アサヒ、アスクルに学ぶ サイバー攻撃後に「信頼を落とさない会社」がやっていること（4/4 ページ）

アサヒグループホールディングスやアスクルを事例に、サーバ攻撃後に「信頼を落とさない会社」がやっていることを分析してみた。

[大杉春子，ITmedia]

危機広報の本質は「防御」ではなく「説明」

　アサヒやアスクル以外にも、ランサムウェア攻撃を受けながら信頼を保った企業はある。以下に、過去1年以内に起きた国内の好事例を紹介したい。

KADOKAWA（2024年6月）

　KADOKAWAは、動画配信サービス「ニコニコ動画」などを含むネットワーク全体が攻撃を受け、従業員・取引先・教育関連を含む25万人以上の個人情報が流出した。

　同社は被害確認の数日後には「社内システムがランサムウェア攻撃を受けた」と公表し、公式サイトで影響範囲を明確にした。特に「ニコニコユーザーのアカウントやクレジットカード情報には影響なし」と早い段階で説明したことが、ユーザーの動揺を抑えた。また、復旧の進捗を月単位で発信し、社員教育やフィッシング対策の強化を積極的に発信した。

カシオ計算機（2024年10月）

　カシオは海外経由の不正アクセスを受け、業務データや個人情報が流出した。

　初報で「顧客のクレジットカード情報への影響は確認されていない」と明確にし、続報では原因や再発防止策をIR資料の中で説明。社員教育やシステム強化の取り組みを同時に発表した。商品発売の遅延という直接的な影響はあったが、株主総会で復旧計画を開示したことが、逆に「誠実に向き合う企業」という印象を残した。

　英国のサイバーセキュリティ企業、ソフォス（Sophos）が実施した「ランサムウェア被害後の復旧と広報対応」を分析した調査によれば、97％の企業が3カ月以内にシステムを復旧させているにもかかわらず、信頼回復の速度には大きな差があるという。

　その差を分けたのが、「事実ベースのストーリーテリング」と呼ぶ対応――つまり、被害の経緯と回復の道筋を“具体的な行動”として説明する力だった。単に「調査中」と言うだけでなく、「どのシステムを復旧し、次に何をするのか」を発信した企業ほど、株価やブランドイメージの回復が早かったという。結局のところ、攻撃そのものではなく、「どのように語ったか」が信頼を左右する。

　システムの復旧スピードと同じように、コミュニケーションのスピードも企業の生命線なのだ。ランサムウェア対応で信頼を保った企業に共通しているのは、「正確さ」と「誠実さ」を両立させる仕組みを、平時から準備していたことだ。調査が終わるのを待つのではなく、「分かっていること」「これから確認すること」「次に発信する時期」を明確に伝える。その繰り返しが、社会との信頼関係を途切れさせない。

　もし明日、自社でサイバー攻撃が起きたら――誰が、どの順番で、何を伝えるか。その設計図を今から描いておくことが、最大のリスクヘッジになる。

著者紹介：大杉春子（おおすぎ・はるこ）

レイザー代表取締役／RCIJ代表理事

コミュニケーション戦略アドバイザーとしてPR戦略の企画から危機管理広報まで、企業・行政のブランド価値向上を包括的に支援。

日本において唯一、コミュニケーション戦略におけるリスク管理に特化したカリキュラムを展開する日本リスクコミュニケーション協会（RCIJ）を2020年に設立。

上場企業や防衛省での豊富な実績を持つ。