【徹底解剖】アサヒビール「VPN廃止」という愚策が露呈した日本企業のIT未熟度：真の敗因は技術ではなく「情シスの怠慢」にある

www.youtube.com

 

レベルの高いIT専門家が集まるはてなブックマークのエンジニアたちのコメント

 

社長は専門家ではないから責める気は起きない、社内IT部門から正しい報告上がってないから分からないんだろうな、、、ある意味気の毒

社内IT部門も知識が乏しく外部に丸投げで、外部業者の言っていることをそのまま鵜呑みなのかな・・・

（アウトソーシングは悪いとは言わない。外部業者にツッコミを入れられるだけの最低限の知識は発注元にも必要（ベンダーコントロールスキル）！　この発注元は分かってるからきちんとした仕事をしないとつっこっっまれると外部業者にも緊張感持たせることが必要）

www.agent-grow.com

IT知識が突っ込まれる事が予想される会見に社長単独で出てこようという度胸があるのは、責任感が強く頑張ってる社長とさえ思う。

 

社員（情シス部門）が頑張ったのは実は問題もみ消し

 

1. イントロダクション：本質を履き違えた「VPN悪玉論」の危険性

 

 

1.1 事件の概要と衝撃的な「解決策」

 

2025年9月末、国内飲料業界の巨人であるアサヒグループホールディングス（以下、アサヒグループ）を襲った大規模なランサムウェア攻撃は、単なる一企業のセキュリティインシデントという枠を超え、日本の製造業とサプライチェーン全体に深刻な問いを投げかける事件となった。基幹システムの停止による「スーパードライ」をはじめとする主要製品の出荷停止、物流の混乱、そして顧客や従業員を含む約191万件超にも及ぶ個人情報の流出という被害規模は、近年のサイバー攻撃事例の中でも特筆すべき深刻さである ¹。

しかし、セキュリティ専門家やIT業界関係者がこの事件において最も注視し、かつ深い憂慮を抱いたのは、被害そのものの甚大さではない。それは、事態収拾に向けたアサヒビールの対応方針、すなわち「VPN（Virtual Private Network）が悪いので廃止する」という、あまりに短絡的かつ技術的文脈を無視した結論である ³。

 

1.2 「道具のせい」にする幼稚な論理

 

報道や同社の発表によれば、攻撃者の侵入経路がグループ拠点に設置されたVPN機器（ネットワーク機器）であったことから、再発防止策としてVPNそのものを廃止し、ゼロトラストネットワークアクセス（ZTNA）などの代替技術へ移行する方針が示された ⁴。一見すると、これは最新のセキュリティトレンドに沿った英断のように聞こえるかもしれない。しかし、その意思決定のプロセスを技術的な視座で解剖すると、極めて稚拙な論理構成が浮かび上がってくる。

「VPN機器から侵入されたから、VPNという技術が悪い。だからVPNを廃止する」

この論理は、例えるならば「整備不良のブレーキが原因で事故を起こした運送会社が、自動車という輸送手段そのものを危険視し、明日からすべて徒歩で配送すると宣言する」ようなものである。あるいは、「手入れを怠って錆びついた包丁で指を切った料理人が、包丁は危険な道具だから捨ててしまおうと叫ぶ」ことに等しい。ここには、道具を適切に管理・運用する責任、すなわち「保守」という概念が欠落している。

 

1.3 本レポートの目的と構成

 

本レポートは、アサヒグループのランサムウェア被害事例を徹底的に分析し、同社が打ち出した「VPN廃止論」がいかにITリテラシーの低さを示唆するものであるかを多角的に論証するものである。侵入の真の原因はVPNという技術そのものの欠陥ではなく、情シス部門による「保守不備（ファームウェア更新の怠慢）」、より具体的には既知の脆弱性（CVE）へのパッチ適用を怠った運用管理体制にあることは、公開された情報の断片を繋ぎ合わせれば明白である ⁶。

