アスクルCEOが語る、ランサムウェア被害下での意思決定と逆境から進化への転換 – AWS Summit Japan 2026

ランサムウェア被害からの復旧を支えた3つの判断軸

アスクル株式会社（以下、アスクル）がランサムウェア攻撃を受け、サービスが停止したのは2025年10月のことでした。同社は事業所向けeコマース「ASKUL」と個人向けeコマース「LOHACO」を展開し、法人・個人双方の顧客基盤を持ちます。同社社長の吉岡氏は、自身が「どのような判断軸を持って、どんな意思決定をしたか、何を学んだのかをお話ししたい」と前置きして、講演をスタートしました。

ランサムウェア攻撃では、クラウドに移行していた業務基幹システムなどは無事だったものの、オンプレミスで構築された物流システム、社内システムに加え、一部のSaaS（問い合わせ管理システム）が侵害され、全物流センターがストップする事態になりました。完全復旧までは約3か月半を要し、多くの個人情報の流出にもつながったことに「私をはじめ、経営としてのリスク認識が足りなかった、これに尽きると思っている。大変多くの方にご迷惑をおかけした」と、吉岡氏は謝罪の言葉を述べました。

当時、吉岡氏は3つの判断軸で動いていたと説明します。1つ目が「被害の拡大防止」です。「ASKUL」は法人がメイン顧客であるため、「お客様の事業を止めてはならない、ましてや我々が起因となってお客様のシステムに影響を及ぼすなんてことがあってはならない」との思いがあったといいます。2つ目が「安全かつ安心な再開」です。サービスを再開した後、顧客に不安視されないよう、安全・安心には徹底的にこだわったといいます。そして3つ目の軸が「一刻も早いサービス再開」です。

クラウド移行・システム再構築は短期間で完了、物流拠点は長期化

この3つの判断軸を持って、いつ、何を判断したかを示したのが以下の図です。

最初の判断は権限委譲でした。攻撃が明らかになった2025年10月19日の14時、自身を本部長とする対策本部を設置。その下にIT復旧部会と事業継続部会を立ち上げ、それぞれに責任者を任命しました。吉岡氏は最終的なGOサインを出す役割に徹し、それ以外は現場に権限を委譲したのです。スピードを優先するにはこれが一番だと考えたと吉岡氏はいいます。

同時に、サービスを停止させる判断も下しました。これは売り上げがゼロになるのを覚悟したうえでのことでした。また、当日のうちに攻撃手法がランサムウェアであると確認できたため、プレスリリースでは「ランサムウェア攻撃を受けた」と明記。その後も判明した事実をありのままに適宜発信するなど、透明性の高い情報開示を行うと肝に命じて対応を進めたといいます。

「復旧の過程では、攻撃者とは当然接触しなかった。反社会的勢力に資金提供をしないという倫理観もあったうえ、（やりとりによっては）再攻撃を受けるおそれもあり、また、お客様が安全・安心に使えるのかを考えても、接触すべきではないと判断した」（吉岡氏）

そして攻撃発覚から4日目、被害範囲が特定できた時点で、侵害されたシステムを自力でゼロから再構築することを前提に、物流システムのアマゾン ウェブ サービス（AWS）への移行を決定しました。

結果として同社では、AWSへの移行を1週間、AIを駆使したシステムを2週間で再構築しました。この復旧を従来の手法かつオンプレミスで進めていたとしたら、計半年はかかっていただろうと吉岡氏は推測します。

一方で、全国10か所の物流拠点を復旧させるには、108日かかりました。「ここに我々としての大きな学びがあった」と吉岡氏はいいます。その要因は物理的な問題でした。同社の拠点には、PC、サーバがあわせて7,000台以上あり、開設時期によってバージョンやOSが拠点ごとに違っていたのです。

「現場のPC、サーバの除染やアップデートを１台ずつやっていかねばならなかった。しかしながら（インシデント前の）リスク評価では、そこまで考えが及んでいなかった。ランサムウェア対策に限らず、詳細な仕様管理を行い、継続的に更新することが今後のBCPには不可欠だと身をもって知らされた」（吉岡氏）

「逆境を進化に変える」ため、AI-DLCを採用

攻撃発生から2週間後、吉岡氏は全社朝礼で、復旧にあたっては「逆境を進化に変えよう」というスローガンを発信しました。

「復旧は『戻る』だけ。私たちは事業をゼロリセットされたが、裏を返せばゼロから理想形を新たにつくれるチャンスだった」（吉岡氏）

システムの再構築には、AIに開発プロセスの中心的な役割を与えるアプローチである「AI-DLC（AI駆動開発ライフサイクル：AI Driven Development Life Cycle）」を採用し、AI統合開発環境としてKiroを活用することを決めました。つまり、人は仮説立案と判断に特化し、開発は主にAIが実行する方法をとることにしたのです。

