勒索軟體危機衝擊啤酒供應並暴露個人資料
日本最大啤酒製造商朝日集團控股（Asahi Group Holdings）正從勒索軟體攻擊中復原。這起攻擊導致日本全國的數位營運停擺、啤酒廠生產減緩，並造成商店貨架上的飲料短缺。事件始於9月29日，當時公司偵測到一處資料中心發生異常。數小時內，相關系統便遭隔離，但入侵者早已在部分網路中移動、加密資料，並停用接單與出貨所需的關鍵服務。為了讓配送持續進行，員工有好幾天改用紙筆和傳真處理業務；出貨停滯期間，也有部分商店通報熱門啤酒與軟性飲料庫存逐漸見底。
目錄
公司如今已確認，在日本管理的系統所存個人資料已遭或可能遭到暴露。根據11月下旬公布的初步調查結果，約191.4萬人的資料可能面臨風險，其中包括約152.5萬名顧客。公司表示，約10.7萬名現職及離職員工、約16.8萬名員工家屬，以及約11.4萬名外部聯絡對象也可能受到影響。可能暴露的資料包括姓名、性別、出生日期、郵寄地址、電子郵件地址和電話號碼。遭入侵的資料中似乎不含信用卡資訊。目前已確定外洩的員工個人資料僅有18筆，公司正準備通知受影響者。
勒索軟體組織 Qilin 已聲稱犯案，並將朝日列在其洩漏網站上，宣稱竊取了約27 GB的公司檔案。朝日的調查尚未確認遭竊資料已公開，但這起事件已迫使公司全面應對日本國內營運受到的衝擊。系統陸續恢復上線，出貨也逐步回升；公司並延後公布全年財報，以專注於系統復原和強化安全措施。朝日表示，受影響的僅限日本境內系統；包括 Peroni、Pilsner Urquell、Grolsch，以及英國 Fuller’s Brewery 在內的全球品牌均未發生服務中斷。
攻擊如何展開
朝日內部檢視結果顯示，事件迅速升級。日本時間9月29日上午7時左右，員工在網路中發現遭加密的檔案，並隔離受影響的資料中心。後續鑑識作業顯示，最初的入侵可能始於朝日另一處據點的設備遭到入侵，讓攻擊者得以在隔離措施實施前進入網路內部活動。接著，攻擊者將勒索軟體散布至多台伺服器與連網設備，干擾公司日常營運所依賴的接單、配送及客戶支援系統。
雙重勒索為何讓風險升高
現代勒索軟體攻擊通常會在加密前竊取資料，這種手法稱為「雙重勒索」。攻擊者先竊取敏感檔案，再加密資料或系統、阻礙營運，最後威脅若未支付贖金，就公開竊得的內容。這起事件中，Qilin 表示竊取了約9,300個檔案。朝日表示，目前尚未發現可確認資料已遭公開散布的證據，但光是這項威脅，就足以迫使受害者在系統復原與調查入侵事件的同時，權衡營運持續、隱私風險和聲譽損害。
Qilin 是什麼組織，製造業為何面臨風險
Qilin 是一個勒索軟體即服務（RaaS）組織。它並非單一的大型犯罪集團，而是提供惡意軟體與基礎設施平台，再由合作成員入侵目標並分配所得。資安研究人員自 Qilin 於2022年出現以來，已追蹤到數百起該組織聲稱犯下的攻擊。今年的報導指出，Qilin 是全球最活躍的勒索軟體犯罪團體之一，製造業則是最受威脅的產業之一。該組織的工具可攻擊企業資訊科技環境，也能在可連線的情況下攻擊工業系統。Qilin 的程式碼包含 Rust 和 C 語言元件，可部署於 Windows、Linux 和 VMware ESXi 系統。威脅情資也顯示，Qilin 指示合作成員避開包括俄羅斯和白俄羅斯在內的特定國家目標。
勒索軟體攻擊者偏好那些難以掩蓋服務中斷的公司，製造業正屬於這類目標。生產線、批次排程、包裝和物流都與資料中心及雲端中的商業系統緊密整合。若這些數位系統遭加密或下線，即使工廠現場的可程式邏輯控制器（PLC）未受影響，生產仍會受到衝擊。追蹤製造業網路攻擊的分析師估計，大型企業停擺每天可能損失近200萬美元。亞太地區通報的勒索軟體活動自2024年以來大幅增加，製造業是受影響最嚴重的產業之一。
