2025年の秋、日本の大きな会社が立て続けにサイバー攻撃で止まりました。ビールでおなじみのアサヒグループホールディングス。そして、オフィス用品の通販でおなじみのアスクル。どちらも受注や出荷が動かなくなり、私たちの生活の近くにある会社だっただけに、ニュースを見て「え、あそこが？」と驚いた方も多いと思います。
この記事を書こうと思ったきっかけは、TBS NEWS DIGの「シリーズ・サイバー攻撃」という記事（TBS NEWS DIG）でした。この連載は、アサヒを攻撃した集団に取材までしていて、読むとぞくっとします。それを読んで、素朴な疑問がいくつも湧いてきました。
- これは、いったい誰の仕業なんだろう？
- お金だけが目的なんだろうか？
- 海外からの攻撃なんだろうか？
- そして——一見するとバラバラの事故に見えるけれど、じつは日本を狙った大きな「暗躍」があるんじゃないか？
最後の問いは、日本各地で相次ぐクマの出没に少し似ています。一頭一頭は「たまたま出てきた」ように見えるのに、全体を眺めると何か大きな構造が動いているように感じる。あの感覚です。
先に申し上げておくと、この記事では「ロシアが日本を狙った」というような断定はしません。証拠がそこまで届いていないからです。その代わり、何がどこまで確認できて、どこから先が確認できないのかを、ひとつずつ確度（高・中・低）を付けてお見せします。私が調べた内容を、Claude と Grok の二つのAIに同じ枠組みで独立に評価させ、記事末尾にその評価表を置きます。二つのAIは同じ骨格に到達しつつ、10軸のうち4軸で1段階の食い違いが出ました。その食い違いも隠さず併記します。
この件で確認できたこと・できなかったこと（ランサムウェアと日本の全体像）
まず、この記事の結論だけを先に、一覧でお見せします。それぞれに根拠のリンクを付けました。細かい話はこの後の各セクションで開きます。
- ✅ アサヒとアスクルの犯人は「別の集団」だった（確度：高）。アサヒは「Qilin（キリン）」、アスクルは「RansomHouse（ランサムハウス）」が犯行を主張。同じ黒幕の連続犯ではありません。出典：日本経済新聞（Qilin＝アサヒ）／トレンドマイクロ（RansomHouse＝アスクル）
- ✅ どちらもロシア語圏由来とみられる犯罪集団（確度：中）。ただし「ロシア国家の指令」を示す一次証拠は見つかっていません。出典：@IT（KELA報告・Qilinの素性）
- ✅ 主な目的はお金（確度：高）。声明文や暴露サイトに、思想や政治のメッセージは見当たりません。仕組みは「サービスとしてのランサムウェア（RaaS）」という分業ビジネスです。出典：@IT（KELA報告）
- ✅ 「日本が特別に狙い撃ちされた」とは、統計上は言いにくい（確度：高）。2025年の世界のランサムウェア被害は約7,419件で、最多は米国の3,810件。日本は上位5位に入っていません。出典：Comparitech 2025年末レポート（※英語サイト）
- ✅ アスクルの入口は「多要素認証を免除していた委託先アカウント」だった（確度：高）。IRは初期侵入後に偵察・横展開を経てランサムウェアを一斉展開したと記しており、一定の潜伏期間があったと推測されます（初期侵入日そのものは公表されていません）。出典：アスクル 影響調査結果報告（IR・PDF）
- ❓ 身代金の要求額、アサヒの侵入経路、犯人が主張する窃取データ量の裏取りは、確認できていません（後述「確認できなかったこと」）。
- ❓ 国家が犯罪集団に「日本を攻撃せよ」と指令したという証拠は、現時点で確認できていません（確度：この主張を支える根拠は低い）。
一言でまとめるなら、こうなります。お金目的の「産業化した犯罪」が主役。ロシアが国外向けの攻撃を積極的に取り締まらない環境が、それを温存している（これを国家の「黙認」と読むかは解釈で、確度は中〜低）。ただし、国家が日本を名指しで狙った証拠はない。——これがこの記事の中間解です。
