

🔴【解説】恐怖の「汚染されたバックアップ」問題 🦠

なぜ怖くて戻せないのか？ ここで思い出してください。**「ハッカーは10日前から社内にいた」**という事実を。

😱 理由①：バックアップの中に「犯人」も一緒に保存されている

もし、皆さんが「システムがおかしい！昨日のバックアップに戻そう！」として、データを復元したとします。 でも、その「昨日のデータ」の中には、**潜伏中のハッカーが仕込んだウイルスや裏口（バックドア）**もバッチリ保存されているんです。

これを何も考えずに本番サーバーに戻すとどうなるか？ 復旧した瞬間に、隠れていたウイルスがまた暴れ出し、再感染して終了。 これを**「再感染ループ」**と呼びます。これが一番恐ろしいシナリオです💀

🏥 理由②：「クリーンルーム」での洗浄作業が超大変

じゃあどうやって直すのか？ アサヒが行ったのは、汚れた泥水の中から、真水だけを一滴ずつ取り出すような気の遠くなる作業でした。

1. クリーンルームの構築（隔離） 🚧
   • 一度侵入されたネットワークはもう信用できません。
   • 外部と完全に遮断された、真っさらな新しいサーバー環境（クリーンルーム）を用意します。
2. フォレンジック（地雷撤去） 💣
   • バックアップデータをそのまま戻さず、まずは専門家がウイルススキャンをかけます。
   • 「このファイルは安全か？」「ここに不正なプログラムは隠れていないか？」を徹底的にチェックします。
3. データの移行（引っ越し） 📦
   • 安全が確認されたデータだけを、新しいサーバーに移します。

アサヒグループのような巨大企業の場合、データの量はとんでもないサイズ（おそらくペタバイト級）です。 それをチェックして、安全な場所に移し替える…。 2ヶ月という期間は、サボっていたわけではなく、**「再感染を絶対に防ぐために必要な、ギリギリの期間」**だったと言えるでしょう😓

イメージとしては… 🏠 泥棒に入られて荒らされた家に、そのまま家具を戻すのではなく、 「別の場所に新築の家を建てて、家具を一つ一つ消毒しながら引っ越しさせた」 くらいの大工事だったと思ってください。そりゃあ時間もかかりますよね💦

今後の対策と教訓：さらばVPN、「ゼロトラスト」へ 🛡️🚀

「VPNが破られたら、中身は全部盗まれ放題」 この悪夢のような現実を突きつけられたアサヒGHD。

彼らが選んだ再発防止策は、VPNのセキュリティを強化することではなく、**「VPNそのものを捨てる」**という決断でした。

🟢【事実】VPN全廃とゼロトラストへの移行

会見で語られた今後の対策は非常に思い切ったものでした。

• 🚫 VPNの廃止: 侵入の糸口となったVPN接続を完全にやめました。
• 🔒 ゼロトラストへの完全移行: もともと計画していた「ゼロトラストアーキテクチャ」の導入を、今回の事件を受けて一気に前倒しで完了させました。

🔴【解説】「境界型防御」の崩壊と「ゼロトラスト」

これまでのセキュリティの常識は、お城を守るイメージでした。 これを**「境界型防御」**と呼びます。

• 昔の守り方（境界型）：
  • 「お城の門（VPN）」さえしっかり守れば、城の中（社内）は安全！

* **弱点:** 一度門を突破されたら、中の宝物は盗み放題😱

今回のアサヒの事件は、まさにこの「門（VPN）」が破られたことで、城内が蹂躙された典型例です。 そこで導入されたのが**「ゼロトラスト（何も信用しない）」**という新しい考え方です。

• 新しい守り方（ゼロトラスト）：
  • 「社内からのアクセスだから安全」なんて絶対に信用しない！🤨
  • 社長だろうが社員だろうが、ファイルにアクセスするたびに、アプリを開くたびに、「本当に本人？」「ウイルス持ってない？」と毎回しつこくチェックする。

* **メリット:** もし侵入されても、一つ一つの部屋に鍵がかかっているので、被害が広がらない！✨

📝 この事件の教訓として

今回のアサヒの事例は、決して対岸の火事ではありません。 ランサムウェア攻撃者は、脆弱性があるサーバーを自動プログラムで無差別に探しています。

明日会社に行ったら、ぜひ以下の3点をチェックしてみてください！👉

1. VPN機器のバージョン確認🚨
   • 「パッチ適用は週末でいいや」は命取りです。脆弱性情報は毎日チェックし、即時対応できる体制を作りましょう。
2. 管理者権限の棚卸し🔑
   • 「とりあえず全員管理者でいいか」なんて設定になっていませんか？
   • 特権IDは最小限にし、普段使いのアカウントとは分けましょう。
3. バックアップの「復元訓練」💾
   • 「バックアップ取ってるから安心」ではありません。
   • **「実際にそのデータからシステムを復旧できるか？」**を年に一度は訓練しましょう。いざという時、手順書がないとパニックになりますよ！

アサヒGHDの痛恨の教訓を、私たちの糧にしましょう。 「セキュリティ対策に終わりなし」。気を引き締めていきましょう！(｀・ω・´)ゞ

まとめ：現代のサイバー攻撃は「空き巣」ではなく「占拠」である 📝

今回のアサヒグループホールディングスの事例は、私たちに**「サイバー攻撃に対する認識のアップデート」**を強烈に迫るものでした。

最後に、今回の事件から学ぶべき最も重要な教訓をまとめます。

🏠 昔のイメージ：「空き巣」

多くの人が持っているウイルス感染のイメージはこれです。

• 手口： たまたま鍵が開いていた窓（不審なメール）から侵入する。
• 行動： 目についた金品（データ）を盗んだり、部屋を荒らしたりして、すぐ逃げる。
• 対策： 戸締まり（ウイルス対策ソフト）をすれば安心。

🏰 今の現実（アサヒの事例）：「テロリストによる建物占拠」

しかし、今回起きたことは全く違いました。

• 手口： 正面玄関の警備システムの不備（VPN脆弱性）を突き、正規の入館証を偽造して堂々と侵入。
• 行動：
  • 10日間も建物内に潜伏し、館内図（ネットワーク構成）を熟知。
  • マスターキー（管理者権限）を複製し、あらゆる部屋に出入り自由になる。
  • スプリンクラー（EDR）の配線を切り、全フロアに時限爆弾（ランサムウェア）を設置。
  • 最も警備が手薄な日曜日の早朝に、一斉爆破スイッチを押す。

🛡️ 私たちが肝に銘じるべきこと

「ウイルス対策ソフトを入れているから大丈夫」 「バックアップを取っているから大丈夫」

この考え方は、もはや通用しません。相手はソフトの検知をすり抜け、バックアップごと破壊しに来るプロ集団です。

1. 「侵入される前提」で考える（ゼロトラスト） 🕵️‍♂️
   • 壁を高くするだけでは防げません。「壁はいつか破られる」前提で、内部に侵入された後にどう被害を食い止めるか、どう早く気付くかを設計しましょう。
2. VPNの脆弱性は「即」塞ぐ 🩹
   • 「明日やろう」は馬鹿野郎です。パッチ公開から攻撃までは数時間〜24時間の勝負です。
3. 「特権（管理者権限）」は命よりも大事 🔑
   • ここさえ守れれば、全滅は防げます。特権IDの管理は厳重すぎるくらいで丁度いいのです。

アサヒグループの勝木社長が会見で語った**「被害拡大を防ぐために、復旧に2ヶ月かけた」**という判断は、経営者として非常に重く、そして勇気ある決断だったと思います。