朝日集团遭网络攻击，150万客户数据面临泄露风险

勒索软件危机扰乱啤酒供应并暴露个人数据

日本最大啤酒制造商朝日集团控股公司正从一次勒索软件攻击中恢复。此次攻击导致日本全国的数字化运营中断、啤酒厂生产放缓，并造成商店货架上的饮料短缺。事件始于9月29日，当时公司发现其一处数据中心发生异常。数小时内，相关系统便被隔离，但入侵者此前已渗透网络的部分区域、加密数据，并瘫痪了用于接收订单和配送产品的关键服务。此后数日，员工改用笔、纸和传真维持配送，一些商店报告称，随着货运停滞，广受欢迎的啤酒和软饮料库存逐渐减少。

公司现已确认，存储在日本境内所管理系统中的个人数据已经或可能遭到暴露。根据11月下旬公布的初步调查结果，约191.4万人的信息面临风险，其中包括约152.5万名客户。公司表示，约10.7万名现任及前任员工、约16.8万名员工家属，以及约11.4万名外部联系人的信息也可能受到影响。可能暴露的数据包括姓名、性别、出生日期、邮政地址、电子邮箱地址和电话号码。受影响数据中似乎不包含信用卡信息。目前已确认泄露的员工个人信息只有18项，公司正准备通知相关人员。

勒索软件团伙Qilin声称对此次攻击负责，并将朝日列入其泄密网站，宣称窃取了约27 GB的公司文件。朝日的调查尚未确认被盗数据已公开发布，但这起事件迫使公司对日本国内业务采取全面应对措施。随着系统陆续恢复运行，货运正逐步恢复；公司则推迟发布全年财务业绩，以便集中精力恢复运营并强化安全防护。朝日表示，受影响的系统仅限日本境内，其全球品牌，包括意大利佩罗尼啤酒、捷克皮尔森欧克、荷兰格罗尔施啤酒，以及英国富勒啤酒厂，均未发生服务中断。

攻击经过

朝日的内部审查显示，事态迅速升级。日本时间9月29日上午7时左右，员工发现网络中有文件遭到加密，随即隔离了受影响的数据中心。之后的取证工作表明，最初的入侵很可能始于朝日另一处设施中遭到入侵的设备；在隔离措施实施前，攻击者得以在网络内部横向移动。随后，攻击者在多台服务器和联网设备上部署勒索软件，导致订单录入、配送以及客户支持系统中断，而这些系统是公司日常运营所依赖的基础。

双重勒索为何让局势更严峻

现代勒索软件攻击往往会在加密数据前先窃取数据，这种手法称为“双重勒索”。攻击者先窃取敏感文件，再加密数据或系统以拖慢运营，最后威胁称如果受害方不支付赎金，就公开被盗内容。在本案中，Qilin称其窃取了约9300个文件。朝日表示，目前尚未发现可确认数据已公开泄露的证据，但仅凭这一威胁，就足以迫使受害者在恢复系统和调查入侵的同时，权衡业务连续性、隐私风险与声誉损害。

Qilin是谁，为何制造业面临风险

Qilin是一种勒索软件即服务业务。它并非单一的庞大团伙，而是运营一个向附属攻击者提供恶意软件和基础设施的平台。这些附属攻击者负责入侵目标，并分享所得收益。安全研究人员自Qilin于2022年出现以来，已追踪到数百起该团伙声称实施的攻击。今年的报道显示，Qilin是全球最活跃的勒索软件团伙之一，制造业是其重点攻击的行业。该团伙的工具既针对企业信息技术环境，也会在条件允许时攻击工业系统。Qilin的代码库包含Rust和C语言组件，可部署在Windows、Linux和VMware ESXi系统上。威胁情报还显示，Qilin要求其附属攻击者避开包括俄罗斯和白俄罗斯在内的某些国家。

勒索软件运营者偏好那些难以掩饰服务中断的公司，制造商正属于这一类。生产线、批次排程、包装和物流都与运行在数据中心及云端的业务系统紧密集成。如果这些数字系统瘫痪，生产就会受到影响，即使工厂车间里的可编程逻辑控制器完好无损也无济于事。追踪制造业网络攻击的分析人士估计，大型企业每停摆一天，损失可能接近200万美元。在亚太地区，自2024年以来，报告的勒索软件活动大幅增加，制造商是受影响最严重的机构之一。