本稿では、以下の観点から深層分析を行う。

1. インシデントの技術的詳細: 攻撃者「Qilin」の手口と、悪用されたFortinet製品の脆弱性のメカニズム。

2. 「保守不備」の罪: なぜパッチは当てられなかったのか。日本企業特有の「ベンダー丸投げ」構造とアタックサーフェス管理（ASM）の欠如。

3. 「脱VPN」の欺瞞: ゼロトラストへの移行が根本解決にならない理由と、それが孕む新たなリスク。

4. ガバナンスの失敗: 経営層のDX戦略と現場のセキュリティ衛生（サイバーハイジーン）の乖離。

これは単なる一企業の批判記事ではない。技術的盲点、組織的怠慢、そして安易な「流行のソリューション」への飛びつきが招くリスクを詳らかにし、他社が反面教師として自社のセキュリティガバナンスを見直すための「失敗学」のテキストである。

---

 

2. インシデントの全貌：Qilinランサムウェアと脆弱性の結合

 

 

2.1 攻撃のタイムラインと被害の拡大プロセス

 

アサヒグループへの攻撃は、2025年9月29日のシステム障害発生によって表面化したが、水面下での侵害はその数週間前から進行していた。攻撃者は「サイバーキルチェーン」と呼ばれる一連の攻撃プロセスを着実に実行しており、防御側には検知と遮断のチャンスが複数回あったはずである ¹。

特筆すべきは、攻撃者が「グループ内の拠点にあるネットワーク機器」を経由して、本丸であるデータセンターに侵入した点である ²。これは、大企業特有の「サプライチェーンリスク」の内部版とも言える構造的弱点を示している。本社がいかに強固なセキュリティ対策を施していても、管理の甘い地方拠点や子会社のVPN機器（「勝手口」）が突破されれば、そこから内部ネットワークを通じて全社が侵害される。これを防ぐためのネットワークセグメンテーション（区画化）が機能していなかったことが、被害を甚大化させた要因の一つである ⁹。

 

2.2 攻撃主体「Qilin」のプロファイリング

 

今回のアサヒグループ攻撃に関与したとされるのは、ロシア語圏を拠点とするランサムウェアグループ「Qilin（別名：Agenda）」である ⁷。Qilinは2022年頃から活動を活発化させ、特に製造業、ヘルスケア、重要インフラを標的とする「ビッグゲーム・ハンティング（大物狙い）」で知られている。

Qilinの技術的特徴と高度化する手口:

1. RaaS（Ransomware-as-a-Service）モデル:

   Qilinは、攻撃ツールやインフラを開発する「コアメンバー」と、実際に侵入を行う「アフィリエイト（実行犯）」に分業化されている。アサヒへの侵入を実行したアフィリエイトは、VPN機器の脆弱性悪用を得意とするグループであったと推測される 12。

2. マルチプラットフォーム対応 (Go/Rust言語の実装):

   Qilinのランサムウェアは、Go言語やRust言語で記述されており、Windowsだけでなく、企業の仮想化基盤であるVMware ESXiやLinuxサーバーも標的とする 14。これにより、バックアップサーバーや基幹データベースサーバーなど、企業の中枢システムを効率的に破壊する能力を持つ。

3. 二重脅迫（Double Extortion）:

   単にデータを暗号化して復旧のための身代金を要求するだけでなく、事前にデータを盗み出し、「身代金を払わなければデータを公開する」と脅迫する手口を用いる 10。アサヒの場合も、顧客相談室のデータや従業員情報が人質に取られた。

4. 「リビング・オフ・ザ・ランド（Living off the Land）」戦術:

   侵入後は、システム管理者が使用する正規のツール（PowerShellやRDPなど）を悪用して活動するため、ウイルス対策ソフトでの検知が困難である 17。

 

 

3. 「VPN廃止」というスケープゴート：論理のすり替えと技術的欺瞞

 

 

3.1 道具に罪はない：VPNの技術的役割と誤解

 

アサヒグループが打ち出した「VPN廃止」という方針は、セキュリティインシデントへの反応として典型的な「道具への責任転嫁」であり、技術への理解不足を露呈している。

VPN（Virtual Private Network）は、インターネットという公衆網を利用しながら、拠点間やリモートユーザーとの間に仮想的な専用線を構築する技術である。AES等の強力な暗号化アルゴリズムや、IPsec/SSLといったトンネリングプロトコルを用い、通信の秘匿性と完全性を担保する ⁶。この技術自体は、適切に実装・運用されていれば極めて堅牢であり、世界中の政府機関、金融機関、軍事組織でも利用されている標準的な技術である。

