サイバー攻撃からの反転攻勢を、関通社長自ら語る

2025年6月20日 (金)

>> この記事を印刷する（PDF）

サービス・商品創業者の書籍出版と聞くと、立身出世の成功譚（たん）と思われがちだ。しかし、今回出版される関通の達城久裕社長の著書は違う。

「サイバー攻撃その瞬間　社長の決定　被害企業のリアルストーリー」と題したこの本には、2024年に同社を襲ったサイバー攻撃のてん末が、事件発覚から対応まで時系列でまとめられており、まさに「被害企業」の戸惑いや苦悩など、本来なら公にする必要のない部分まで、赤裸々に語られているのである。

サイバー攻撃発覚からの混乱、突然訪れた企業最大のピンチ

「寝耳に水、何をしたらいいのかわからないというのが、当初の正直な反応」と達城氏は振り返る。さらなる事業成長へ向けた準備を進めるなかで、それはまさに青天の霹靂（へきれき）だったという。

本誌の第一報で当時の状況を確認してみる。

▲『サイバー攻撃その瞬間社長の決定』

「開通は（9月）13日、同社においてサイバー攻撃によるものと思われるシステム障害が発生したと発表した。9月12日18時ごろから、同社サーバーで障害を検知し、確認したところ一部サーバーでランサムウェアウィルスの感染を確認した。同社サーバーが第三者による不正アクセスを受けたことを確認し、さらなる攻撃予防のため取引先と外部とのネットワークを遮断した。今回のサイバー攻撃は、悪意をもった外部からの攻撃として、ネットワーク遮断後、緊急対策本部を立ち上げ、関係官庁と警察関係者には報告や相談を行っている。また、侵害調査と緊急対策のために、外部のセキュリティー専門家を起用し、本件被害の全容解明と復旧、再発防止に向けて取り組んでいる」（24年9月17付 LOGISTICS TODAYより）

3連休を前にした夕方の出来事である。EC（電子商取引）・通販事業向けの物流支援サービスと、自社開発WMS（倉庫管理システム）「クラウドトーマス」販売を事業の中核とする同社の、すべての通信が途絶え、社内システムが完全に停止したのだから、事象発生当初の混乱や、どこから手をつけていいのかわからないとの狼狽（ろうばい）も想像できる。1983年の創業から、2000年ごろにはまだマイナーだったEC物流の先駆者として東証マザーズ上場へとけん引してきた達城氏でさえ、この事態は想定していなかったという事実にこそ、いつ誰が被害を受けてもおかしくないサイバー攻撃のリアリティーを感じることができる。

時系列で記録された、被害当事者ならではのリアリティーあふれる決断

本書では、サイバー攻撃の発覚から次々と難題が連鎖し、時系列でその対応に追われる様子が企業トップ目線で語られる。

サイバー攻撃の発覚から、達城氏がすぐさま反撃のために次々と決断するくだりは、さながら企業ドラマのようでもある。パニックから、すぐに態勢を立て直し、事態の把握に努めたこと。事件発生直後に「出荷業務の完全停止」を即断したこと。さらに、これまでのシステム、サーバー、社員が使用するパソコンもすべて廃棄、新規に入れ替えることとしたスピーディーな対応の経緯も本書には記録されている。確立したシステムを放棄し、一から新たに組み上げることは勇気のいる決定だったはずだが、「空き巣に入られた家にそのまま住むこと、家財道具をそのまま使うことなどできない」（達城氏）という言葉には納得させられる。既存のデータセンターにあるサーバーをすべて放棄し、社内通信インフラも新たに構築することで、被害拡大、2次攻撃の可能性を完全に遮断したことが、同社にとっての「反撃の狼煙」となった模様が記されている。

本書では、サイバー攻撃対策チームとの協議を経て「犯人の要求には応じない」ことなど矢継ぎ早に方針を策定し、社員それぞれのやるべきことを明確にするなど、達城氏がこだわるリーダーの条件「決断の速さ」で難局にあたった詳細が克明に描かれている。また、達城氏自ら「全国の拠点をまわり、社員の不安を取り除いた」ことなど、社内の混乱収拾のために奔走したことも、非常事態のあるべきリーダー像として参考となる。絶望ではなく希望を礎にすることから、会社最大の危機を乗り越えようとしたリーダーシップは、まさに企業ドラマを超えた興味深いドキュメンタリーとして読者を惹きつける。サイバー攻撃へのリアルな対応の経緯は、被害の当事者だからこそ書き残せた、貴重な資料としても価値がある。

