2026年8月5日
2026年7月13日、ニチレイグループで不正アクセスによるシステム障害が発生しました。
影響を受けたのは、ニチレイロジグループ各社の冷蔵倉庫における入出庫業務と、ニチレイフーズの冷凍食品出荷業務です。
ニチレイは、顧客や取引先の個人情報、顧客データなどの保護を優先し、グループで使用するシステムを遮断。緊急対策本部を設置し、外部のセキュリティ専門会社とともに調査と復旧を進めました。7月17日から一部業務を再開し、7月24日には受発注制限を解除して、全拠点で通常稼働に移行したと発表しています。
「システムを遮断する」という判断は、被害の拡大を防ぐために必要な措置です。
しかし、システムを止めれば、受注、出荷、物流、請求などの業務も止まります。
今回の事案が示したのは、サイバーセキュリティが情報システム部門だけの問題ではなく、経営そのもの、さらに事業継続に関わる問題だということです。
ハッカー集団による犯行声明
このシステム障害をめぐっては、その後、「RansomHouse（ランサムハウス）」を名乗る攻撃集団が、ダークウェブ上のリークサイトに犯行声明を掲載したと、毎日新聞やITmediaなど複数の報道機関が報じました。
報道によると、同集団はニチレイの内部データを窃取したと主張し、「証拠」と称するデータの一部を示したうえで、機密情報の公開を防ぎたければ連絡するよう求めていたとされています。
ただし、ここで注意しなければならない点があります。
犯行声明が出たことと、その声明の内容がすべて事実であることは同じではありません。
ニチレイは、サーバーがサイバー攻撃を受けたことは公式に認めています。一方で、RansomHouseが実際の攻撃主体なのか、どのようなデータが持ち出されたのか、情報が実際に外部へ流出したのかについては、2026年7月31日時点の公式発表では明らかにされていません。
同社は外部のセキュリティ専門会社と調査を続け、警察および関係機関と連携して対応していると説明しています。
つまり、現時点で確認できる事実は、
「ニチレイのサーバーがサイバー攻撃を受けたこと」
「システム障害によって物流や出荷業務が停止したこと」
「RansomHouseを名乗る集団が犯行声明を出したこと」
までです。
攻撃者側が主張する情報窃取の内容と規模については、まだ検証中の事項として扱わなければなりません。
「漏えいしていない」と「確認されていない」は違う
ニチレイは、被害を受けたサーバーの一部に個人情報が保管されていたことから、個人情報保護委員会に、漏えいの可能性がある事案として報告しました。
その後、対象者への通知も行っています。
ただし、これも「個人情報の漏えいが確定した」という意味ではありません。
反対に、「漏えいが確認されていない」という発表だけをもって、「絶対に漏えいしていない」と判断することもできません。
サイバー攻撃では、侵入経路、外部への通信記録、持ち出された可能性のあるデータ、攻撃者が提示した資料などを照合しなければ、被害の全容を確定できない場合があります。
企業の広報でも、
- 現時点で確認できている事実
- 漏えいの可能性がある事項
- 確認できていない事項
- 今後調査する事項
を分けて説明する必要があります。
攻撃者側の主張をそのまま事実として扱うのも危険ですが、虚偽だと決めつけて無視するのも危険です。
重要なのは、どちらかの説明を信じることではなく、客観的な記録によって検証することです。
セキュリティは「侵入を防ぐこと」だけではない
企業のサイバーセキュリティ対策というと、ウイルス対策ソフト、ファイアウォール、多要素認証など、侵入を防止する仕組みが中心に語られます。
もちろん、予防対策は重要です。
しかし、攻撃を完全に防ぐことは困難です。
だからこそ企業には、侵入や異常を前提とした準備も求められます。
異常をどれだけ早く発見できるか。
誰がシステムの遮断を判断するのか。
停止した業務をどのように代替するのか。
警察、取引先、顧客、関係当局へ、誰がどの時点で連絡するのか。
さらに、復旧を進めながら、原因究明に必要な証拠をどのように残すのか。
