軍事紛争時のサイバーBCPとは？「侵入前提」で考える新しい危機管理

# サイバーBCP

最終更新日: 2026.06.18 ［取材／文責］マネーイズム編集部

近年、軍事紛争とサイバー攻撃は深く結びつき、民間企業も国家支援型攻撃グループの標的とされています。実際に、日本企業を狙ったサイバー攻撃も発生しており、従来型のBCP（事業継続計画）だけでは対応しきれない状況が生まれています。

とくに、2025年に発生したアサヒGHDへの大規模ランサムウェア攻撃は、対策を実施していても侵入される現実を浮き彫りにしました。受注・物流・工場稼働が停止し、復旧まで長期化したこの事例は、ほかの企業にとっても他人事ではありません。

本記事では、軍事紛争時におけるサイバーBCPの重要性を解説するとともに、アサヒGHD事件の経緯、従来BCPの限界、企業が今後整備すべき実践的なサイバーBCPについて解説します。

1. 軍事紛争とサイバー攻撃はもはや無関係ではないハイブリッド戦争時代の民間企業リスク

現代の軍事紛争では、ミサイルや兵器だけではなく、サイバー攻撃が重要な役割を担っています。「ハイブリッド戦争」では、物理的な武力攻撃とサイバー攻撃、情報操作、経済的圧力などを国家が高度に組み合わせて相手国に圧力をかけるのです。

その結果、標的は軍や政府機関だけではなく、民間企業や物流、電力、通信、金融などの社会インフラへと広がっています。つまり、日本企業もすでに「戦争と無関係ではない時代」に突入しているのです。

ウクライナ侵攻が証明した「民間インフラへのサイバー攻撃が軍事戦略の一部」という現実

2022年のロシアによるウクライナ侵攻では、物理的な攻撃と並行して大規模なサイバー攻撃が行われました。政府機関だけでなく、通信会社、電力会社、金融機関、物流企業などが標的とされ、社会機能そのものが攻撃対象とされた点が特徴です。

とくに注目されたのは、業務停止や社会混乱を目的としたワイパー型マルウェアによる復元が不可能な状態へのデータ破壊です。この事例が示したのは、民間インフラへのサイバー攻撃が軍事作戦の一部として組み込まれている現実でした。

企業システムが停止すると、物流停滞や経済混乱を引き起こし、国家全体の継続能力を弱体化させます。企業のサイバー対策は「情報漏洩対策」だけではなく、社会機能維持の観点からも非常に重要であると考えられています。

Qilin・Volt Typhoon・MirrorFace 国家支援型攻撃グループが日本企業を狙う構造

近年、国家から支援や容認を受けて活動する「国家支援型攻撃グループ」の動きが活発化しています。日本企業が警戒すべきグループは「Qilin」「Volt Typhoon」「MirrorFace」などです。

Qilinはロシア系ランサムウェア攻撃グループとして知られていますが、近年は高度な侵入技術を持ち、金融サービスや医療、政府機関などの重要インフラ企業への攻撃も確認されています。

Volt Typhoonは、中国系国家支援型グループとして警戒されており、通信・エネルギー・インフラ分野への潜伏活動が指摘されているのです。目的は即座のデータ破壊ではなく、重要インフラのネットワークに長期間潜伏し、有事の際に機能停止や社会混乱を引き起こす足場を構築しているとみられています。

MirrorFaceは、中国の関与が疑われている組織です。日本を主要標的として、APT（Advanced Persistent Threat：高度な標的型攻撃）を実施するグループとして知られ、防衛・政治・技術関連組織への攻撃を継続しています。巧妙な標的型メールや未知の脆弱性を突き、機密情報の窃取や足場の構築をしています。

これらの特徴は、短期間で破壊して終わるのではなく、長期間潜伏し必要なタイミングで攻撃を実行する点です。平時から企業ネットワーク内部へ侵入し、攻撃準備が進められている可能性があります。

「犯罪者による金銭目的」と「国家支援型」の境界が曖昧になった理由 RaaSという構造的問題

従来、サイバー攻撃は「犯罪者による金銭目的」と「国家によるスパイ活動」に分かれていました。しかし、近年では両者の境界は曖昧になってきています。この背景にあるのがRaaS（Ransomware as a Service）です。

これは、ランサムウェア開発者が攻撃ツールを提供し、実行役が攻撃する「分業型ビジネスモデル」を指します。この仕組みにより、高度な技術を持たない犯罪者でも大規模攻撃ができるようになりました。