今回、VPN装置がサイバー攻撃の標的になったのは、VPNという技術に欠陥があるからではない。それが「組織ネットワークの玄関口」としてグローバルIPアドレスを持ち、インターネットに常時接続されている（External Remote Services）ため、攻撃者との接点になりやすいという性質上の問題に過ぎない ²⁰。玄関の鍵（ファームウェア）が錆びついて壊れている（脆弱性がある）のに、泥棒に入られたからといって「玄関という構造そのものが悪いから、壁で塞いでしまおう」というのは、あまりに短絡的であり、居住性（業務効率）を著しく損なう暴論である。

 

3.2 「脱VPN」と「ゼロトラスト」の混同と危険な期待

 

アサヒグループは、VPN廃止の代替案として「ゼロトラストネットワークアクセス（ZTNA）」への移行を念頭に置いていると思われる ⁵。ZscalerやPalo Alto Networksなどが提供するSASE（Secure Access Service Edge）ソリューションの導入が既定路線だろう ²¹。

確かに、ゼロトラストは「境界防御」の限界を克服する有効なモデルであり、VPNの持ついくつかの課題（一度侵入されると内部がフラットで動きやすい、VPN機器の負荷集中など）を解決する。しかし、アサヒのケースにおいて、ゼロトラストへの移行は「逃げ」の選択肢として機能しており、極めて危険な動機に基づいている。

誤った動機: 「VPN機器のパッチ管理が面倒で、ランサムウェアに入られたから、VPNという製品カテゴリを排除すれば安全になるだろう」

この思考は危険である。なぜなら、ゼロトラストソリューションであっても、ソフトウェアである以上、脆弱性は必ず存在するからだ。

• クライアントコネクタの脆弱性: 端末にインストールするエージェントソフトに脆弱性があれば、そこから侵入される。

• 設定ミス（Misconfiguration）: 複雑なポリシー設定を誤れば、VPN以上に大きな穴を開けることになる。

• ID管理の不備: ZTNAは「認証」に依存するモデルであるため、ID/パスワードが漏洩し、多要素認証（MFA）が突破されれば、正規ユーザーになりすまして侵入される ²³。

根本的な「脆弱性管理」のプロセス、すなわち「ベンダーからの通知を受け取り、リスクを評価し、迅速にパッチを適用する」というサイクルが欠落したまま、ツールだけをVPNからZTNAに入れ替えても、攻撃者は新たなツールの不備を突くだけである。これをセキュリティ業界では「もぐら叩き」と呼び、本質的な解決にはなり得ない。

 

3.3 技術的負債を隠蔽するPR戦略としての「廃止」

 

経営的な視点で見れば、「VPNを廃止します」という発表は、株主や一般消費者に対して「当社は抜本的な改革を行っている」「最新技術へ刷新する」というポジティブな印象を与えるには効果的である ³。特にITに詳しくない層には、「VPN＝古い・危険」「ゼロトラスト＝新しい・安全」という単純な図式が受け入れられやすい。

しかし、専門家の視点では、これは「情シスの怠慢（更新忘れ）」という恥ずべき事実を、「レガシー技術（VPN）の限界」という不可抗力のストーリーに書き換えようとする意図が透けて見える。

• 真実: 「パッチを適用していなかったため侵入された」＝人災、管理責任。

• アサヒのナラティブ: 「VPNという技術が古くて危険だったため侵入された」＝技術的限界、被害者。

この責任回避の姿勢こそが、今回のインシデント対応における最大の倫理的欠陥であり、再発防止を遠ざける要因となる。自らの不作為を認めず、技術のせいにする組織風土がある限り、どのような新技術を導入しても、運用フェーズで再び同じ過ちを繰り返すだろう。

---

 

4. 真因の深層分析：情シスの保守不備と「更新怠慢」の罪

 

