Qilinのようなグループは「RaaS（Ransomware as a Service）」と呼ばれる仕組みで運営されている。中核メンバーはツール・インフラ・交渉ノウハウをパッケージ化して提供する「運営者」で、実際に企業に侵入して暗号化を実行するのは「アフィリエイト」と呼ばれる実行犯だ。高度な技術がなくても、このパッケージを使えば洗練された攻撃ができてしまう。
つまり考えられるシナリオはいくつかある。
– 交渉役が動く前に会社側がネットワークを完全遮断し、身代金要求のタイミングを逃した
– 実行犯（アフィリエイト）が「暗号化して逃げる」だけの雑な仕事で、組織的な交渉フローに乗らなかった
– そもそも金銭目的ではなく、業務妨害や社会的インパクトそのものが狙いだった
近年の専門家の見立てでは、ランサムウェア攻撃の目的は「暗号化して身代金を得る」という単純な図式から変わりつつあり、企業活動そのものを止めることが攻撃の主目的になりつつあるという指摘もある。実際、アサヒもニチレイも「情報を人質に取る」以上に「基幹システムを止めて社会に混乱を広げる」ことに成功してしまっている。身代金がもらえるかどうかより先に、ニュースになった時点である意味「攻撃は成功」しているとも言える。
ニチレイについては2026年7月時点でまだ調査中で、ランサムウェアかどうかも明らかになっていない。ただ手口としては、暗号化だけでなく情報を盗んで「支払わなければ公開する」と脅す「二重脅迫（ダブルエクストーション）」がここ数年の主流になっており、アサヒの件でも情報漏えいの痕跡確認と同時にこの二重脅迫の可能性が指摘されていた。
Q2. どうやって、外の人間が会社のシステムに入り込むの？
これも「ハッカーが天才的な技でシステムを突破した」というより、もっと地味で怖い実態がある。
アサヒの調査結果（2026年2月18日公表）によると、障害発覚のおよそ10日前、攻撃者はグループ内拠点のネットワーク機器を経由してデータセンターのネットワークに侵入していた。具体的にどの機器のどんな脆弱性が突かれたのかは公表されていないが、侵入後の流れはこうだ。
1. 初期侵入：拠点のネットワーク機器を足がかりに、まず内部への「橋頭堡」を築く
2. 潜伏・偵察：誰にも気づかれないまま約10日間、社内ネットワークを内側から探索する
3. 権限奪取：管理者アカウントのパスワードの脆弱性を突いて、より強い権限を手に入れる
4. 横展開（ラテラルムーブメント）：奪った権限を使い、複数のサーバーに次々と侵入していく
5. 一斉暗号化：認証サーバーから合図を送るように、複数サーバーと従業員PCを同時に暗号化する
つまり「侵入した瞬間に被害が出る」わけではなく、気づかれないように何日も、時には半年ほど社内に潜んでから一気に牙を剥くのがランサムウェアの典型的な手口。この間、攻撃者は重要データがどこにあるかをじっくり物色し、暗号化と同時に持ち出す準備を整えている。
ニチレイのケースは2026年7月時点で侵入経路・攻撃手法が公表されておらず、まだ「調査中」の段階。ただ、業界の分析では、こうした食品・物流業界の基幹システム障害が続いていることから、リモートアクセス機器やVPN経由の侵入が繰り返し狙われている構造的な傾向が指摘されている。
Q3. これだけ大ニュースになっているのに、なぜ毎回防げないの？
ここが一番テレビで説明されない部分だと思う。実は「対策をサボっていたから侵入された」わけではないケースが多い。
アサヒGHDは、NISTサイバーセキュリティフレームワーク（CSF）に基づくセキュリティ診断や、ホワイトハッカーによる模擬攻撃（ペネトレーションテスト）まで実施していた。それでも防げなかった。この「十分な対策をしていたのに侵入された」という事実こそが、日本のセキュリティ担当者に衝撃を与えたポイントだ。
防げない理由として指摘されているのは、大きく3つ。
① バックアップごと破壊される設計になっている
近年のランサムウェアの主流手口は「侵入→数週間〜数カ月潜伏→バックアップ破壊→本番環境を暗号化」という順番。警察庁サイバー警察局の統計では、ランサムウェア被害に遭った企業48件のうち、バックアップから復元できなかったケースが41件にのぼるとされる。つまり「バックアップを取っていたから安心」という前提そのものが崩れている。
② DX（システム統合）が裏目に出る
効率化のためにシステムを統合・仮想化すればするほど、一度突破されたときの被害範囲（ブラストラジアス）が大きくなる。アサヒの被害拡大の背景には、システム統一で合理化を進めたDXが裏目に出たのではという指摘があり、同様の構図は前年のKADOKAWAグループの事例でも共通点として挙がっている。
③ 自社が守っても、取引先経由で止まる
これがニチレイの事例で如実に表れた。ニチレイの自社防御がどうであれ、ニチレイロジグループの物流を利用する側（KFCなど）は「委託先が止まれば自社の営業も止まる」という構造的リスクを抱えている。IPAが毎年発表する「情報セキュリティ10大脅威」でも、「サプライチェーンや委託先を狙った攻撃」は組織向け脅威の第2位に、2023年以降4年連続でランクインし続けている。つまり自社だけ完璧に守っても、取引先が突破された時点で共倒れになる構造そのものが、今の日本企業に組み込まれてしまっている。
これを受けて、アサヒの事件後にはサントリー・三菱食品・NTTなどが協調し、2026年4月に業界横断でサイバー脅威情報をリアルタイム共有する「流通ISAC」が立ち上がっている。1社ずつ守るのではなく、業界全体をひとつの防衛網として捉える動きが始まっているということだ。
まとめ：「うちは大丈夫」が一番危ない
身代金要求がなくても、攻撃者は交渉よりも「止めること」自体を目的にし始めている。侵入は天才的なハッキングというより、ネットワーク機器やパスワードといった地味な弱点を突いて、何日も潜伏したのちに一気に牙を剥く。そして万全な対策をしていた企業ですら防げず、取引先経由で無関係なはずの会社まで巻き込まれる。
「うちはセキュリティに投資しているから大丈夫」ではなく、「攻撃はいつか必ず来る。その時どう事業を止めずに回すか」という発想への転換が、この一連の事件が突きつけている一番の教訓なのかもしれない。
—
*この記事は各社の公式発表および複数の報道・専門家分析をもとに構成しています。攻撃の詳細な技術情報については、被害拡大防止の観点から各社が公表を控えている部分があり、本記事もその範囲内で構成しています。*
