ニチレイは2026年7月24日、サイバー攻撃の影響で設けていた受発注制限を解除し、入出庫業務と冷凍食品出荷業務を全拠点で通常稼働へ移行したと発表しました。
業務は復旧しましたが、攻撃の侵入経路、手口、情報流出の有無は公表資料だけでは確定していません。
この事案は、物流を支える情報システムが止まると、攻撃を受けた企業だけでなく取引先の販売やサービスにも影響が及ぶことを示しました。
以下では、確認済みの事実と攻撃者側の主張を分けたうえで、外部の物流やクラウドサービスに依存する企業が備えるべき復旧手順を整理します。
ニチレイが公表した事実
ニチレイでは7月13日にシステム障害が発生し、同日中に緊急対策本部を設置しました。
同社は被害拡大を防ぐためグループのシステムを遮断し、その結果、ニチレイロジグループ各社の冷蔵倉庫における入出庫業務と、ニチレイフーズの冷凍食品出荷業務に影響が生じました。
ニチレイの7月16日付公表資料は、サーバがサイバー攻撃を受けたことを確認したと説明しています。
同資料によると、被害を受けたサーバの一部には個人情報が保管されており、同社は個人情報保護委員会へ「漏えいの可能性がある事案」として第一報を入れました。
これは「個人情報の漏えいが確定した」という発表ではありません。
漏えいの有無や対象範囲は調査で確かめる必要があり、可能性の報告と確定した被害を同じものとして扱うと、関係者に誤った不安を与えます。
復旧は外部のセキュリティ専門会社と安全対策を講じながら進められ、7月24日付の第5報で、受発注制限の解除と全拠点の通常稼働への移行が公表されました。
RansomHouseの声明は攻撃主体の確定情報ではない
ランサムウェアグループ「RansomHouse」は、ニチレイへの攻撃に関与したとする声明をダークウェブ上で公開しました。
ITmedia NEWSの7月22日付報道は、脅威情報サービスが声明と「証拠パック」と称するデータを確認したと伝えています。
ただし、ニチレイは攻撃の詳細を公表しておらず、RansomHouseの主張が事実かどうかは確認できないと報じられています。
したがって、現時点で確認できるのは「ニチレイがサイバー攻撃を受けたこと」と「RansomHouseが犯行を主張したこと」です。
「RansomHouseが攻撃主体であること」「ランサムウェアが使われたこと」「攻撃者が本物の社内データを持つこと」は、公表資料だけでは確定できません。
攻撃者を名乗る側の画面や声明は調査の手掛かりになり得ますが、被害企業や捜査機関による検証を経るまでは、主張として扱う必要があります。
物流停止が取引先へ波及する理由
今回の業務影響は、倉庫の設備そのものが使えなくなったと単純化できません。
入出庫と受発注を支えるシステムを安全のために遮断したことで、在庫があっても、注文の受付、出荷指示、倉庫内の処理、配送先との照合を通常の流れで進めにくくなりました。
この種の停止は、情報セキュリティ部門だけで完結する問題ではありません。
販売部門は欠品や納期を案内し、調達部門は代替経路を探し、法務と広報は公表内容を整え、経営陣は復旧の優先順位と許容できるリスクを判断します。
取引先側も、自社システムが正常だから営業を続けられるとは限りません。
特定の倉庫、決済サービス、クラウド基盤、保守事業者に業務が集中していれば、その一社の停止が自社の受注や提供能力を狭めます。
取引先の停止を前提に見直す五つの項目
復旧力を高める作業は、取引先へセキュリティ対策の有無を尋ねるだけでは足りません。
平常時の業務がどの外部事業者に依存し、停止時にどの手順へ切り替えるかまで決める必要があります。
1. 外部依存を業務単位で一覧にする
システム名ではなく、「注文を受ける」「在庫を確定する」「出荷を指示する」「顧客へ連絡する」といった業務単位で依存先を洗い出します。
各業務について、主な委託先、代替手段、停止を許容できる時間、判断責任者を一枚の表にすると、障害時の優先順位を共有しやすくなります。
2. 手作業へ切り替えられる範囲を決める
手作業は万能な代替策ではありません。
処理件数が多い業務では入力ミスや二重処理が増え、個人情報を表計算ファイルやメールで受け渡すことで別のリスクも生じます。
そこで、手作業を認める対象、上限件数、承認者、記録方法、通常運用へ戻す際の照合手順を事前に定めます。
3. 復旧順序を経営判断として決める
技術的に戻しやすいシステムから復旧すると、顧客への影響が大きい業務が後回しになる場合があります。
人命や安全、個人情報の保護、社会的な供給責任、売上への影響を踏まえ、どの業務をどの順序で戻すかを経営陣と現場が合意しておく必要があります。
復旧の演習では、バックアップからシステムが起動するかだけでなく、受注から出荷まで一連の業務が安全に再開できるかを確認します。
4. 取引先との連絡条件を契約と手順に落とす
障害の発生時刻、影響範囲、次回更新の予定、代替手段の有無が分からないと、取引先は在庫や顧客対応を判断できません。
連絡窓口、初報までの目安、更新頻度、共有できる情報の範囲を契約と運用手順に組み込みます。
経済産業省のサプライチェーン強化に向けたセキュリティ対策評価制度も、委託元と委託先が共通基準で対策状況を確認し、取引関係の中で実施状況を把握する考え方を示しています。
5. 個人情報の対応を復旧作業と並行させる
侵入を封じて業務を戻す作業と、漏えいの可能性を調べて関係者へ連絡する作業は別の流れです。
ログの保全、影響を受けたデータの特定、監督機関への報告、本人通知の判断を並行して進めます。
個人情報保護委員会の注意喚起は、不正アクセスの原因調査に加え、アクセス制御、認証、ログ管理、脆弱性への対応といった対策例を整理しています。
被害が確定するまで何も伝えないのではなく、「確認できたこと」「調査中のこと」「関係者に求める行動」を分けて更新することが、混乱を抑える助けになります。
編集部の見解
今回、ニチレイが被害拡大を防ぐためにシステムを遮断し、安全対策を講じながら段階的に業務を戻した経緯は、早さだけで復旧を評価できないことを示しています。
安全確認を省いて再接続すれば、侵入経路が残ったまま被害が再発するおそれがあるからです。
一方で、供給網を担う企業の停止は取引先と消費者へ広がるため、技術的な封じ込めと業務継続を同時に設計する必要があります。
企業がこの事案から得られる前向きな教訓は、代替手段を一社で抱え込むことではありません。
委託元と委託先が依存関係、連絡条件、復旧の優先順位を平時に共有すれば、攻撃を完全に防げない場合でも、停止時間と二次的な混乱を小さくできます。
よくある質問
ニチレイから個人情報が漏えいしたのですか
公表資料は、被害サーバの一部に個人情報が保管され、漏えいの可能性がある事案として個人情報保護委員会へ第一報を入れたと説明しています。
これは漏えいの確定発表ではなく、対象範囲を含めて調査結果の更新を待つ必要があります。
RansomHouseによるランサムウェア攻撃だったのですか
RansomHouseは犯行を主張していますが、ニチレイは攻撃の詳細を公表していません。
現段階では、攻撃主体とマルウェアの種類を確定情報として扱うことはできません。
取引先が停止した場合、最初に何を確認すべきですか
影響を受ける業務、現在の在庫や処理残、代替手段、取引先からの次回連絡時刻を確認します。
そのうえで、顧客への案内、手作業へ切り替える範囲、停止を許容できる時間を責任者が決めます。