2025年は、アサヒグループホールディングスやアスクルへのランサムウェア攻撃によってサプライチェーンが麻痺し、デジタルの停止が物理的な物流寸断に直結する現実が浮き彫りとなった年でした。国家サイバー統括室の発足やIoTセキュリティラベリング制度「JC-STAR」の運用開始など公的枠組みの整備が進む中、物流に関わるすべての企業においてサイバーセキュリティは事業継続の最優先課題となっています。
2025年に頻発したサイバー攻撃とインフラ・法制度の重要転換点
2025年は大企業を標的としたサイバー攻撃が相次ぎ、物流・受発注システムの機能停止が一般消費者の生活や取引先ネットワークへ広範囲に波及しました。これに対し、行政側では安全保障レベルでのサイバー防衛体制の構築やIoT機器の基準可視化が急ピッチで進められました。
以下は、2025年に発生した主要なサイバーインシデントおよび関連する制度・通信インフラの主な動向をまとめた一覧です。
| 時期 | 区分 | 発生主体・組織 | 事象・施策の概要 |
|---|---|---|---|
| 2025年3月25日 | 制度運用 | 経済産業省・IPA | IoT製品のセキュリティ適合評価・ラベリング制度「JC-STAR」の運用および★1申請受付を開始。 |
| 2025年4月1日 | 法施行 | 総務省 | 情報流通プラットフォーム対処法（情プラ法）が施行。大規模事業者の削除対応迅速化等を義務化。 |
| 2025年7月1日 | 組織新設 | 内閣官房 | 国家サイバー統括室（NCO）を設置。内閣サイバー官を新設し能動的サイバー防御の導入を加速。 |
| 2025年9月29日 | 被害発生 | アサヒグループHD | ランサムウェア攻撃により社内システム障害が発生。ビール・飲料等の受注・出荷業務が一時停止。 |
| 2025年10月19日 | 被害発生 | アスクル | ランサムウェア感染により「ASKUL」「LOHACO」等の受注・出荷業務が停止。配送受託先にも影響。 |
| 2026年3月 | 通信基盤 | NTT東日本 | 上下最大通信速度25Gbpsを実現する光回線サービス「フレッツ 光25G」の提供を開始。 |
アサヒグループHDとアスクルを襲ったランサムウェアのサプライチェーン被害
国内ビール市場で大きなシェアを占めるアサヒグループホールディングスでは、2025年9月29日にランサムウェア攻撃を検知し、感染拡大を防ぐためにネットワークの遮断・隔離措置を実施しました。この障害により受注データと出荷指示を連携させる物流基幹システムがダウンし、商品の出荷やコールセンター業務が一時的に全面停止しました。店舗での飲料欠品や工場での生産調整を余儀なくされ、正常化までに数カ月を要する事態となりました。
一方、EC・物流プラットフォームを展開するアスクルでも、2025年10月19日にランサムウェア感染に伴うシステム障害が発生しました。「ASKUL」や「ソロエルアリーナ」、「LOHACO」といった主要ECサービスの受注・出荷が停止しただけでなく、同社グループが物流を受託していた外部企業の配送網にも影響が及びました。強固な物流自動化基盤を誇る企業であっても、情報システムが暗号化・遮断されれば物理的な出荷機能が完全に停止することを証明した事例です。
参考記事: アサヒグループHD純利益36.7％減｜サイバー攻撃が招く供給網寸断の脅威
国家サイバー統括室（NCO）の発足と「能動的サイバー防御」の始動
民間サプライチェーンへの攻撃が国家規模のインフラ危機へと発展するリスクを受け、政府は2025年7月1日、内閣官房に「国家サイバー統括室（NCO：National Cybersecurity Office）」を設置しました。これは従来の内閣サイバーセキュリティセンター（NISC）を発展的に改組したもので、次官級の「内閣サイバー官」をトップに据え、サイバー安全保障政策を一元的に統括する組織です。
2025年5月に成立した「重要電子計算機に対する不正な行為による被害の防止に関する法律（サイバー対処能力強化法）」を法的根拠とし、重大なサイバー攻撃の予兆を事前に察知して無力化する「能動的サイバー防御（ACD）」の導入に向けた体制整備が進められています。物流や流通を含む社会重要インフラを標的とした攻撃に対し、官民連携による即時対応と情報共有の強化が図られています。
IoT製品の安全基準を可視化する「JC-STAR」制度の開始
物流現場における自動化設備やスマート機器の導入拡大に伴い、接続端末のセキュリティ確保も必須要件となりました。経済産業省と独立行政法人情報処理推進機構（IPA）は2025年3月25日、「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の運用を開始しました。
本制度は、国際規格（ETSI EN 303 645等）に準拠し、IoT製品のセキュリティ水準を「★1」から「★4」の4段階で評価・可視化する仕組みです。2025年3月から★1の申請受付が始まり、Wi-Fiルーターやネットワーク機器でのラベル取得が進んだほか、2026年6月には通信機器やネットワークカメラを対象とした★3の適合要件が公開されるなど、現場に導入するハードウェアの脆弱性対策基準が明確化されています。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
サプライチェーン各プレイヤーへ及ぶ影響
2025年に相次いだサイバー攻撃とインフラ基準の改定は、EC事業者、製造業者・メーカー、運送事業者のそれぞれに業務継続計画の抜本的見直しを迫っています。
EC事業者：配送受託先まで巻き込むシステム寸断とBCP再構築