何が起きたのか——「連続犯」ではなく「別々の集団」だった
私が調べていて、いちばん最初に自分の思い込みを直すことになったのが、この点です。
正直に打ち明けると、私も最初は「アサヒもアスクルも、同じ犯人が日本を連続で襲ったんだろう」と思っていました。時期も近いし、どちらも日本の大企業。つい、そう結びつけたくなります。でも、調べたら違いました。
- アサヒグループHD：2025年9月29日の朝にシステム障害を確認。飲料・食品の受注や出荷が止まり、主要工場も一時停止しました。犯行を主張したのは Qilin。ダークウェブで「財務情報や従業員の個人情報など、少なくとも27GBを盗んだ」と主張しています（この27GBは犯人側の言い分です）。日本経済新聞の報道で確認できます。
- アスクル：2025年10月19日に攻撃を検知。「ASKUL」「ソロエルアリーナ」「LOHACO」の受注・出荷が止まり、無印良品やロフトの一部にも波及しました。10月30日に RansomHouse が関与を主張しています。トレンドマイクロの解説で確認できます。
つまり、QilinとRansomHouseは別の集団です。ここは事実として、はっきりしています（確度：高）。「一つの黒幕が日本を連続攻撃した」という絵は、この一点でかなり弱くなります。近い時期に、別々の犯罪集団が、それぞれ日本の大企業を打ち抜いた——これが正確な姿です。
ここで、事実と解釈を分けておきます。「犯人が別集団だった」は事実です。「だから背後に単一の黒幕はいない」は、そこから導かれる解釈であって、事実そのものではありません。別々の集団でも、上で誰かが糸を引いている可能性は理屈の上ではゼロにはできません。ただ、それを示す証拠は今のところ見つからない——という状態です。
アスクルの「入口」がぞっとする
アスクルの件で、私が背筋が寒くなったのはここです。アスクル自身が公表した影響調査の報告書（IR）によれば、攻撃者が入り込んだ入口は、多要素認証（二段階の本人確認）が例外的に免除されていた、業務委託先の管理者アカウントでした。そのアカウントのIDとパスワードが漏れ、それを使って社内ネットワークに入られています。
同じ報告書によれば、攻撃者はまず社内ネットワークに入り込んだあと、内部の偵察や横方向への侵入（横展開）を経て、最後にランサムウェアを一斉に展開したと記されています。つまり、いきなり止めたのではなく、一定の潜伏期間を置いて内部を下見したうえで一気に止めた、という順序だったと推測されます（初期侵入がいつだったかという日付そのものは公表されていません）。流出したとされる情報は、報告書が挙げた項目を合わせると約74万件規模——事業所向け約59万件、個人向け約13.2万件、取引先約1.5万件、役員・社員等約2,700件——にのぼります。それだけの巨大な物流が、たった一つの「二段階認証を外していた委託先アカウント」から丸ごと止められたわけです。
これは犯人が超人的だったという話ではありません。むしろ逆で、ありふれた入口が開いていた、という話です。ここは後の「考察」でクマの話につなげます。
各ソースはどう伝えているか
同じ事件でも、伝える人によって見えている角度が違います。国籍も資金源も違うソースを並べてみます。
- 日本経済新聞（日本）：アサヒへの攻撃とQilinの犯行声明、27GB窃取の主張、Qilinがロシア系とみられることを報じています。記事はこちら。
- トレンドマイクロ／セキュリティ各社（日本）：アスクルの被害報告書を読み解き、RansomHouseの関与とMFA免除アカウントという侵入経路を解説しています。トレンドマイクロの解説。
- @IT（KELAの報告を紹介・日本）：Qilinが2022年に「Agenda」として登場し同年に「Qilin」へ改称したこと、旧ソ連圏（CIS諸国）を攻撃対象から外していること、財務・広報担当まで持つ組織であることを伝えています。記事はこちら。