 

4.1 ファームウェア更新という「当たり前」の欠落

 

サイバーセキュリティにおいて、既知の脆弱性（CVE）へのパッチ適用は、手洗いやうがいと同じ「基本動作（サイバーハイジーン）」である。特に、インターネット境界に設置されるVPN機器（Edge Device）の脆弱性は、発見から悪用までのリードタイムが極めて短い。Qilinのようなランサムウェアグループは、新たに公開されたPoC（概念実証コード）を数日以内に兵器化し、自動化されたスキャンツールで脆弱な機器を無差別に探索する ²⁰。

アサヒグループの場合、被害を招いたVPN機器は、以下のいずれかの状態であったと強く推測される。

1. EOL（End of Life）機器の使用: メーカーサポートが終了し、修正パッチ自体が提供されない古いOSを使用していた。

2. パッチ適用の遅延: パッチは提供されていたが、数ヶ月〜1年以上適用していなかった ¹⁸。

これは「高度な標的型攻撃」を受けたのではなく、「鍵のかかっていないドア」を探して歩く攻撃者に、たまたま見つけられたに過ぎない。被害者面をするには、あまりに過失が大きい。

 

4.2 アタックサーフェス管理（ASM）の不在と資産管理の破綻

 

VPN機器の脆弱性放置は、組織全体のアタックサーフェス（攻撃対象領域）管理が機能していないことを意味する。アサヒグループのようなグローバル企業では、M&Aによって買収した海外子会社や、統廃合された国内拠点のIT資産管理が複雑化しやすい ²⁵。

• 「野良VPN」の存在: 本社IT部門の管理台帳に載っていない、あるいは管理外とされた拠点のVPN機器が、インターネットに接続されたまま放置されていた可能性がある ⁴。攻撃者は最も防御の弱い箇所（Weakest Link）を狙う。

• 脆弱性スキャンの不足: 定期的な外部からの脆弱性診断や、Shodanのような検索エンジンを用いて自社資産が攻撃者からどう見えているかを監視する体制がなかったのではないか。もし実施していれば、「Critical」な脆弱性が警告されていたはずである。

• パッチ適用の優先順位付けの失敗: 「システムを止めたくない」「検証が面倒」「動いているものには触るな」という理由で、セキュリティパッチの適用を先送りする運用慣習が常態化していた恐れがある。これは日本企業に蔓延する「安定稼働神話」の弊害である。

www.trendmicro.com

4.3 「人災」としてのシステム運用とIT/OTセグメンテーションの欠如

 

記事 ⁹ は、被害を甚大化させた要因として「IT/OTネットワークセグメンテーションの不備」も指摘している。VPNから侵入された後、データセンターや生産ラインの制御系システム（OT）まで攻撃者が到達できたのは、内部ネットワークが「階層化」されておらず、一度入ればどこへでも行けるフラットな設計だったからである。

しかし、すべての発端は「侵入を許したこと」にある。壁（セグメンテーション）を作ることも重要だが、そもそも玄関（VPN）の鍵（パッチ）を閉めていれば、この侵入は成立しなかった。この一点において、情シス部門および委託先のベンダーによる保守運用の不備は弁明の余地がない。アサヒグループは「技術的盲点」という言葉で煙に巻こうとしているが、それは盲点（Blind Spot）ではなく、**「直視しなかった点（Ignored Spot）」**と言うべきである。

---

 

5. ガバナンスの欠如と日本企業の構造的弱点

 

 

5.1 経営層の認識と現場の乖離：DXの華やかさと保守の泥臭さ

 

アサヒグループホールディングスの勝木社長は、中期経営計画においてDX（デジタルトランスフォーメーション）や「Asahi Carbon Zero」といったサステナビリティ戦略を強力に推進している ²⁵。AIの活用やサプライチェーンの高度化を謳う一方で、足元のITインフラの「足元」がお留守になっていた事実は、経営戦略と現場のセキュリティ実装の間に深刻なギャップがあることを示している。

