アサヒ、アスクルに学ぶ サイバー攻撃後に「信頼を落とさない会社」がやっていること（3/4 ページ）

アサヒグループホールディングスやアスクルを事例に、サーバ攻撃後に「信頼を落とさない会社」がやっていることを分析してみた。

[大杉春子，ITmedia]

被害は「発生」より「発表」で評価される

　ランサムウェアは「いつ」「どこで」仕込まれたかが見えにくく、発覚までに時間がかかる。感染を完全に遮断し、社内システムを安全に再稼働させるには専門調査が欠かせない。つまり、被害を「確認した瞬間」から「公表できる状態」までには、通常の危機対応よりも時間がかかるのだ。

　それでも、信頼を落とさない企業には共通点がある。

“不完全でも、最初の一報を出す”

　冒頭で紹介したアサヒグループホールディングスは、攻撃を検知した翌日に「システム障害により一部業務を停止」と公表し、数日後には原因がランサムウェアであることを明かした。「顧客情報への影響は確認中」としながらも、「対応状況を随時更新する」と明記したことで、報道やSNSでの憶測拡散を抑えた。

　一方で、アスクルは「LOHACO」などの通販事業への影響を詳細に説明し、進捗を段階的に発表。配送の遅れに対して「お詫び」よりも「現状共有」を重視し、誠実な印象を残した。

　では逆に、発表が遅れた場合、何が起こるのだろうか。2025年4月に起きた近鉄エクスプレス（KWE）のランサムウェア被害を振り返りたい。KWEは、近鉄グループ傘下の国際物流企業として、世界中の貨物輸送を担う。2025年4月23日未明、国内サーバがランサムウェアに感染し、基幹システムが停止。貨物の受注・追跡・通関業務が止まり、全国の物流がほぼ麻痺状態に陥った。

　このタイミングは大型連休前。製造業や医療関係など、サプライチェーン全体に影響が及び、日本航空（JAL）の貨物便にも遅延が発生した。この時もアスクル同様「システムの停止」は、一企業の問題にとどまらず、社会インフラ全体のリスクに発展した。発生当日の4月23日、KWEは「システム障害により貨物輸送を停止」と発表した。

　しかし、ランサムウェア攻撃であることを正式に認めたのは5日後の4月28日。その間、同社のWebサイトやSNSでは「障害」「復旧作業中」という曖昧（あいまい）な表現が続いた。

　一方で、メディアや物流業界関係者の間では「攻撃ではないか」との憶測が広がり、報道が公式発表より先に出る“情報逆転”が起きてしまった。ここで問題となったのは、「事実を隠した」わけではなくても、説明の遅れが“隠している印象”を与えたことだ。広報の世界では、“誤解を生む沈黙”は“間違った発表”と同様、大きなダメージを与えることがある。この時は結果として、被害の中身よりも“対応の遅さ”が企業イメージを傷つけることになった。

　5日間の沈黙の間に、SNS上では「顧客データが流出している」「輸出入の書類が暗号化された」など、確証のない情報が広がった。実際には個人情報の流出は確認されていなかった。公表の遅れが憶測を呼び、信頼回復を難しくしたと考える。

　一方、アサヒやアスクルのように「調査中」と明言したうえで段階的に情報を出す企業は、憶測が広がる余地を狭められる。KWEの対応が全て悪かったわけではない。

　むしろ復旧スピードは非常に速く、4月30日にはほぼ復旧、5月6日には全面再開を果たしている。社内では即日で緊急対策本部を立ち上げ、外部専門家と連携して原因調査や復旧作業を行った。 技術対応そのものは適切であり、危機管理体制として高く評価できる。

　だが、復旧作業と並行して、コミュニケーションの設計において、情報発信の「誰が・いつ・どの言葉で」行うのかが決まっていなかった可能性が高い。そのため、「社内では頑張っているのに、外から見ると何も見えない」状態が生まれた。