- Comparitech（英語圏）：2025年の世界のランサムウェアを集計し、総数7,419件、米国3,810件、前年から32%増などの数字を出しています。レポートはこちら（※英語サイト）。
- TBS NEWS DIG（日本）：Qilinに取材したと報じており、その取材によれば「アサヒのような大企業が数億ドルをセキュリティに投じても、この通りだ。今日、サイバー攻撃を完全に防ぐ手段はない」と犯行側が語ったと伝えられています。連載記事はこちら。
面白いのは、日本語のメディアが「日本の大企業が被害に遭った」という角度で報じるのに対して、英語圏のレポート（Comparitech）は「世界全体でランサムウェアが前年比32%増えた」という、もっと引いた視点で書いていることです。同じ現象でも、日本から見ると「うちが狙われた」に見え、世界から見ると「増え続ける被害の一部」に見える。この見え方の差そのものが、この記事の後半のカギになります。
確認できなかったこと（隠さずに書きます）
このメディアの約束は、「確認できたこと」と同じくらい「確認できなかったこと」を正直に出すことです。今回、私の手元では次の点が埋められませんでした。
- 身代金の具体的な要求額：アサヒ・アスクルとも、いくら要求されたのかは確認できていません。なお、アサヒは支払いを明確に拒否しています（勝木社長「支払いは犯罪組織の資金源になる／払っても完全には戻らない」）。
- アサヒの侵入経路：アスクルは委託先アカウントと判明していますが、アサヒがどこから入られたのかは、私の確認範囲では特定できていません。
- 犯人が主張する窃取データ量の裏取り：Qilinの「27GB」、RansomHouseの「約1.1TB」は、いずれも犯人側の主張です。第三者による実測の裏取りはできていません。
- 「日本企業は身代金を払いやすい」という説：よく語られますが、統計的な裏付けは確認できていません。むしろ日本の身代金支払い率は国際的にみて低いという指摘もありますが、いずれにせよ確定的なデータでは確認できていません。少なくともアサヒが公式に支払いを拒否したことは、この件では事実として確認できています。
- 国家との直接の指揮・資金関係：Qilinなどとロシア国家のあいだに、指令や資金の直接のつながりがあるという一次証拠は、見つかりませんでした。今言えるのは「取り締まっていない＝黙認している」までです。「関係が無い」と断定することも、私にはできません。
背景——ランサムウェアは「事故」ではなく「産業」になっている
ここからは、少し引いて全体の構造を見ます。
今回いちばん腑に落ちたのは、ランサムウェアが分業ビジネスになっている、という点です。Qilinは「サービスとしてのランサムウェア（RaaS）」と呼ばれる形をとっています。中核の集団が攻撃の道具一式を用意し、実際に企業へ侵入する実行役（アフィリエイト）を、取り分80〜85%という高い報酬で募る。財務担当や広報担当までいる。まるで一つの会社です。KELAの報告を紹介した@ITの記事で、この組織的な姿が確認できます。
被害の出し方も洗練されています。今の主流は二重脅迫——データを暗号化して使えなくするだけでなく、盗んだデータを「払わないと公開するぞ」と暴露のネタにも使う。日本国内でも、対価要求のうち二重脅迫が約83%を占めています（警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」2025年3月発表。対価要求134件のうち111件＝82.8%）。
そして規模。Comparitechの2025年末レポート（※英語サイト）によれば、2025年の世界のランサムウェア攻撃は約7,419件で、前年から32%増えています。狙われやすいのは、止まると社会的な影響が大きい分野——製造業・物流・医療・教育など、事業や社会インフラが止まると困る現場です。
ここまでは、「これは単発の事故ではない」という見方を事実がはっきり支持している部分です（確度：高）。分業ビジネス、企業のような組織、年々増える件数、二重脅迫の常態化。どれも「たまたま」では説明できません。産業化した犯罪の生態系がある、というのは言ってよいと思います。