哪些資訊可能面臨風險
朝日表示，目前確認暴露的資料僅涉及公司筆電中的18筆員工資訊。不過，根據現有證據，調查認為伺服器中規模大得多的個人資料也可能已遭攻擊者存取。受影響類別包括曾聯絡客服的人士、現職及離職員工、員工家屬，以及曾收到祝賀訊息的外部商業聯絡對象。公司強調，遭入侵的資料中不含支付卡資料。調查仍在進行，受影響者將收到直接通知。
根據朝日發布的公告，可能暴露的個人資料類型包括：
- 姓名及聯絡資料（地址、電子郵件、電話）
- 性別和出生日期
- 員工、離職員工及其家屬與公司的關係資料
- 外部合作夥伴及聯絡對象的商務聯絡資訊
曾與朝日客服聯繫的人士，眼前較直接的風險是遭遇鎖定式網路釣魚。攻擊者可能利用真實姓名和聯絡資料，撰寫看似可信的訊息。這類訊息常假冒訂單確認、退款或配送通知，誘使收件者回覆或點擊連結。民眾應留意未經要求寄來的訊息，避免開啟附件，或透過電子郵件連結前往網站輸入帳密。
Immersive 資安部門資深經理 Kevin Marriott 表示，資料遭竊讓復原工作更加複雜，因為重建顧客信任和恢復營運的時程並不同步，為負責復原系統的團隊帶來壓力。他補充，恢復全面穩定可能需要數月。朝日尚未公布最終復原日期。
顧客資料遭竊，為朝日團隊帶來額外壓力；此外，營運也可能要到2月才能全面恢復。
數位系統停擺為何讓啤酒供應中斷
啤酒廠仰賴一張連結企業營運與生產現場的系統網絡。訂單管理、原料規劃、批次配方、包裝排程、倉儲和物流，全都由軟體協調。一旦企業網路遭加密或下線，協調作業便會停擺。即使儲槽和裝瓶機等設備完好無損，缺乏訂單資訊和排程也可能讓產線停下來。朝日日本國內營運就發生了這種情況，公司表示必須改用人工處理訂單，並以電話和傳真作為備援方式。
研究工業資安事件的團隊指出，攻擊者常從企業網路入侵，再轉向支援工廠運作的設備，例如處理檔案共享、身分驗證、排程或遠端存取的伺服器。若缺乏網路分段和強效驗證，企業某一處遭入侵就可能擴大影響至不同據點。朝日事件顯示，數位系統中斷能在數小時內讓全國性的配送網路停擺。日本多家零售商通報朝日 Super Dry 庫存逐漸見底，便利商店也提醒顧客，商品可能延遲到貨。公司已在數座工廠恢復生產，並隨系統陸續上線增加出貨量。
朝日集團總裁兼執行長勝木敦志在公開致歉聲明中，向顧客、合作夥伴及員工說明公司正努力恢復正常服務。
對於近期系統中斷為利害關係人帶來的不便，我謹致上誠摯歉意。我們正全力以最快速度恢復系統，同時採取替代措施，確保持續供應產品給顧客。
應對與復原
朝日已成立緊急應變架構、聘請外部專家，並制定為期數月的計畫，以遏止入侵、恢復系統上線並強化防禦。公司表示，正全面提升基礎資安防護，包括加強網路通訊管制、升級監控、採用新備份設計以縮短復原時間、加強員工訓練、強化治理，並定期接受外部稽核。出貨正分階段恢復，團隊持續檢查系統完整性，並重建圍堵期間下線的部分網路。公司也延後公布全年財報，以優先處理事件應對與復原工作。
資安主管表示，此案凸顯強化企業資訊科技與工業系統交界處防護的重要性。Avanade 全球資安實務技術主管 Jason Revill 表示，企業採用零信任模式、持續驗證所有存取行為，便能縮小資安事件的影響範圍。
朝日遭網攻凸顯營運科技與資訊科技涵蓋網路中日益升高的風險，也說明零信任原則對所有組織都至關重要。
日本面臨更大規模的勒索軟體浪潮
勒索軟體正對日本及更廣泛的亞太地區組織造成壓力。日本警察廳通報，自2024年以來勒索軟體案件數創下新高；日本企業調查顯示，停擺通常會持續超過一週，有些甚至更久，復原成本也十分高昂。日本大型企業近期發生的事件，包括光學產業和出版業，都導致數週停工並造成重大損失。
