アスクル漏えい134万件に拡大 「9カ月越しの上方修正」が示す教訓

攻撃から9カ月、被害は「確定」していなかった #

アスクルは2025年10月19日、ランサムウェア攻撃を受けてEC事業「ASKUL」「LOHACO」が停止する障害に見舞われた。同社は12月末時点で約74万件の情報流出を発表していたが、2026年7月30日、新たに約60万件の漏えい懸念を追加公表した。対象は2025年7月15日〜10月19日の発送分で、事業所向け約55万件・個人向け約5万件。氏名・住所・電話番号・メールアドレスに加え、届け先情報も含まれる。クレジットカード情報は対象外という。合計は約134万件。攻撃発覚から9カ月越しの上方修正だ。

なぜ被害規模は「後から」膨らむのか #

ランサムウェア対応が厄介なのは、暗号化被害の復旧と「情報が実際に持ち出されたか」の特定が別作業だという点だ。攻撃者はまず内部ネットワークを横断し、暗号化前に静かにデータを外部送出する「二重恐喝」型が主流になっている。企業側は復旧を急ぐあまり初期公表の対象範囲を保守的に区切りがちで、その後のログ解析・バックアップ突合・関連システムの精査を通じて対象が広がっていく。今回も、発送記録の再解析を重ねる過程で当初見落とされていた範囲が浮上したとみられる。「不正利用の事実は確認されていない」という説明が繰り返されるが、これは"確認できていない"のと"起きていない"を混同させやすい表現でもある。

通知の遅れと行政指導が示す教訓 #

個人情報保護委員会は7月16日付でアスクルに行政指導を行った。被害者への通知は7月31日から約1カ月かけて順次実施される予定で、攻撃発覚から本人への到達までは実に10カ月近くを要する計算になる。この長さは同社固有の失策というより、大量の取引データを扱う事業者がランサムウェア被害後にスコープを確定させる作業の重さを物語る。読者企業への教訓は明確だ。初期公表の数字を「最終値」として扱わず、フォレンジック体制と通知プロセスを最初から並走させる設計を持っておくことが、被害拡大時の混乱を減らす。