通販アスクル、サイバー攻撃後108日間の記録 社長が明かす「事業ゼロリセット」からの復活劇

[平 行男，ITmedia]

　「完全な復旧までに3.5カ月を要した。経営としてのリスク認識が足りていなかった。多くの方にご迷惑をおかけした」――こう語るのは、通販大手アスクルの吉岡晃社長CEOだ。

　同社は2025年10月、サイバー攻撃を受けて通販サービスの停止と顧客データの流出に見舞われた。混乱のさなか、経営陣は進むべき道を定め、復旧に全力を注いだ。

　全面復旧までに要した時間は108日間。その間、どのようなやりとりがあったのか。経営判断の裏側を、吉岡社長が明かした。

アスクルの吉岡晃社長CEO（編集部撮影、以下同）

本記事は、アマゾン ウェブ サービス ジャパンが主催したイベント「AWS Summit Japan 2026」（6月25〜26日開催）の講演セッションから「ランサム危機を転機に―アスクルが加速させたAI-DLC」を取材したもの。

攻撃当日：サービス全面停止を決断　隠さず「ランサム攻撃」と公表

　サイバー攻撃を受けたと判明したのは、2025年10月19日の午前。企業のデータを暗号化し、復旧と引き換えに金銭を要求する身代金要求型マルウェア「ランサムウェア」に感染した。

　侵害されたのは、オンプレミス環境で構築した物流システムと社内システムだ。物流システムがストップしたことで、全国の物流センターが一斉に停止する事態に陥った。同社はすぐに、ランサムウェア感染の疑いがあるシステムを切り離し、ネットワークを遮断した。

　一方、クラウド上に構築していた基幹システムなどは無事だった。この侵害範囲の切り分けが、後の再構築方針を左右することになる。

ランサムウェアによる侵害エリア（出所：吉岡社長の講演資料）

　同日午後2時、吉岡社長を本部長とする対策本部を立ち上げた。本部の下に、ITネットワークの復旧に専念する部会と、受注・出荷など事業の継続を担う部会を設置。吉岡社長は各部会に責任者を任命し、判断を現場に委ねた。

　「私は基本的な大方針や、プレスリリースの中身はどうあるべきかといったことに特化し、それ以外の現場判断は全て部会に権限移譲した。スピードを実現するには、それが一番だと考えた」（吉岡社長）

　同時に、当日中にサービスの全面停止も決めた。受注・出荷が止まれば売り上げはゼロになる。それでも吉岡社長は、被害の拡大防止を最優先に、覚悟の上で停止に踏み切った。同日午後4時半に通販サービス「ASKUL」「LOHACO」「ソロエルアリーナ」の受注・出荷を停止した。

　情報開示の姿勢も当日に固めた。障害の原因を曖昧（あいまい）にせず「ランサムウェア攻撃を受けた」と当日のうちにプレスリリースで明言。以後も、判明した事実をタイムラグなくありのままに開示する方針を貫いた。

　「心配や迷惑をおかけしている以上、アップデートした事実を正直に、適時発信する。この透明な開示を肝に銘じた」（吉岡社長）

攻撃から4日：「自力での復旧」決断　「攻撃者とは接触しない」

　混乱の中でもスピーディーに意思決定できたのは、明確な判断軸があったからだ。吉岡社長は、全ての意思決定のベースに3つの軸を置いていたと振り返る。

1. 被害の拡大防止：自社が原因で、顧客の事業やシステムに影響を及ぼす事態は避ける
2. 安全かつ安心な再開：再び使って本当に問題ないか、安全性と安心を徹底的に見極める
3. 一刻も早いサービス再開：事業をできる限り早く復旧させる

　この3つを土台に、アスクルは攻撃発生から4日目には進むべき方針を固めた。「侵害されたシステムを一から自力で作り直す」という道を選んだのだ。侵害の範囲が特定できた時点での決断だった。

発生から4日目に進むべき道を確定するまでの経緯（出所：吉岡社長の講演資料）

　自力での復旧を選んだ背景には、侵害範囲の切り分けがあった。オンプレミスの一部が被害を受けた一方で、クラウド上のシステムは無事だった。そこでアスクルは、2020年から使ってきたクラウドサービス「Amazon Web Services」（AWS）を再構築の基盤に据え、クラウドへの全面移行を即座に決めた。

　もう一つ貫いたのが、攻撃者と一切接触しないという方針だ。要求に応じれば反社会的勢力への資金提供になりかねず、再攻撃を招く恐れもある。吉岡社長は「倫理観や再攻撃の恐れ、そして何よりお客さまの安心・安全を考えれば、攻撃者と接触すべきではないと判断した」と説明する。

攻撃から108日：物流拠点が再稼働　7000台超のサーバ類が壁に

　システムの再構築は、AWSのクラウドとAIを活用することで大きく加速した。オンプレミスなら3カ月かかるクラウド移行を1週間で、従来手法で3カ月を要する安全な再構築を2週間で終えたという。新しいネットワークの構築自体は、28日で完了した。

　しかし、吉岡社長が「大きな学びだった」と繰り返し強調するのは、その先の物流拠点の復旧である。アスクルは全国に10カ所の物流拠点を持つ。これを全て復旧させるまでに108日を要した。ネットワークの復旧と現場の復旧で決定的に違うのは、現場には「物理的な機器」が存在する点だった。

　物流拠点にあるサーバやPCは全国で7000台を超える。倉庫の開設時期が異なるため、OSのバージョンも拠点ごとにばらばらだ。1台ずつ除染し、システムを更新する必要があった。「経営のリスク評価は、ここまで及んでいなかった」と吉岡社長は振り返る。

　この経験から得た教訓は明確だ。ランサムウェアに限らず現場の危機に備えるには、日頃から詳細な仕様管理を緻密に行い、継続的に更新し続けることが欠かせない。これが事業継続計画（BCP）の土台になるという学びを得た。

自力再構築から全面復旧までの日数（出所：吉岡社長の講演資料）

社長「事業をゼロにリセットされた」　再興を目指した経営判断

　「逆境を進化に変えよう」――攻撃発生から約2週間後、吉岡社長が全社朝礼で掲げたスローガンだ。

　「復旧は文字通り元に戻すだけ。しかし私たちは事業をゼロにリセットされた。裏を返せば、ゼロから新しい理想形を作れるチャンスだ」と吉岡社長。限られた人員の中で、単なる復旧にとどまらず、攻撃前を上回る価値の創造へと動き出す。

　その中核に据えたのが、開発や意思決定の主役にAIを置く手法「AI-DLC」（AI駆動開発ライフサイクル）だ。人が仮説立てと判断に集中し、調査や生成、開発はAIが担う。アスクルはAWSのAI統合開発環境「Kiro」を使い、この手法を全社の業務改革に広げていった。

　例えば、供給網の混乱に備えた調達方針の策定では、需要分析から提案資料の作成までに従来2週間はかかっていたが、AIを活用し3時間で終えられるように。吉岡社長は、判断のスピードがこれまでの限界を容易に超えたと手応えを語る。

関連記事：「ウソだろ」アスクル社長がうなったAI活用　商談準備を2週間→3時間に　“担当者のカオス”脱却へ

　吉岡社長は「AI-DLCはかつてない強力な相棒だ。何のための相棒かといえば、自分たちの企業理念をきちんと果たしていくためだ」と述べる。サイバー攻撃という苦境に立たされたアスクルは、事業のシステム基盤を根本から作り替える機会に変えた。その先、AI-DLCによる変革は始まったばかりだ。