企業側から見ると、単なる金銭目的なのか国家的意図があるのかを判別しづらくなっています。そのため、企業は攻撃主体に関わらず、高度な侵入を受ける前提で対策を考える必要があります。

2. アサヒGHD事件の全顛末侵入から復旧まで5ヶ月の軌跡

2025年9月に発生したアサヒGHD関連企業へのランサムウェア攻撃は、日本企業に大きな衝撃を与えました。単なるシステム障害にとどまらず、物流・生産・受注・会計にまで影響が及び、復旧には長期間を要しました。この事件は、サイバー攻撃が経営危機に直結することを示しています。

2025年9月29日攻撃発覚から4時間でネットワーク遮断受注・出荷・工場稼働が全停止

攻撃が発覚したのは2025年9月29日です。システムに異常がみられ、調査により暗号化されたファイルが発見されました。企業側は顧客や取引先のデータ保護を優先し、被害を最小限に抑えるために、わずか4時間で大規模なネットワーク遮断を実施しました。

ネットワークを遮断したことで被害の拡大は防げましたが、受注システム、出荷管理システムなどが利用不能となり、国内の業務は全面停止する事態に陥ったのです。この停止は広範なサプライチェーンへ波及し、取引先での納品遅延や店舗の在庫不足を引き起こしました。

侵入経路はVPN装置の既知脆弱性「10日間潜伏」していた攻撃者の手口と3つの技術的盲点

調査の結果、侵入経路はVPN装置の既知の脆弱性であったことが明らかになりました。この手口で特徴的なのは、攻撃者が侵入直後に攻撃を実行したわけではなく、約10日間にわたり内部ネットワークに潜伏していた点です。

この間に認証情報の窃取、管理者権限昇格、ネットワーク構造の偵察、バックアップデータの場所特定などが行われ、最終的に重要データの暗号化が行われました。

この事件では、次の3つの技術的盲点が浮き彫りになりました。

・VPN機器の脆弱性管理が不十分
・特権アカウント管理に不備がある
・データセンター内部への侵入を想定した対策が不十分

この事例は、入口対策だけではなく、侵入後の監視・権限管理・被害拡大防止まで含めた対策が重要であることを示しています。

データセンターが標的になった意味受注・会計・物流システムの暗号化で年末商戦に波及

今回の事件で注目されたのは、データセンターが重点的に標的とされた点です。その結果、データセンターのサーバーに加え、データセンターに集約されていたグループ全体の受注・会計・物流などの基幹システムやPCが情報漏洩やデータ暗号化などの被害を受けました。

さらに、攻撃されたのが9月末である点も見逃せません。年末商戦の受注準備が本格化する時期であり、この時期に業務停止を引き起こすと、経営ダメージやサプライチェーン全体への影響が拡大することを理解していたと考えられます。

実際に年末商戦に波及し、競合他社へのシェア流出を余儀なくされるなど、機会損失は計り知れません。

191万件超の個人情報漏洩・決算延期・物流正常化まで5ヶ月経営損失の全体像

事件の被害は、単なる一時的なシステム停止にとどまりませんでした。顧客や従業員を含む191万件超の個人情報漏洩の可能性があると発表されました。また、会計システムが暗号化されたことで、決算発表を延期せざるを得なくなったのです。

物流正常化までには約5ヶ月を要し、その期間は売上減少や対応コスト増大、信用低下が続きました。調査費用、復旧費用、外部専門家費用、再発防止投資などのコストも膨大にかかります。

サイバー攻撃は単なるIT問題ではなく、企業価値やブランドイメージに直結する経営問題であることが改めて浮き彫りになりました。

3. 事例から読み解く「備えていても突破される」現実と従来BCPの限界

多くの企業は、ウイルス対策ソフトやバックアップシステムなどを導入してセキュリティ対策をしています。しかし近年は、対策を講じている企業でも、被害を受けるケースがあります。

NISTフレームワーク導入・ホワイトハッカーによる模擬攻撃を実施済みでも防げなかった理由

アサヒGHDは、サイバーセキュリティ対策に取り組んでいなかったわけではありません。「NIST（米国国立標準技術研究所）サイバーセキュリティフレームワーク」に準じた体制を整え、ホワイトハッカーによる模擬攻撃も実施していました。

それでも防げなかったのは、高度化した攻撃者が組織のわずかな隙を突き長期間潜伏している間に権限を奪取したためです。「対策しているから100％防げる」といった前提は、もはや通用しません。