ロシアの「黙認」という土壌
もう一つ、避けて通れないのがロシアの存在です。Qilinは旧ソ連圏（CIS諸国）を攻撃対象から外している、と報告されています。ロシアは、自国に害の及ばない国外向けの攻撃を積極的には取り締まらない、という指摘が繰り返しなされています。
ここは、事実と解釈を丁寧に分けたい部分です。
- 事実核：Qilinなどの集団がCIS諸国を攻撃していない、という観察。ロシア当局がこれらの集団を摘発した形跡が乏しい、という観察。
- 橋渡しの注意：CIS非攻撃は、犯罪集団が拠点国での摘発リスクを避ける自己防衛でも同じく説明でき、それ自体は国家の意思を示しません。
- 解釈層：だからロシアは「黙認」している、という読み。さらにその先の「黙認は事実上の後押しだ」という読み。
事実核は比較的固いのですが、「黙認」から先は解釈です。そして「国家が日本を名指しで狙って指令した」まで行くと、それを支える証拠は現時点で見当たりません（この主張の確度：低）。私はここを飛び越えたくありません。言えるのは、「金目当ての犯罪」と「西側が攪乱されるという国家に都合のよい結果」が、同じ場所で両立してしまう構造がある——というところまでです（確度：中）。
なお、国家系のアクターとRaaSが接触した例は実在します。2025年3月、Microsoftが、北朝鮮の国家アクター「Moonstone Sleet」がQilinを一部利用したと確認しています。ただしこれは北朝鮮の例で、しかも「対日攻撃の指揮」とは別の話です。国家と犯罪集団の距離がゼロではない、という一例として押さえるにとどめます。
考察——「クマ問題」でたとえると、どう見えるか
さて、最初の問いに戻ります。これは日本を狙った大きな暗躍なのか。冒頭で触れた「クマの出没」のたとえが、じつはかなり役に立ちます。
クマがあちこちに出てくるのは、一頭一頭を見ると「たまたま里に下りてきた」ように見えます。でも全体を見ると、原因は個々の偶然ではなく、構造にあります。ドングリなどの餌が不足している。里山を手入れする人が減って、山と人里の境目が曖昧になっている。だからクマが出やすくなっている。これは「誰かがクマをけしかけている陰謀」ではないけれど、「ただの偶然の事故」でもない。構造が出没を生んでいるわけです。
ランサムウェアも、これとよく似た形をしています。
- 「ただの事故ではない」は正しい（確度：高）。産業化した犯罪の生態系があり、件数は増え続けている。個別の不運では説明できません。
- でも「単一の黒幕が一頭ずつ放っている陰謀」まで行くのは、証拠を超える（この方向の確度：低）。アサヒとアスクルの犯人が別集団だった事実は、その絵と相性が悪い。
- 大半は「構造要因」で説明できる（確度：中〜高）。日本側でいえば、VPN機器の脆弱性の放置、多要素認証の未導入、委託先の管理の甘さ。攻撃側でいえば、ランサムウェアが儲かるという単純な経済合理性。この二つがそろえば、背後に「意図した黒幕」を置かなくても、被害はちゃんと生まれてしまいます。
クマの話で言えば、餌不足と里山の放置が「出没しやすい土壌」を作るのと同じで、こちらは日本側の防御の穴と、ランサムが儲かる仕組みが「被害が起きやすい土壌」を作っている。そしてロシアが国外向けの攻撃を積極的に取り締まらないという状況は、里山を誰も手入れしないのと同じで、被害が温存されやすい環境として働きうるものです。ただし、これを国家の「黙認（知って見逃す意思）」と読むか、犯罪集団が拠点国での摘発を避けているだけと読むかは、解釈が分かれます。ここは陰謀ではなく、構造の話です。
「日本が狙い撃ちされた」という感覚の正体
最後に、いちばん引っかかっていた点です。「日本が特別に狙われている」という感覚。あれは何だったのか。