一般的なプロダクト開発のプロセスでは、方針の決定後に、課題発見、解決策の設計、価値提供といったプロセスが直線的に進められます。各工程間では人によるレビューや修正が発生し、その分、時間がかかりますが、AI-DLCのアプローチでは、これらのプロセスをAI主体で進めることで、短時間かつ並列で処理でき、意思決定やプロダクト修正のサイクルを高速で回せます。

吉岡氏はAIが仮説の検証結果を高速で提示してくるため、判断を下すまでの時間が劇的に短くなったことを体感したといいます。

AI-DLCでECサイトの商品掲載スピードが2倍に

復旧作業と並行して、ビジネスの理想形をつくるための業務改革にもAI-DLCのアプローチが利用されました。その導入は「メルマガ作成や広告制作など、定例作業でありクイックに改善できるところ」から始まりました。特に、ビジネスメンバー、エンジニアが一堂に会し、小さな事例を高速にブラッシュアップする場を設けたことが、AI-DLCの効果を体感するうえでメリットがあったと、吉岡氏は語ります。

その後、AI-DLCを用いて本格的にチャレンジしたのが「品揃えスピードの超速化」でした。ECサイトには新商品だけでなく、その折々の天候や気温などの条件にあわせて、すばやく多彩な商品を掲載していかなければなりません。商品をECサイトに掲載するための、いわば「品揃えスピード」を上げるためには、商品担当者の存在が重要です。商品担当者は社内部門や仕入れ先などの窓口を務めつつ、様々なツールを駆使して商品管理、課題管理、データ分析を行っていますが、年々、業務が複雑化し、担当者の暗黙知に依存しがちで、対応スピードも低下しているという課題がありました。この業務プロセスやツールをつくりなおすことにしたのです。

「担当者が社内外の関係者や各種ツールのハブになるのではなく、各ツールやデータを一元化し、それら自体が連携するようなシステムを、AI-DLCを用いてフルスクラッチでつくってしまえばいいと考えた」（吉岡氏）

自分たちに使いやすいツールをスピーディに作成し、それらを連携させていくという発想のもとに実施された業務改革により、品揃えスピードは2倍になったといいます。また、ツール開発そのものも12か月から6か月と、従来の半分の期間で行えたと吉岡氏は語ります。

ここでも重要なのは、ビジネスメンバーとエンジニアが、同じ画面を見ながらAIと壁打ちをして、その場で生成されたプロダクトに対してフィードバックを行い、一緒に即断即決していくことです。これによって開発の時間短縮が図れるうえ、各自が持つノウハウや暗黙知をAIに学ばせることができます。また、こうした工程を経ることで、AIだけでなく、エンジニアがビジネス理解を深められるという効果もありました。この手法をとったことで、現場の社員からは「成長実感があった」との声も寄せられているといいます。

ナフサ危機対応も迅速化、政府のシンナー直接供給にも貢献

AI-DLCのアプローチを利用した事例としてもう1つ、ナフサ危機への迅速な対応があげられました。2026年3月に発生したホルムズ海峡の封鎖を受けて、同社では欠品しそうな商品、顧客からのニーズ、確保すべき量などをAIでシミュレートしました。

需要分析や世界情勢の予測などを行い、供給元との商談用資料を作成する作業は、人が行えば約2週間かかるものでした。ところが、指示を受けたマーケティング担当者からはわずか3時間で資料が上がってきたといい、吉岡氏は「まず10日はかかるだろうと思っていたため、びっくりした」と振り返ります。生成AIとの「会話」を行うだけで、資料作成までがすべて完了したのです。

こうした迅速さが認められ、アスクルは厚生労働省の備蓄していた医療用グローブの放出や、政府によるシンナーの直接供給にも携わることになりました ¹。

アスクル流、AI-DLC成功の4つのポイント

吉岡氏はこうした取組みの中で学んだ「AI-DLCを成功させるためのポイント」を、4つあげました。

吉岡氏は「AI-DLCは企業理念を果たしていくための『かつてない強力な相棒』だと思っている」と、このアプローチ方法を高く評価して、講演を結びました。

（文：渡邊智則）