事件から得た数々の教訓、そしてピンチからの反転攻勢へ

被害範囲の確認、自動化していた出荷業務のアナログ対応、顧客への説明、対応にあたる従業員の過重労働、請求データが消えた経理業務、警察、監督官庁や金融機関への報告や情報公開など、立て続けに降りかかる難題にどのように対峙したか、まさに時間との戦いであったことも描写され、当事者だからこそのリアリティーに溢れる。

なかでも本書で興味深いのは、損害保険会社、法律事務所、セキュリティー会社との協議に関する記述である。同社はサイバー攻撃対策の保険に加入していた。しかし、達城氏は賠償の有無や保険の適用範囲など資金繰りにも関わる協議や調整が、もっともストレスとなる作業だったと述懐している。また、こうした事態において当然頼りにすべきパートナーであるセキュリティー会社も、インシデント対応に直面しないとその実力を確認できないことも、当事者ならではの知見として触れており、いざというときに頼れる企業とそうでない企業の見分け方もまとめている。

今回の経験では、大きな損失や賠償金の支払いなど手痛い授業料を払わされた。一方、数々の教訓を得て会社を強くするためにやるべきことも明らかになったという。本書では、まず初動が肝心として、何を、誰に、どのタイミングで行うべきかも示唆する。状況把握や、顧客説明の際の重要点、さらに適切な社内報告まで同社の経験からアドバイスする。専門のセキュリティー対策チームの設置や、メール取り扱いの基本ルールの再徹底など普段の備え、非常事態に対応する社員や役員への労務上の配慮など、見落としがちな要点も本書から気づきを得る部分が多いのではないだろうか。

そして何よりも「サイバー攻撃を完全に防ぐことはできない」という認識で、経営課題としてセキュリティー対策に取り組む体制作りが必要だと達城氏は指摘し、特に「サイバー攻撃に備える保険への加入は必須」（達城氏）であると訴える。

今回の教訓から達城氏は、サイバー攻撃対策コミュニティー「CYBER GOVERNANCE LAB」を立ち上げた。これは、関通とサイバーセキュリティー専門の協力会社がタッグを組み、企業のサイバーセキュリティー・ガバナンス強化のために必要な知識、ツール、戦略を提供する会員制のプログラムである。サイバー攻撃にどう備えるか、リスクの管理は、組織全体のサイバーレジリエンス（復元力）をどう確保するかなど、リアルな体験から導き出された対策を促す。本書の出版による、「私たちにとってもう二度としたくない体験。もちろん、ほかの企業にもこんな体験はしてほしくない」（達城氏）との切実な呼びかけに、耳を傾ける企業トップは多いだろう。

リーダーの決断力と、それを支える強い企業作りに学ぶ

リーダーの決断力が、その後の企業の命運を左右しかねない。攻撃発生後、時間を追うごとに新たな課題が浮き彫りになり、どんな決断を下し、どんなメッセージを発信したのか、経営リーダーの一挙手一投足をここまでさらけ出したのも、次の被害者の教訓としてもらうためだ。関通では、このサイバー攻撃による個人情報漏えいなどがなかったことを確認しているが、対応を1つ間違えればより大きな被害へと拡大したかもしれない。事態が発生してからの対応では遅いことや、決断の遅さ、発信力の弱さが致命傷となり得ることなど、次に生かせる貴重な経験を得ることができたことも事実である。これを機に関通は、サイバー攻撃対策コミュニティー設置のほかにも、サイバー攻撃に強いセキュリティーシステム、分散型バックアップシステムなどを取り入れた新たなWMS「イージス」を開発した。ピンチをチャンスに変え、さらに強い企業としての成長を目指す同社の底力を痛感させられる。

達城氏は、協力してくれた取引先や、今回の対応を機にむしろ信頼関係を深めることができた企業への感謝を忘れないと語る。さらに、復旧作業に奔走したIT部門、信頼回復に努めた営業部門、不慣れなアナログ作業で出荷を再開した現場社員など、「それぞれの能力と奮闘があったからこそ」と語り、経営トップ自身が社員・役員一人一人の努力と能力を知り、ねぎらいの気持ちを持っているからこそ、信頼できるリーダーとして、最大の危機克服をけん引することができたのだ。

本書のリアリティーに、背筋が寒くなる企業トップも多いはず。達城氏は今回の経験を経て「怖がりになった」と表現し、リスク予知の感性を磨くことの重要性を説く。サイバー攻撃は、他人事ではなく、どんな企業にも起こり得る危機であると認識すること、そのための備えは本当に十分かを確認できるリーダーが一人でも増えれば、まさに達城氏がこの本を出版した意味があるといえる。