数字を見ると、こうなります。2025年の世界のランサムウェア攻撃は約7,419件。最多は米国3,810件で、次いでカナダ、ドイツ、英国、フランス。日本は上位5位に入っていません（警察庁の集計では令和6年＝2024年通年で222件）。Comparitechのレポート（※英語サイト）で確認できます。ただし、Comparitechはリークサイトへの掲載をもとにした集計、警察庁は企業などからの自主報告をもとにした集計で、対象年も数え方も違います。だから両者を件数で単純に引き算するのは適切ではなく、ここは「桁が違う」という大きさの感覚だけを受け取ってください。
つまり、統計の上では日本は「狙い撃ちの筆頭」ではありません。では、なぜ「日本が狙われている」と感じたのか。おそらく、アサヒとアスクルという、誰もが知っている2社が、目に見える形で止まったからです。心理学でいう利用可能性ヒューリスティック——鮮明で思い出しやすい出来事を、実際より頻繁だと感じてしまう心の癖です。私自身、冒頭で「同じ犯人の連続犯だろう」と早合点したのも、まさにこれでした。だから、この感覚は責められません。ただ、数字で確かめると、印象が少し補正されます（この反証の確度：高）。
念のため、対称に自己批判もしておきます。「日本は5位圏外だから、日本狙いは完全に否定できる」——これも言いすぎです。件数の集計は集計方法や公表文化に左右されますし、被害を出しても公表しない企業もいます。だから「統計上、日本が狙い撃ちの筆頭とは言えない」までが、私が言える範囲です。「日本狙いなど絶対にない」とは言いません。
まとめ——中間解を、確度つきで
長くなったので、私の到達点を確度つきで置き直します。
- 犯人は別々の集団だった（アサヒ＝Qilin、アスクル＝RansomHouse）。確度：高
- 主な目的はお金。産業化した分業ビジネスとして動いている。確度：高
- どちらもロシア語圏由来とみられるが、国家の指令を示す一次証拠はない。黙認という土壌までは言える。確度：中（「国家が日本を指令した」という主張の確度は低）
- 「日本が特別に狙い撃ちされた」とは統計上言いにくい。目立つ2件による印象の偏りが大きい。確度：高
- 被害の大半は、日本側の防御の穴＋儲かる経済合理性という構造で説明できる。単一の黒幕を置かなくても成立する。確度：中〜高
一言でいえば——金銭目的の産業化した犯罪が主。ロシアが国外向けの攻撃を積極的に取り締まらない環境が、それを温存している（これを国家の「黙認」と読むかは解釈で、確度は中〜低）。国家が日本を狙って指令したという証拠は、現時点では無い。 これが、私がいま自信を持って言える中間解です。新しい証拠が出れば、遠慮なく更新します。
そして、暗躍説の真偽とは関係なく、確実に効く教訓が一つあります。アスクルの入口が「多要素認証を外していた委託先アカウント」だったこと。これは大企業だけの話ではありません。どんな小さな事業でも、二段階認証を必須にする、外部の委託先や連携サービスの権限を見直す、バックアップをネットから切り離して持つ——この基本を怠れば、ありふれた資格情報の盗用ひとつで、一晩で止められます。クマ対策が「餌付けをしない・生ゴミを片づける」という地味な基本の積み重ねであるのと、まったく同じです。
多角検証 評価表
評価の凡例（A〜E）
- A：複数の独立したソースで確認済み、矛盾なし
- B：一部確認できたが、全ては確認できていない
- C：確認できたソースと矛盾するソースが混在
- D：ほぼ確認できていない、ソース不足
- E：確認不可、または信頼できるソースなし
※私が Claude と Grok の二つのAIに同じ枠組みで独立して評価させ、その結果を並べます。下の「Claude評価」はそのうちClaudeに出させた評価、「Grok評価」はGrokに出させた評価です。評価が食い違った軸は本文内および表の下の補足で触れています。
| 検証軸 | Claude評価 | Grok評価 |
|---|---|---|
| 1. メディア報道（資金源・国籍が異なる独立したもの） | A | B |
| 2. 一般人の投稿（現地目撃者など） | D | C |