従来のBCPは「自然災害前提」サイバー攻撃がBCPの根幹を揺るがす理由

多くの日本企業が策定している従来のBCP（事業継続計画）は、地震・台風・停電などの自然災害を主な前提として設計されてきました。しかし、サイバー攻撃は、自然災害とは本質的に異なり、自然災害前提のBCPをそのままサイバー攻撃に適用することはできません。

サイバー攻撃では、意図的に「最も弱い部分」を狙い、復旧妨害まで行うためです。たとえば、バックアップデータ破壊、情報漏洩による二次脅迫などは、従来型BCPでは想定されていない内容でした。そのため、従来型BCPだけでは不十分であり、サイバーBCPの再設計が必要とされています。

「情報開示の遅さ」が二次被害を生むアスクルとの比較で見えたクライシスコミュニケーションの差

インシデント発生時において、「クライシスコミュニケーション（危機管理広報）」は、企業の命運を分けるもう1つの要素です。サイバーインシデントでは、技術対応だけでなく情報開示も極めて重要です。情報開示が遅れると、取引先や利用者が適切な対策を取れず、二次被害が拡大する可能性があります。

アサヒGHDの事例では、侵入を検知してから迅速に対応していました。しかし、公表については、発生から約2カ月後に初めて、経営トップが登壇する記者会見を実施して詳細を説明しました。

経営トップ自らが専門的な質問に回答した姿勢自体は好印象を与えましたが、技術面の詳細な開示は避けられたのです。プレスリリースについても、2026年2月になってようやく最終調査報告と具体的な流出件数（約11.5万件）を公表しました。最終的に開示された報告書やガバナンス強化策は「大企業の生きた教科書」と呼ばれるほど詳細なものでした。しかし、詳細が見えない期間が長引いたことで市場の不安を煽り、出荷正常化は2026年4月まで遅延。同年6月には利益の大幅下方修正を余儀なくされるなど、経営へのダメージは甚大でした。

一方で、迅速な状況説明や対応方針を公表した企業は、一定の信頼を維持できているケースがあります。アスクルは、2025年10月にランサムウェア攻撃を受けました。記者会見は実施しなかったものの、発生当日の第1報以降、復旧完了まで計18回にわたり、詳細なプレスリリースを発信したのです。

被害状況、復旧の進捗、情報漏洩の有無などを迅速に開示し続けたことで、関係者の不安を抑え、被害状況の把握と復旧対応の透明性を高めました。このように、サイバーBCPにはIT復旧だけでなく、広報・法務・顧客対応を含めたクライシスコミュニケーション設計も不可欠です。

4. 軍事紛争時代の企業が設計すべきサイバーBCPの実践ガイド

ここでは、軍事紛争時代に企業が設計すべきサイバーBCPについて解説します。

「侵入を前提とした設計」への転換ゼロトラスト・ネットワーク分離・バックアップ3-2-1ルール

「どれだけ強固に守っても必ず侵入される」といった「侵入を前提とした設計」に転換する必要があります。具体的には、以下の3つの原則を基盤に組み入れます。

ゼロトラスト：「社内ネットワークだから安全」といった概念を捨て、すべてのアクセス、ユーザー、デバイスを「信頼せず常に検証する」設計思想です。

ネットワーク分離：インターネットに接続してWebサイトの閲覧やメールの送受信などを実施するネットワークと、顧客情報のような機密情報を保管するネットワークを分離させます。重要な情報については外部との接点をなくすことで、機密情報の漏洩を防ぐセキュリティ対策です。

バックアップ3-2-1ルール：データは常にコピーして「3つ保管する（1つはメイン、2つはバックアップ）、2種類の媒体で保管する、1つはオフラインで保管する」方法です。ランサムウェアはバックアップも狙うため、オフラインでの保管が非常に重要です。

このような対策を講じることで、侵入された場合でも被害拡大を最小限に抑え、事業継続と迅速な復旧をしやすくなります。

データセンター・VPN・特権アカウントの3点強化アサヒ事例が示す優先対策箇所

アサヒ事例から見えてきた優先対策箇所は、データセンター、VPN、特権アカウントです。

データセンター：基幹システムを単一のデータセンターに集中させると攻撃者にとって全滅させる好条件を与えるため、地理的・論理的に分散させ、バックアップシステムへの自動フェイルオーバーを整備します。さらに、データセンター内部でもアクセス制御や異常検知を強化し、侵入後の行動を監視する仕組みが必要です。

VPN装置：侵入口として悪用されることがあります。VPN装置のアップデートや、多要素認証導入、定期的な脆弱性診断、ログ監視の強化を実施します。

特権アカウント：侵害されると全システムの制御につながるため、多要素認証導入や利用監査が重要です。