哪些信息可能面临风险

朝日表示，截至目前，唯一确认遭到暴露的是公司笔记本电脑中的18项员工信息。不过，综合现有证据，调查认为服务器上规模大得多的一批个人数据可能已被攻击者访问。受影响群体包括联系过客服的客户、现任和前任员工、员工家属，以及收到过祝贺信息的外部业务联系人。公司强调，受影响数据中不包括支付卡信息。调查仍在进行，受影响人员将收到直接通知。

根据朝日发布的公告，可能暴露的个人数据类型包括：

• 全名及联系信息（地址、电子邮箱、电话）
• 性别和出生日期
• 员工、前员工及家属与公司的关系信息
• 外部合作伙伴和联系人的业务联系信息

曾与朝日客服沟通的人士面临的直接风险是遭遇定向网络钓鱼。攻击者可能利用真实姓名和联系信息编写具有迷惑性的消息。这类消息往往冒充订单确认、退款通知或配送通知，诱使收件人回复或点击链接。收件人应警惕未经请求的联络，不要打开附件，也不要在通过电子邮件链接访问的网站上输入登录凭证。

沉浸式网络安全公司（Immersive）网络安全高级经理凯文·马里奥特表示，数据被盗使恢复工作更加复杂，因为客户信任的恢复与运营恢复的进度并不同步，这给负责恢复系统的团队带来了压力。他补充说，恢复到完全稳定状态可能需要数月。朝日尚未公布最终恢复日期。

客户数据被盗给朝日团队带来了额外压力，而且运营可能要到2月才能完全恢复。

数字系统中断为何让啤酒供应停摆

啤酒厂依赖一张将企业系统与生产车间连接起来的系统网络。订单管理、原材料规划、批次配方、包装排程、仓储和物流都由软件协调。如果企业网络遭到加密或被迫下线，这套协调机制就会停摆。即使储罐和装瓶设备在物理上完好无损，缺乏订单可见性和排程也可能使生产线停止运转。朝日日本国内业务就出现了这种情况。公司表示，不得不手工处理订单，并将电话和传真作为应急手段。

研究工业领域安全事件的安全团队强调，攻击者往往从企业网络入手，随后转向支持工厂运营的设备，例如处理文件共享、身份验证、排程或远程访问的服务器。如果缺乏网络分段和强身份验证，业务某一部分遭到入侵，就可能波及不同地点。朝日事件表明，数字系统中断可在数小时内使全国配送网络陷入停顿。日本多家零售商报告称，朝日超爽啤酒库存减少，便利店也提醒顾客做好配送延迟的准备。公司已在多家工厂恢复生产，并随着系统陆续上线而逐步增加发货量。

朝日集团总裁兼首席执行官胜木敦志在公开致歉中，向客户、合作伙伴和员工表达歉意；当时公司正努力恢复正常服务。

对于近期系统中断给各方带来的不便，我谨致以诚挚歉意。我们正竭尽全力尽快恢复系统，同时采取替代措施，确保继续向客户供应产品。

应对与恢复

朝日成立了应急响应机制，聘请外部专家，并制定为期数月的计划，以控制入侵、恢复系统运行并加强防御。公司表示，将全面提升基础安全能力，包括加强网络通信管控、升级监控、采用新备份方案以缩短恢复时间、加强员工培训、强化治理，以及定期接受外部审计。货运正分阶段恢复，各团队继续检查系统完整性，并重建围堵期间下线的部分网络。公司还推迟发布全年财务业绩，以优先处理应急响应和恢复工作。

安全领域负责人表示，此案凸显了加强企业IT与工业系统交界处防护的必要性。Avanade全球安全实践技术负责人杰森·雷维尔表示，企业采用零信任方法，持续验证所有访问权限，便能缩小安全事件的影响范围。

朝日遭遇的网络攻击凸显了运营技术和信息技术覆盖网络中的风险日益上升，也说明零信任原则对每个组织都至关重要。

日本面临更广泛的勒索软件浪潮

勒索软件正在给日本及整个亚太地区的机构带来压力。日本警察厅报告称，自2024年以来，勒索软件案件数量屡创新高；对日本企业的调查显示，系统停摆往往持续一周以上，有些持续时间更长，并造成高昂的恢复成本。日本多家大型企业近期也遭遇事件，包括光学和出版行业企业，被迫停业数周并蒙受重大损失。