経済産業省の「サイバーセキュリティ経営ガイドライン」も、サイバーセキュリティを経営者が主導して対応すべき経営課題と位置付けています。また、自社だけではなく、委託先や取引先を含むサプライチェーン全体での対策を求めています。
復旧を急ぐあまり、証拠を消してはならない
システム障害が発生すれば、現場は一刻も早い復旧を求めます。
しかし、慌てて端末を初期化したり、サーバーを再構築したり、バックアップを上書きしたりすれば、侵入経路や被害範囲を確認するための痕跡が失われる可能性があります。
保存すべきものとしては、端末やサーバーだけでなく、アクセスログ、通信記録、メール、社内チャット、操作履歴、入退室記録などが考えられます。
専門知識がないまま独自に調査を進めると、攻撃の痕跡を消してしまうおそれもあります。IPAも、インシデント発生時の証拠保全ルールを定め、有事に相談できる外部のセキュリティ専門組織を確保しておくことが有用だとしています。
復旧と証拠保全は、どちらか一方を選ぶものではありません。
被害拡大を止める。業務を再開する。そして、後から原因と経過を説明できる記録を残す。
この三つを同時に進める体制が必要です。
調査事務所が確認するのは「人と組織の動き」
サーバーの解析、マルウェアの分析、侵入経路の特定などは、デジタルフォレンジックやセキュリティの専門会社が担う領域です。
調査事務所が、その技術調査を代替するわけではありません。
一方で、企業内部では、技術的な解析だけでは分からない問題も生じます。
誰が最初に異常を認識したのか。
その情報は、いつ、誰に報告されたのか。
報告を受けた責任者は、どのような指示を出したのか。
警告や不審な事象を以前から認識していた者はいなかったか。
社員、退職者、委託先などに不要なアクセス権限が残っていなかったか。
障害発生後、記録やデータを削除、変更した者はいなかったか。
規程上の報告経路と、実際の対応に違いはなかったか。
調査事務所は、関係者への事情聴取、業務記録の確認、報告経路の整理、委託関係の確認などを行い、出来事を時系列に並べます。
ここで重要なのは、最初から誰かを犯人と決めつけないことです。
「いつ、どこで、誰が、何を認識し、どのように行動したのか」
それを一つずつ確認し、客観的な記録と照合することで、システム上の問題だけでは見えない組織上の課題が浮かび上がります。
人の記憶も、時間とともに失われる
証拠保全というと、パソコンやサーバーのデータを思い浮かべます。
しかし、関係者の記憶も重要な証拠です。
異常を発見した社員が何を見たのか。
誰に報告したのか。
どのような指示を受けたのか。
時間がたつほど記憶は曖昧になり、関係者同士で話し合ううちに、他人の記憶と自分の記憶が混ざることもあります。
事故発生後は、関係者を一堂に集めて経過を確認するだけでなく、必要に応じて個別に事情を聴き取り、それぞれの認識を記録しておくべきです。
メールやログに残っていない、口頭での報告や現場判断が、後の原因究明で重要になることがあります。
委託先は「社外だから安全」ではない
現在の企業システムは、自社だけで完結していません。
クラウドサービス、システム保守会社、物流会社、決済会社、コールセンターなど、多くの外部事業者と接続されています。
自社のセキュリティ対策が強固でも、委託先や再委託先の管理が不十分であれば、そこから被害が広がる可能性があります。
ただし、これは今回のニチレイへの侵入経路が委託先だったという意味ではありません。ニチレイは、攻撃の原因や侵入経路を公表していません。
ここで述べているのは、企業一般が確認すべき問題です。
秘密保持契約を締結するだけでは十分ではありません。
委託先がどの情報にアクセスできるのか。
再委託は認められているのか。
退職者や担当変更者のアカウントは削除されているのか。
事故が発生した場合、何時間以内に報告する契約になっているのか。
証拠保全や原因調査への協力義務が定められているのか。
契約書の内容と、実際の運用が一致しているかを定期的に確認する必要があります。
社内調査にも守るべき一線がある
サイバー攻撃が発生したからといって、会社が社員の私物端末や個人アカウントを自由に確認できるわけではありません。
