アサヒがランサム被害でVPN廃止、大規模被害招いた3つの技術的盲点
![]()
アサヒがランサム被害でVPN廃止、大規模被害招いた3つの技術的盲点アサヒグループホールディングス（GHD）は2025年11月27日、同年9月に受けたサイバー攻撃を巡り初の記者会見を開き、サイバー攻撃の詳細や被害状況を説明。技術的観点から重要な3つの盲点が明らかになった。xtech.nikkei.com
- VPNて何
- >>2
バーチャル技術
未来技術 - >>2
バーチャルポルノ - リモート用のだろ
- ランサム被害でVPN廃止とか、アサヒのセキュリティ意識はガバガバやんけ、根本解決になってないやろこれ
- >>5
AIに言われとるわw - 営業所はインターネット経由で完結させるつもりか
- キリンは何か言ってきてるの？
- vpnは何に使うんだ
特定ipじゃないと弾かれるの？ - >>8
特定のipを弾くためのvpn - >>8
東京と福岡をローカルアドレスで通信できる
WANアドレスは全部弾くから安全性が高いとされてきたがVPN装置の脆弱性を放置してパッチ当ててなかったせいで不正アクセスされた - >>20
ただのアホやん - サーバーの保守管理はどこがやってんだろうね
- うちは在宅勤務のときはまずVPN繋いでって感じだけどどこもそんな感じなのかな？
廃止されたら出社しないといけなくなっちゃう - >>10
うちもそんな感じ
でかいIT企業なのにアナログ人間が社長になってリモートワーク原則禁止になった
出社しても誰とも喋らない日多くて意味ねえよ - セキュリティ目的であんまり不便にすると従業員が抜け道見つけようとするとから逆効果なんよね
- お前らが身元隠すときのvpnと社畜が仕事で使うvpnの違いがわからん
- >>14
リモートは社内にいるという偽装で社内ネットワークにつなげるわけ攻撃者も同じことすりゃ楽に入れる
- >>14
2ch/5chではそういうコソコソ怪しいことするのに串、VPN、torって用語がよく出るが俺もあまりよく分からんVPNだけ基本情報技術者とる際に何度もセキュリティーの過去問に出て来たけど、厳密に理解しなくても何となくで正解できてしまうんだよな…
応用情報だともっと詳しく扱うのかな？
- リモートによる開発・保守環境はたしかに穴にはなりやすい
そもそも無数にいる下請け日本人の1人が本番環境のIDとパスワード他人に教えたら終わりだからなあ - VPNだけでセキュリティ担保してたんか？
サーバーなんてローカルからかつ認証ないといじれないのが普通だろ - VPNなんか使ってる企業は遅れてると言っていい
脱VPNなんてコロナ禍の時ですら言われてたろ
ZTNAによる、IAP, SDPだろ今どき - 非上場の酒屋に期待したら可哀想だよ（）
- 流石にこれはあかんと思うが
経営層が批判される対策の一つだと思う
日本が海外に負ける理由がわかるよね - >>24
経営層は最低限ITパスポート必須にした方がいい
基本情報とか応用情報も必須にした方がいいレベル - >>24
ゼロトラストの考えで行くならVPN必要ない - >>37
×ゼロトラスト
○ノートラスト（信頼関係なし） - >>37
同社は「グループ内の拠点にあるネットワーク機器を経由し、データセンターのネットワークに侵入された」としているが、具体的にどういったネットワーク機器から侵入されたのかは明言していない。拠点間の話だと思うが違えのけ？
- 未だにIPsecなんて使ってるからだろ
wireguardにしなさい - ファームウェアのバージョンアップに伴う検証面倒だわぁ放置しとこ
出社面倒だからVPN経由でも権限大きくしとこまぁこんなところでしょう
- アニメ落とすとき必須だよな
- アサヒの損失額ヤバいやろ
まだまともに商品供給出来ていないやん - >>30
IT設備とか教育に金かけるより損失額の方が少ないんじゃない
よってノーダメ - むしろまだそんなもん使ってたんだ
とっくにsaasに移行済みでネットワークレベルのリモート接続なんて廃止してるわ - 多要素認証も面倒だわぁIDとパスワードだけでログインできるようにしとこ
- VPNサーバのゼロデイ攻撃はけっこう深刻だからな
VPNでネットワーク囲ってるという安心感からの落差の激しさが余計にショックでかい
- セッション情報監視やログ確認だるいから放っておこう
- 既存の不具合放置だからな
自業自得 - ジャップ企業はホワイトハッカーとか雇わないの？
- >>42
600万とかでスペシャリストを探し始めるやろw - どっかの最大シェアのVPNベンダーが撤退するんじゃなかったっけ
- 日本のドローン規制の考えと同じだな
- VPNは悪くないと思うが、そのVPNサービス提供業者が信頼できるのかどうかは重要だな
高度に暗号化を施して傍受を防ぐわけだけど、業者内に悪い奴がいれば丸見えだから情報を盗まれるわ - >>45
馬鹿丸出しですね - 体を使う仕事で大きくなった会社とかセキュリティ意識めちゃくちゃ低そう
セキュリティ部門とか金ばっかりかかって売上0で仕事の妨害ばっかりする奴らとか思われてそう - >>48
ここの情シスは意識低くないでしょ
EDR入れてたんでしょ - >>52
そりゃ入れてる
アサヒはITと経営に自覚的で、モデル企業となるほど以前から熱心にITに注力してきた
ゆるゆるバカシステムを放置してたからランサムウェアにやられたわけじゃない
ランサムウェア仕掛けた側が非常に高度な技術で組織的にやってる - Fortigate的なやつのFWをアップデートしてなかったのか
それはバカ過ぎるw🤣 - Zscalerでも導入すれば良いんじゃね？
- リモート勤務からの感染だったのか？
- つか、EDRが機能してないって話の方が怖いんだけど
じゃあ何のために高い金払ってEDR入れてんだよってことでしょ？
CloudStrikeとか入れてるヤツはバカってことか？ - ニコニコは業務の７割が
VPNによるリモートワークだった
アサヒがランサム被害でVPN廃止
嫌儲
コメント