「DX推進」の掛け声の下、クラウド活用や生成AI導入といった「攻めのIT」には予算が割かれる。しかし、地味でコストセンターとみなされがちな「既存インフラの保守」「セキュリティパッチ運用」「レガシー機器の更改」といった「守りのIT」には十分なリソースや権限が与えられていなかった可能性が高い。華やかな新技術には投資するが、泥臭いドブさらい（脆弱性対応）を評価しない日本企業の悪癖がここにある。ランサムウェア被害による損失額（数十億〜数百億円規模の逸失利益と復旧費用）は、削減した保守コストを遥かに上回る。

 

5.2 「ベンダー丸投げ」の構造的弊害

 

多くの場合、日本企業はネットワーク機器の運用をSIerや通信系ベンダーに委託している。アサヒの場合も例外ではないだろう。ここで問題になるのが、責任分界点の曖昧さと「主体性の欠如」である。

• 企業側（情シス）: 「高い保守料を払っているのだから、ベンダーがよしなにやってくれているはずだ（パッチも当ててくれているはずだ）」という思い込み。

• ベンダー側: 「契約は『死活監視と障害対応』のみであり、パッチ適用によるシステム停止調整の依頼が来ていないので、勝手には止められない」という契約遵守の姿勢。

この認識の「空白地帯（グレーゾーン）」に脆弱性は放置される。自社の守るべき資産に対し、主体的に脆弱性情報を収集し、リスクを評価してベンダーに指示を出せる「目利き」の人材（セキュリティアーキテクトやCISO室のスタッフ）が、アサヒグループ内部に圧倒的に不足していたのではないか。

 

5.3 セキュリティ人材の不足とキャリアパスの不在

 

日本企業において、情報システム部門は「何でも屋」になりがちであり、セキュリティ専任者が不在のケースも多い。あるいは、ローテーション人事によって数年で異動してしまうため、長期的な視点でのインフラ管理やセキュリティスキルの蓄積が行われない。

アサヒグループのような巨大組織であっても、グローバル全体を見渡せるセキュリティガバナンスチームが機能していたかは疑問が残る。VPN廃止という決定が、技術的な精査を経たものではなく、経営層への「やった感」のアピールのために急遽ひねり出されたものであるならば、それは専門家の不在を裏付ける証左となる。

---

 

6. ゼロトラスト（ZTNA）への逃避：解決策か、新たな悪夢か

 

 

6.1 ZTNA導入の現実的課題と落とし穴

 

アサヒグループが今後進めるであろうゼロトラストアーキテクチャへの移行は、いばらの道となることが予想される。ZscalerやPalo Alto Networksなどの高度なSASEソリューション ²² は、導入すれば魔法のようにセキュリティが向上するものではない。それらは「運用する組織の能力」をより強く要求するツールである。

1. レガシーシステムとの不整合:

   製造業の現場には、Webベースではない古いクライアント/サーバー型のアプリケーションや、独自プロトコルで通信する生産管理システムが多数存在する 25。これらはZTNA経由でのアクセスが難しく、結局「例外的なVPN接続」を残さざるを得ないケースが多い。その「例外」が新たな抜け穴となる。

2. 設定の複雑さと人的ミス:

   ZTNAは「誰が、どのアプリに、どんな条件でアクセスできるか」というポリシーを細かく定義する必要がある。数万人の従業員、数千のアプリケーションを持つアサヒグループにおいて、このポリシー設計をミスなく行うことは至難の業である。設定ミス（Misconfiguration）は、クラウド時代の最大の脆弱性である 23。

3. エンドポイントセキュリティへの依存:

   ZTNAは「端末の状態」を検証してアクセスを許可する。つまり、端末（PC）自体の管理が完璧でなければならない。しかし、VPN装置のパッチすら管理できなかった組織が、数万台の端末のOSやEDR（Endpoint Detection and Response）の状態を常に健全に保てるのか、という根本的な疑問がある。

 

6.2 ITレベルの低さを露呈する「極端な方針転換」

 

セキュリティ対策において「0か100か」の極端な方針転換は、往々にして現場の混乱を招く。VPNにはVPNの利便性とコストメリットがあり、適切な管理下であれば十分にセキュアである。それを「全廃」するという意思決定は、リスク評価に基づいた合理的な判断というよりは、インシデントのショック療法的な、あるいは感情的なリアクションに見える。