| 3. 公式文書（政府・企業IR等） | A | B |
| 4. 人間心理的分析 | B | B |
| 5. 統計データ | A | A |
| 6. 歴史的文脈 | B | B |
| 7. 地理的・地政学的文脈 | C | C |
| 8. 宗教的・文化的背景 | E | D |
| 9. 経済的利害関係 | A | A |
| 10. 時系列的整合性 | A | A |
評価の補足（Claude評価の根拠）
- 軸1（A）：日経・トレンドマイクロ（日本）とComparitech（英語圏）など、国籍・資金源の異なる独立ソースが同じ骨格を確認（Grokは同軸をBと評価。食い違いは表下の補足に記載）。
- 軸2（D）：この種のインシデントでは現地目撃者の一次投稿がほぼ存在せず、確認材料が乏しい。
- 軸3（A）：アサヒの業績下方修正開示、アスクルの影響調査報告書（IR）、警察庁の集計など公式文書が揃う。
- 軸4（B）：利用可能性ヒューリスティックの説明は妥当だが、心理は本質的に解釈であり断定を避けた。
- 軸5（A）：世界7,419件・米国3,810件など複数統計で一致。
- 軸6（B）：Qilinの沿革（Agenda→Qilin）は確認できるが、一部は二次情報依存。
- 軸7（C）：拠点がロシア語圏とみられる点は広く報じられるが、一次帰属証拠は未特定で、評価が割れうる。
- 軸8（E）：本件に宗教的・文化的背景の信頼できるソースは見当たらず、対象外。表の定義上Eとし、意味は「確認不可・対象外」。
- 軸9（A）：RaaSの取り分80〜85%、二重脅迫約83%など、経済的動機を示す事実が複数確認できる。
- 軸10（A）：検知日・犯行声明日・初期侵入時期が複数ソースで時系列整合。
二つのAI評価の食い違いについて
Claudeの評価とGrokの評価は、10軸のうち6軸（4・5・6・7・9・10）で一致しました。残る4軸は、いずれも1段階だけずれています。ここは隠さず開きます。
- 軸1 メディア報道：Claudeの評価はA、Grokの評価はB。Grokが一段辛く見ました。
- 軸3 公式文書：Claudeの評価はA、Grokの評価はB。ここもGrokが辛い。
- 軸2 一般人の投稿：Claudeの評価はD、Grokの評価はC。ここはGrokがやや甘い。
- 軸8 宗教・文化：Claudeの評価はE、Grokの評価はD。ここもGrokがやや甘い。
注目すべきは、この記事の2本柱である軸1（メディア報道）と軸3（公式文書）で、Grokがそろって一段辛いBをつけたことです。Grokの見立ては「統計や公式ソースを中心に据えている点は強い。メディア報道そのものの独立性は高いものの、裏取りの層がやや薄い」という趣旨でした。これは、Claudeの評価がやや甘かった可能性として率直に受け止めます。片方をなかったことにせず、AとBの両方をそのままお見せするのが誠実だと考えます。
ただし、大事なのはここです。中身の結論——アサヒとアスクルの犯人は別集団であること、主目的は金銭であること、国家が日本を名指しで指令したという一次証拠は無いこと——は、二つのAIとも一致しています。 評価の辛さ・甘さは1段階の幅で揺れましたが、記事の骨格になる結論そのものは揺らぎません。むしろ、互いの評価を見ずに独立して動いた二つのAIが、同じ骨格に到達したこと自体が、この結論の確からしさを補強していると考えます。
なお、Grokは検証の中で二つの重要点を追記しました。ひとつは、アスクルの「多要素認証を免除していた委託先アカウント」という入口が、サプライチェーン（委託先）リスクの典型例だという指摘。自社の守りが固くても、つながっている委託先の一点が抜けていれば同じことが起きる、という警告です。もうひとつは、国家指令の一次証拠は皆無で、観察される事実はいずれもRaaS（サービスとしてのランサムウェア）の金銭モデルで一貫して説明できる、という指摘。どちらも本文の結論と同じ方向を向いています。
