アサヒグループHD、サイバー攻撃で内部統制の重要な不備 有価証券報告書提出を延期

2025年9月29日早朝、アサヒグループHDの日本リージョンで情報システム障害が発生。調査により一部サーバーデータが暗号化され、ランサムウェアによるサイバー攻撃と判明した。攻撃者は管理者権限を不正に取得し、ネットワーク内部を探索した後、複数サーバーにランサムウェアを実行していた。同社は被害拡大防止のため、同日中に社内外ネットワークを遮断し、データセンターを隔離。外部専門機関の協力で原因究明を進めたが、影響は日本リージョンに限定されている。

同社はグループ危機管理規程とBCPに基づき緊急対策本部を設置し、ネットワーク再構築と脆弱性検証を実施した。しかし、経理関連データへのアクセス障害と代替業務プロセス構築に時間を要し、決算作業に必要な財務報告関連データの取得・検証が適時に完了できず、有価証券報告書の提出期限延長が必要となった。前期には同様の開示はなく、サイバー攻撃が財務報告プロセスに直接影響した初の事例である。国内企業のランサムウェア被害は年々増加傾向にあり、情報処理推進機構（IPA）によると2024年の被害報告件数は前年比約1.5倍に達しており、同社もその流れに巻き込まれた形だ。

同社は、本件を「全社的な内部統制（情報システムの整備に関する方針）の運用状況に重要な不備があった」と評価。日本リージョンでは、「アサヒグループ情報システム管理規程」や「アサヒグループ情報セキュリティ規程」等で統合的なセキュリティ管理要件を定め、サイバー攻撃リスク軽減のための遵守事項や技術的対策を規定していた。しかし、業務で使用する情報システム基盤の一部で、権限管理を含む運用管理が不十分だった。これにより攻撃者の侵入を許し、結果として開示の適時性に重大な影響を及ぼした。

具体的には、管理者権限に係る統制が弱く、パスワード管理やアクセス制御が規程通りに運用されていなかった。同社は「財務報告に係る内部統制は有効でない」と明記し、2025年12月期の内部統制報告書を関東財務局に提出した。連結会計年度末日までに是正できなかった理由として、サイバー攻撃発覚後の被害拡大防止・復旧・原因調査を優先したため、是正と評価に至らなかったと説明している。

この不備は、情報システムの整備方針という全社統制の根幹に関わるものであり、投資家や取引先に与える信頼低下は避けられない。同社の時価総額は開示後に一時的に下落し、ガバナンスへの懸念が市場に広がった。

アサヒグループHDは、不備の是正と再発防止に向けて、三つの重点対応を進めている。第一に、権限管理上の不備に対する是正として、内部統制評価対象の全システムでアクセス管理の厳格化とパスワード強化を実施。第二に、情報セキュリティ委員会の統括下で、運用状況を継続的にモニタリングする体制を構築した。第三に、重要な情報システムを対象に、規程要件と実際の運用の差異を把握するFit & Gap分析を開始し、必要な是正対応を推進している。

既に、定期的なモニタリングが開始され、規程遵守状況の確認と是正進捗管理が行われている。同社は「本件に起因する必要な修正は全て連結財務諸表に反映済み」とし、監査法人からは無限定適正意見を取得。これは、財務数値自体には重大な誤りがないことを示すが、内部統制の信頼性回復には引き続き取り組みが必要だ。

専門家は「権限管理の脆弱性は多くの企業に共通する課題で、ゼロトラストアーキテクチャの導入など根本的な対策が求められる」と指摘する。同社は今後、情報セキュリティガバナンスの抜本的強化を図る方針で、外部専門機関による再検証も視野に入れている。