真にITレベルの高い組織であれば、以下のような現実解（ベストプラクティス）を選択するはずである。

• 短期: 既存VPN機器の緊急ファームウェア更新と、多要素認証（MFA）の強制適用。

• 中期: VPN装置の前段へのIPS（不正侵入検知システム）設置や、公開資産の最小化。

• 長期: 段階的なZTNAへの移行と、VPNとのハイブリッド運用によるリスク分散。

「VPN全廃」という極論に走る姿勢こそが、技術への理解不足とガバナンスの未熟さを如実に物語っている。

---

 

7. 他社への教訓：反面教師としての「アサヒ・モデル」

 

アサヒビールの事例は、日本企業にとって貴重な反面教師となる。他社がこの事例から学ぶべきは、「VPNを廃止すること」ではなく、以下の3点に集約される。

 

7.1 「基本」の徹底：サイバーハイジーンの確立

 

• 脆弱性管理: インターネットに公開されている機器（VPN、ファイアウォール、Webサーバー）のOS/ファームウェアは、常に最新（または安定版の最新）に保つ。これは努力目標ではなく、事業継続のための必須要件である。

• 資産台帳の整備: 「守るべきものがどこにあるか」を知らずして守ることはできない。グループ全体、海外拠点、子会社を含めたIT資産の完全な可視化を行う。

 

7.2 原因分析の誠実さ：技術への責任転嫁を許さない

 

• インシデント発生時、安易に技術やツールのせいにせず、運用プロセスや組織の不備を直視する誠実さを持つ。「なぜパッチが当たっていなかったのか」「なぜ侵入を検知できなかったのか」を徹底的に掘り下げる（Root Cause Analysis）。

• 「VPN廃止」のような耳触りの良いスローガンに逃げず、地道な再発防止策（運用体制の強化、人材育成、監視の強化）に取り組む。

 

7.3 レジリエンス（回復力）の確保

 

• 侵入前提の設計: 「防御」はいつか破られる。侵入された後に被害を広げないための「ネットワークセグメンテーション（IT/OT分離）」と、迅速に復旧するための「オフラインバックアップ」を整備する。アサヒの場合、バックアップからの復旧に時間がかかり、物流停止が長引いた点も反省点である ¹¹。

---

 

8. 結論：真の再発防止策とは

 

アサヒグループのサイバー攻撃被害は、Qilinという高度な攻撃者による執拗な攻撃の結果であることは間違いない。しかし、その侵入を許したのは「基本的なドアの施錠忘れ（パッチ未適用）」であった。そして、その後に打ち出された「VPN廃止」という対策案は、問題の本質から目を背けたパフォーマンスに過ぎない。

真の原因は、情シス部門における**「脆弱性情報の感度不足」「パッチ適用の意思決定遅延」「資産管理の甘さ」、そしてそれらを許容してきた「経営層のセキュリティ認識の甘さ」**にある。これらは極めて泥臭い保守運用の不備であり、最新ツールを買ってくれば解決する問題ではない。

アサヒビールが、そして同様のリスクを抱える日本企業が今なすべきは、安易なツールの乗り換えではない。以下の「当たり前」を徹底するガバナンスの再構築である。

1. 全資産の可視化と脆弱性のリアルタイム監視（ASMの導入）。

2. クリティカルなパッチを48時間以内に適用する緊急プロセスの確立と訓練。

3. 「システムを止めてでもパッチを当てる」という経営判断の権限委譲。

4. 技術のせいにせず、プロセスと組織の欠陥を直視する誠実さ。

「VPNが悪い」のではない。「管理できない組織」が悪いのである。この冷徹な事実を受け入れない限り、アサヒビールのセキュリティは、どんな最新のゼロトラストツールを導入しても砂上の楼閣であり続けるだろう。「スーパードライ」の鮮度管理と同様に、セキュリティパッチの鮮度管理にも命をかけるべきである。それが、191万人の被害者と社会に対する、企業の最低限の責任である。

---