立法机构和政府部门已采取行动加强防御。旨在减少针对关键行业持续攻击所造成损害的新型主动网络防御框架已于2025年部分立法。预防和应对工作的直接重担仍落在私营企业身上。行业专家警告，攻击者在网络中横向移动并加密系统的速度越来越快，留给发现和遏制攻击的时间不断缩短。这一趋势从最初入侵到部署勒索软件之间的时间间隔越来越短便可见一斑。

国际信息系统审计协会（ISACA）首席全球战略官克里斯·迪米特里亚迪斯警告说，近期攻击的速度和精准度让组织几乎没有应对余地，除非定期演练并持续投入。

发现并阻止攻击的时间窗口正在缩短，犯罪分子的行动速度越来越快。组织需要将主动网络安全防范和培训作为核心业务优先事项，定期开展事件响应演练，并建立共同承担数字安全责任的文化。

企业现在可以采取哪些措施

啤酒厂、食品生产商以及其他依赖复杂物流体系的制造商，可以通过解决勒索软件团伙利用的薄弱环节来降低风险。朝日事件后，负责人审视安全状况时应重点考虑以下措施：

• 梳理企业IT与工厂系统之间的连接关系，然后对网络进行分段，限制攻击者横向移动。对远程访问和管理员账户强制启用多因素身份验证。
• 加强身份管理系统防护，删除未使用的账户。监控异常登录，并要求使用强密码和抗网络钓鱼的第二重身份验证。
• 优先为面向互联网的设备、远程访问网关和目录服务安装安全补丁。持续监控IT和运营环境中的漏洞。
• 建立可靠且定期测试的备份，并将其与日常网络访问隔离。确保能够快速恢复关键业务系统和工厂支持服务。
• 在服务器和工作站上部署端点检测与响应工具，并确保警报能够送达可全天候分流处理并采取行动的团队。
• 与高管、法务、运营和传播团队共同制定并演练事件响应计划。桌面推演和实战演练可减少真实事件发生时的混乱。
• 加强供应商风险管理。审查对托管服务提供商和关键供应商的安全要求，并要求其及时通报安全事件。
• 盘点运营技术及其支持系统。移除不必要的连接，减少远程访问途径，并通过变更管理流程验证调整。

受影响人士应采取哪些措施

调查仍在进行期间，曾与朝日有过联系的个人可以采取一些实际措施，降低遭遇诈骗和身份滥用的风险：

• 谨慎对待索要个人信息的陌生电话、短信或电子邮件。不要点击链接，也不要打开未知发件人发送的附件。
• 谨慎对待提及近期订单或配送的任何消息。请通过公司官网或使用可信电话号码联系客户服务，直接核实信息。
• 更改所有使用你联系朝日时所用电子邮箱地址的账户密码，尤其是重复使用过的密码。可用时请启用多因素身份验证。
• 留意银行和银行卡账单中的异常交易。虽然朝日表示支付卡数据未遭暴露，但犯罪分子仍可能利用相关信息实施诈骗。
• 未来数月留意邮箱和电子邮件，查看是否出现定向网络钓鱼迹象。攻击者经常重复利用遭泄露的联系人名单。
• 如果认为个人数据可能已遭暴露，可考虑注册身份保护或信用监控服务。

要点

• 朝日于9月29日发现勒索软件攻击，导致日本境内的订单处理、货运和客户支持受到干扰。
• 约191.4万人的个人数据可能遭到暴露，其中包括约152.5万名客户。受影响数据中似乎不包含信用卡信息。
• Qilin声称对此次攻击负责，并称从朝日窃取了约27 GB数据。公司尚未确认被盗信息已公开泄露。
• 员工被迫改为手动处理业务，生产和配送受到阻碍。日本商店报告出现缺货，不过货运现已逐步恢复。
• 朝日将此次中断的影响限制在日本国内系统。该集团旗下国际品牌均未报告服务中断。
• 公司正通过加强网络管控、启用新的备份方案、提升监控能力、开展培训和接受外部审计来强化防御。
• 专家警告，勒索软件团伙会瞄准制造商，因为停产代价高昂且难以掩饰；快速发现攻击并实施网络分段至关重要。
• 日本正面临更广泛的勒索软件浪潮，当局已采取措施加强国家防御，同时敦促企业改善预防能力和事件应对准备。