アスクルの事例が示した最も深刻な教訓は、ECプラットフォームの障害が自社販売にとどまらず、物流を受託している取引先企業やエンドユーザーへ連鎖的に波及する点です。
受注管理、在庫引当、ピッキング指示、自動仕分け機（ソーター）の制御が単一の基盤に依存している場合、ランサムウェア感染によるネットワーク切断は全物流センターの同時機能停止を招きます。EC事業者は、メインシステムが停止しても注文情報や配送先データを退避させ、別系統のバックアップ基盤や手作業による緊急出荷フローへ切り替えられる多層的なBCPの再構築が求められています。
製造業者・メーカー：物流停止による工場操業停止とセキュリティ投資の必須化
製造業において、事業継続リスクの主眼は長年、地震や水害といった物理的災害に置かれていました。しかし、アサヒグループHDの事案が証明した通り、製造設備自体が無傷であっても、受発注・出荷システムが停止すれば倉庫が製品で溢れ、工場全体の稼働を停止せざるを得なくなります。
ジャストインタイム生産や在庫極小化を前提とする現代のサプライチェーンにおいて、物流ITの停止は即座に製造停止と売上喪失に直結します。製造業における物流DXの推進には、サイバーセキュリティ対策費を単なるIT管理費ではなく、工場の操業と出荷能力を担保するための必須の設備投資として位置づける意識改革が不可欠です。
参考記事: 2026年7月に起きた株式会社ニチレイのシステム障害と物流BCPの必須対応
運送事業者：荷主からのセキュリティ要件強化と「JC-STAR」等による信頼性証明
運送事業者や倉庫事業者は、荷主のシステム停止によって配送待機や作業ストップの被害を受ける側であると同時に、自社が攻撃の「踏み台（サプライチェーン攻撃の侵入経路）」となるリスクを抱えています。
荷主企業や元請け企業は、委託先に対して厳格な情報管理体制やネットワーク機器のパッチ適用状況の開示を求めるようになっています。営業所や物流センターで稼働するルーターや監視カメラなどのIoT機器について、「JC-STAR」等の公的基準に適合した製品を採用し、安全性を客観的に証明できる体制を整えることが、運送ビジネスにおける契約継続と新規獲得の重要要件となりつつあります。
LogiShiftの視点：物理的リスクから「サイバー空間のサプライチェーン寸断」への構造変化
2025年の一連の事象が物流業界にもたらした最大の構造変化は、サプライチェーンのリスク管理の焦点が、自然災害や労働力不足といった「物理的制約」から、サイバー空間を通じた「データ網の遮断」へと決定的に移行した点にあります。
個社防衛の限界と「流通ISAC」にみる面での集団防衛
どれほど強固なファイアウォールを構築しても、取引先や下請け運送会社の端末、あるいは現場のIoT機器というわずかな隙から侵入を許すサプライチェーン攻撃を、一社単独で防ぎ切ることは不可能です。
この課題に対抗するため、2026年4月にはアサヒグループジャパンや花王、サントリーホールディングス、三菱食品など主要10社が参画する「一般社団法人 流通ISAC」が発足しました。自社が検知した不審なアクセスや攻撃手法の情報を匿名で共有し、業界全体で先回りして防御を固める「面での集団防衛」へのシフトは、今後のサプライチェーンセキュリティの標準モデルとなります。
参考記事: アサヒグループジャパンなど10社が2026年4月に流通ISAC設立、共倒れ防ぐ
究極のレジリエンスとしての「アナログ回帰能力」の担保
NTT東日本が25Gbpsの超高速光回線を提供するなど、大容量データ通信時代への移行が進む一方で、システムが完全に停止した状況を想定した「現場のアナログ復旧力」の重要性はむしろ高まっています。
ランサムウェア攻撃を受けた際、被害を局所化するためにネットワークのLANケーブルを即時に物理遮断できる権限を現場リーダーに与えること、そしてWMSや配車システムが使えない環境下でも、オフラインバックアップから紙のピッキングリストや緊急伝票を出力して重要出荷を維持すること。高度なデジタル化を推進する企業ほど、定期的な「デジタル災害訓練」を通じて現場の手作業手順を検証しておくことが、真のサプライチェーン・レジリエンスを決定づけます。
まとめ：強靭な物流網構築に向け明日から実践すべき3大アクション
2025年の教訓は、物流とデジタルが不可分となった現代において、サイバーリスクへの備えが事業存続そのものを左右することを示しました。物流現場のリーダーおよび経営層が明日から着手すべきアクションは以下の通りです。
- 現場に存在するすべてのIT・IoT資産の棚卸し
物流センターや営業所内に放置された古いPC、管理外のWi-Fi機器、初期パスワードのまま稼働するネットワークカメラなどの「シャドーIT」を洗い出し、不要な通信を遮断した上で「JC-STAR」等の基準に適合した機器への更新を進めてください。 - システム全停止を想定した「紙ベース代替運用」の策定と訓練
基幹システムやWMSが暗号化・遮断された緊急事態を想定し、ネットワークの物理切断手順や、ローカル保存されたデータを用いた紙伝票での重要顧客向け出荷フローをマニュアル化し、現場訓練を実施してください。 - 業界横断の情報共有基盤や最新セキュリティガイドラインへの適合
流通ISAC等の業界動向を注視し、多要素認証（MFA）の導入や端末監視（EDR）の徹底など、取引先や荷主から求められるセキュリティ要件を早期に満たしてサプライチェーン内の信頼性を確保してください。
出典: INTERNET Watch
出典: 内閣官房（国家サイバー統括室の設置経緯）
出典: 衆議院（重要電子計算機に対する不正な行為による被害の防止に関する法律）
出典: 経済産業省（JC-STAR運用開始）
出典: アサヒグループホールディングス株式会社
出典: アスクル株式会社