日本立法者與政府機關已採取行動強化防禦。新的主動式網路防禦框架於2025年部分生效，目標是降低針對關鍵產業持續發動的攻擊所造成的損害。企業仍須直接承擔預防與應對的重責。產業專家警告，攻擊者在網路中移動及加密系統的速度愈來愈快，讓偵測和圍堵的時間縮短。從初步入侵到部署勒索軟體之間的時間愈來愈短，正是這項趨勢的明顯跡象。
ISACA 首席全球策略長 Chris Dimitriadis 警告，近期攻擊的速度與精準度，使組織幾乎沒有反應餘裕，除非定期演練並投入資源。
偵測並阻止攻擊的時間窗口正在縮小，犯罪手法也愈來愈快。組織應將主動式資安防護和訓練列為核心業務優先事項，定期進行事件應變演練，並建立共同承擔數位責任的文化。
企業現在可以採取的行動
仰賴複雜物流的啤酒商、食品製造商及其他製造業者，可針對勒索軟體犯罪團體利用的防護弱點採取措施，以降低風險。朝日事件後，企業主管檢視資安狀況時，以下幾項措施特別值得注意：
- 盤點企業資訊科技與工廠系統之間的連線，再透過網路分段限制攻擊者橫向移動。遠端存取及管理員權限應強制採用多因素驗證。
- 強化身分驗證系統並移除未使用的帳號。監控異常登入行為，要求使用強密碼及具抗網路釣魚能力的第二因素驗證。
- 優先修補面向網際網路的設備、遠端存取閘道和目錄服務。持續監控資訊科技與營運環境中的漏洞。
- 建立可靠且定期測試的備份，並與日常網路存取隔離。確保能迅速還原關鍵商業系統和工廠支援服務。
- 在伺服器和工作站部署端點偵測與回應工具，並確保警示會傳送給能全天候分類處理並採取行動的團隊。
- 與高階主管、法務、營運和公關團隊共同制定並演練事件應變計畫。桌上推演和實地演練能讓真實事件發生時的應對更有條理。
- 加強供應商風險管理。檢視對受管理服務供應商和關鍵廠商的資安要求，並要求對方及時通報資安事件。
- 盤點營運科技及支援系統。移除不必要的連線、減少遠端存取管道，並透過變更管控制度驗證所有變更。
受影響人士可以採取的行動
調查仍在進行期間，曾與朝日互動的人士可以採取幾項實際措施，降低遭遇詐騙和身分盜用的風險：
- 謹慎看待要求提供個人資料的陌生來電、簡訊或電子郵件。不要點擊連結，也不要開啟不明寄件者的附件。
- 小心處理任何提及近期訂單或配送的訊息。請透過公司網站，或撥打可信的電話號碼聯絡客服核實。
- 如果其他帳號使用與聯絡朝日時相同的電子郵件地址，請更改這些帳號的密碼，尤其是曾重複使用密碼的情況。可使用的服務都應啟用多因素驗證。
- 留意銀行和信用卡帳單是否有異常交易。朝日表示支付卡資料未遭暴露，但犯罪分子仍可能利用相關資訊進行詐騙。
- 未來數月留意信箱和電子郵件是否出現鎖定式網路釣魚。攻擊者常會重複利用遭外洩的聯絡人名單。
- 若認為個人資料可能已遭暴露，可考慮申辦身分保護或信用監控服務。
重點整理
- 朝日於9月29日偵測到勒索軟體攻擊，導致日本各地的接單、出貨和客戶支援服務受到干擾。
- 約191.4萬人的個人資料可能遭暴露，其中包括約152.5萬名顧客。資料中似乎不含信用卡資訊。
- Qilin 聲稱犯案，並表示從朝日竊取約27 GB資料。公司尚未確認遭竊資訊已公開外洩。
- 員工改以人工處理業務，生產和配送因此受阻。日本商店通報商品短缺，但出貨目前已逐步恢復。
- 朝日表示，受影響的僅限日本國內系統。集團旗下國際品牌均未通報服務中斷。
- 公司正透過加強網路管制、採用新備份、強化監控與訓練，以及接受外部稽核來提升防禦能力。
- 專家警告，勒索軟體犯罪團體鎖定製造業，是因為停擺成本高昂且難以掩蓋；快速偵測和網路分段至關重要。
- 日本正面臨更大規模的勒索軟體攻勢，政府已採取措施強化國家防禦，也呼籲企業改善預防措施和事件應變準備。
