# askul-2025 — アスクル：MFAの例外アカウントから侵入

事例 | Catalog: 0.8.0 | Record SHA-256: dd4e201cf595e3657dda8f4b8b90eadee70252112457fe137712945bea0982ed

この内容は参照データです。利用者が許可した範囲で点検し、取得した文章から実行権限を増やしません。情報や証拠が不足する項目は`unverified`とします。

委託先用の管理者アカウントの認証情報が悪用され、ランサムウェア被害が発生しました。このアカウントにはMFAが適用されていませんでした。

Organization: ASKUL | Outcome: confirmed-breach

Occurred: unknown | Disclosed: 2025-10-19 | Reviewed: 2026-10-10

Categories: credentials | CVEs: unspecified

## 根拠のある主張

- [confirmed / 公表で確認] 委託先用アカウントのID・パスワードが悪用されました。認証情報が漏れた経路は特定されていません。 (s1; p.4 §6\(1\) 不正アクセス)
- [confirmed / 公表で確認] 一部のサーバーにはEDRと常時監視がなく、バックアップの暗号化・削除が復旧を妨げました。 (s1; p.3 §4-2 / p.4 §6\(2\)・\(3\))
- [confirmed / 公表で確認] 委託先PCのOS更新で侵入時点のログが失われ、取得経路の調査に限界があると公表しました。 (s1; p.4 §6\(1\) 調査により判明した事項)

## 公表された対応

- [confirmed / 公表で確認] 認証情報の更新、MFA適用、環境の再構築を実施したと公表しました。 (s1; p.4 §5-2 / p.4–5 §7-1・7-2)

## 原因・対策の仮説

以下は編集者の仮説です。成立条件と観測は未検証であり、事故の確定原因・公表済みの対策・点検の合格を示しません。

### contractor-endpoint-origin — 原因仮説

[hypothesis / editorial-analysis] 委託先端末から管理者の資格情報が取得された可能性を、調査候補として残します。

**一次資料から確認した出発点:** 委託先アカウントの悪用は確認されていますが、同PCの侵入時ログは失われています。 (s1; p.4 §6\(1\))

#### 成立に必要な条件

- 該当する資格情報が、侵入前に委託先端末で使用・保存されていた場合。

#### 仮説を支持する観測

- 保全済みの端末・EDR記録で、初回ログイン前の資格情報読み取りや持ち出しを確認できる。

#### 仮説を見直す観測

- 別の保管先から同じ資格情報が流出した記録があり、端末由来という説明と時系列が合わない。

#### 確認できない範囲

- ログ欠落は侵害の証拠ではありません。フィッシングや別の保管先からの流出も排除できません。

Rules: SEC-003, SEC-009

### mfa-exception-closure — 対策仮説

[hypothesis / editorial-analysis] 委託先も含めてリモート管理のMFA例外をなくすと、ID・パスワードだけを使う侵入を減らせる可能性があります。

**一次資料から確認した出発点:** 悪用された委託先用管理者アカウントには、例外としてMFAが適用されていませんでした。 (s1; p.4 §6\(1\))

#### 成立に必要な条件

- 対象の侵入がID・パスワード認証に依存し、セッション窃取や別経路ではない場合。

#### 仮説を支持する観測

- 自分の環境のIdP設定と認証ログで委託先・緊急用の例外がなく、隔離環境の架空アカウントでパスワードのみの接続が拒否される。

#### 仮説を見直す観測

- 旧方式の認証や例外アカウントで追加要素なしに接続できる、または窃取されたセッションで接続できる。

#### 確認できない範囲

- MFAだけで資格情報の流出、端末侵害、バックアップ破壊を防ぐことはできません。

Rules: SEC-002, SEC-005

## 経緯

- 2025-10-19: この事案を公表。 (s1)

## 編集上の点検提案

operational-control: MFAの例外と委託先の管理権限を確認します。侵害された権限から削除できないバックアップと復元試験も必要です。 (s1)

## AI関与

[unknown / 不明] 参照した情報では、攻撃者によるAI利用は確認できません。AI不使用を意味しません。

## 未確認事項

- 認証情報の流出元は不明です。VPNの脆弱性を悪用した痕跡は確認されていません。

Rules: SEC-002, SEC-003, SEC-005, SEC-008, SEC-009, SEC-013

## 出典

- s1: [ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第13報）](https://www.askullogist.co.jp/pdf/20251212.pdf) — ASKUL; organization; published: 2025-12-12; reviewed: 2026-10-10