調査目的、必要性、対象範囲を明確にし、就業規則、情報管理規程、個人情報保護、通信の秘密、プライバシーなどに配慮する必要があります。
「調べることができる」ことと、「調べてよい」ことは別です。
必要以上に調査範囲を広げれば、別の法的問題や労務問題を招く可能性があります。
技術調査、社内調査、法務判断を分離せず、弁護士、セキュリティ専門会社、調査会社などが、それぞれの専門領域を確認しながら進めることが重要です。
企業が今、確認すべき七つの事項
今回の事案を自社に置き換えるなら、少なくとも次の事項は確認しておくべきでしょう。
一つ目は、障害発生時の最高責任者と指揮命令系統が決まっているか。
二つ目は、警察、個人情報保護委員会、顧客、取引先などへの報告基準と担当者が決まっているか。
三つ目は、端末、ログ、メールなどの証拠を保全する手順があるか。
四つ目は、基幹システムを使用できない場合でも、受注、出荷、請求などを継続する代替手段があるか。
五つ目は、社員、退職者、委託先のアカウントとアクセス権限を定期的に棚卸ししているか。
六つ目は、委託契約に、事故発生時の即時報告、証拠保全、調査協力、再委託先管理の条項があるか。
七つ目は、休日や深夜の発生を想定した訓練を実際に行っているか。
規程を作るだけでは不十分です。
責任者が不在でも判断できるか。
担当者の連絡先は最新か。
バックアップは攻撃を受けたネットワークから切り離されているか。
紙や電話を使った代替業務を、本当に動かせるか。
一度でも実際に訓練すれば、規程を読んでいるだけでは見えなかった問題が出てくるはずです。
問題発生後に問われる企業の姿勢
サイバー攻撃の被害に遭ったことだけを理由に、企業を一方的に非難することはできません。
攻撃者は企業規模や業種を問わず、侵入可能な組織を探しています。警察庁も、ランサムウェアが分業・サービス化され、必ずしも高度な技術を持たない者でも攻撃に参加できる状況を指摘しています。
問われるのは、異常を把握した後、企業がどのように行動したかです。
確認できていない情報を断定しなかったか。
反対に、都合の悪い可能性を無視しなかったか。
顧客や取引先への説明を後回しにしなかったか。
原因を一人の社員や委託先だけに押し付けなかったか。
必要な記録を残し、後から対応経過を説明できる状態にしたか。
個人データの漏えい、または漏えいのおそれがあり、個人の権利利益を害する可能性がある場合には、個人情報保護委員会への報告や本人への通知が必要となることがあります。
企業の危機管理能力は、平常時に整えた規程の厚さではなく、問題発生時の判断と行動に表れます。
セキュリティとは、コンピューターだけを守ることではありません。
顧客や取引先の情報を守る。
業務を止めない。
従業員を混乱させない。
取引先への影響を最小限に抑える。
そして、後から何が起きたのかを説明できる証拠を残す。
ニチレイの事案は、システム停止が、そのまま企業活動やサプライチェーンの停止につながる現実を改めて示しました。
「自社は狙われないだろう」と考えるのではなく、攻撃を受けた場合、自社は何時間で異常を把握し、誰が判断し、何を守り、どのように業務を続けるのか。
企業がいま確認すべきなのは、そこではないでしょうか。
主な出典
- 株式会社ニチレイ「当社グループでのシステム障害発生について」第1報～第5報。
- 毎日新聞「ニチレイのサイバー攻撃被害 ハッカー集団『ランサムハウス』が声明」。
- ITmedia NEWS「ニチレイへの攻撃、ランサム集団『RansomHouse』が犯行声明」。
- 経済産業省「サイバーセキュリティ経営ガイドライン」。
- IPA「インシデント発生時の緊急対応体制の整備」「従業員の初動対応の規定」。
- 警察庁「ランサムウェア被害防止対策」。
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」。
※本稿は、2026年8月1日時点で公表されている情報を基に作成しています。攻撃主体、侵入経路、情報窃取・漏えいの有無および被害の全容について、ニチレイから公表されていない事項は断定していません。