ニチレイに不正アクセス、冷凍食品の出荷停止が示す教訓

【更新 2026-08-26】本記事を見直し、公表から約1か月半の続報を反映して修正しました。主な修正点：①第2報（2026年7月15日）でサイバー攻撃を受けたことが確認され、第6報（2026年8月14日）で従業員の個人情報について漏えいのおそれが公表された点を追記、②業務は2026年7月24日に全拠点で通常稼働へ復旧した点を追記、③攻撃者を名乗るグループによる犯行主張とデータ公開の報道を（当事者の公表と区別したうえで）追記、④IPA「中小企業の情報セキュリティ対策ガイドライン」のリンクをガイドライン本体のURLへ差し替え。

ニチレイは2026年7月13日、国内で不正アクセスによるシステム障害が発生したと公表しました。影響はニチレイロジグループ各社の冷蔵倉庫の入出庫業務と、ニチレイフーズの冷凍食品の出荷業務に及びました。第1報の時点では「個人情報や顧客データが社外へ流出した事実は確認されていない」としていましたが、その後の続報で状況は動きました。業務は2026年7月24日に全拠点で通常稼働へ戻り（第5報）、2026年8月14日の第6報では従業員の個人情報について漏えいのおそれがあることが公表されています（経過は後述の「その後の経過」を参照）。

情報漏えいの有無以前に、「モノが出荷できない」形で被害が表面化した点が、この件の要注意ポイントです。自社が同じ状況に置かれたとき何が止まるのか、を考える材料として整理します。

この記事でわかること
何が起きたのか
1. その後の経過（2026-08-26 時点）
2. まだ分かっていないこと
なぜ不正アクセスで「出荷」が止まるのか
情シス目線の課題：漏えいより先に「業務停止」が効く
情シスはどうすべきか
中長期の視点
まとめ
関連記事
出典

この記事でわかること

ニチレイの公式発表で判明している事実と、まだ分かっていないこと
なぜ不正アクセスが「出荷停止」という物理的な被害につながるのか
業務停止型インシデントに対して情シスが平時に確認しておくべき観点

何が起きたのか

ニチレイの公式リリース（第1報・2026年7月13日）にもとづく、発生直後の事実関係は次のとおりです。憶測を交えず、公表された範囲だけを記載します。その後の経過は次の表にまとめました。

項目	内容
公表日	2026年7月13日
事象	不正アクセスによるシステム障害
影響範囲（地域）	日本国内に限定
影響を受けた業務	ニチレイロジグループ各社の冷蔵倉庫の入出庫業務／ニチレイフーズの冷凍食品の出荷業務
情報流出	個人情報・顧客データの社外流出は「確認されていない」（調査継続中）
復旧見通し	未定（「改めてお知らせする」）

その後の経過（2026-08-26 時点）

第1報のあと、ニチレイは第6報まで続報を公表しています。公表された事実のみを時系列で整理します。

日付	公表内容（ニチレイの発表）
2026年7月15日（第2報）	調査の結果「当社のサーバがサイバー攻撃を受けたことを確認」。被害を受けたサーバの一部に個人情報が保管されていたため、個人情報保護委員会へ漏えいの可能性がある事案として報告。7月17日より順次業務を開始する予定と公表。
2026年7月17日（第3報）	受注を一部制限しながら冷蔵倉庫・食品工場を部分稼働で再開。「来週中を目指し全拠点での通常稼働に向けた準備を進めている」。
2026年7月22日（第4報）	警察・外部のセキュリティ専門会社と連携して調査継続。攻撃の詳細は「情報開示を差し控え」。個人情報の対象者へ別途通知を実施。
2026年7月24日（第5報）	受発注制限を解除し、入出庫業務・冷凍食品出荷業務が全拠点で平常時の通常稼働に移行（発生から11日）。
2026年8月14日（第6報）	国内グループ会社が扱う従業員の氏名・生年月日・会社メールアドレス・従業員番号、その他人事・労務管理に関する情報について漏えいのおそれを確認。不正利用の事実は現時点で確認されていないとしつつ、調査を継続。7月13日にシステムをネットワークから遮断し、現在も強化を継続中と説明。

また報道ベースでは、2026年7月22日までにランサムウェア集団「RansomHouse」がダークウェブ上のリークサイトで犯行を主張し、8月10日ごろには窃取したとするデータを公開したと伝えられています。ただしこれは攻撃者側の主張であり、ニチレイは攻撃手法や攻撃主体を公式には明らかにしていません。社内説明では両者を混ぜないことが重要です。

まだ分かっていないこと

ニチレイは第2報でサイバー攻撃を受けたことを確認したと公表しましたが、侵入経路・攻撃手法は、2026年8月26日時点でも公表されていません（第4報で「情報開示を差し控える」と明言）。業務停止という症状はランサムウェア被害でよく見られ、攻撃者を名乗るグループも犯行を主張していますが、ニチレイ自身がランサムウェアの使用を認めた事実はありません。「ランサムウェアだったらしい」といった前提で社内に説明すると、後で訂正が必要になります。当事者の公表と、攻撃者の主張・報道は分けて扱うのが安全です。

また「流出は確認されていない」は「流出していない」と同義ではありません。調査の初期段階では確認できていないだけ、というケースは珍しくなく、続報で評価が変わることもあります。実際にこの件でも、第1報の「流出した事実は確認されていない」から、第6報（8月14日）の「従業員情報について漏えいのおそれを確認」へと評価が変わりました。第一報だけを根拠に「漏えいはなかった」と社内へ伝えないことです。

なぜ不正アクセスで「出荷」が止まるのか

答えを先に言えば、現代の物流は倉庫管理システム（WMS）や受発注システムに全面的に依存しており、システムが使えない＝在庫の所在も出荷指示も分からない状態になるからです。

冷蔵倉庫の入出庫では、どのパレットがどこにあり、どのロットをいつ出すかがシステム上で管理されています。ここが止まると、庫内に在庫は物理的に存在するのに、正しく取り出して正しい相手に送る作業ができません。紙とExcelでの代替運用は、扱う品目数とロット管理の厳密さを考えると現実的とは言えず、できても処理量は大幅に落ちます。

食品ではさらに、賞味期限や温度帯の管理、トレーサビリティ（追跡可能性）の要求が重なります。「動かせないから止める」という判断が、安全側の選択として正しい局面すらあるわけです。この構造は食品に限らず、製造・卸・小売の物流全般に共通します。

情シス目線の課題：漏えいより先に「業務停止」が効く

セキュリティインシデントというと個人情報漏えいを真っ先に思い浮かべますが、近年、企業に最初に突き刺さるのは業務が止まることそのものです。当サイトで扱った企業のセキュリティ被害実態調査でも、ランサム被害の影響は情報の流出だけでなく事業停止として現れています。

そして業務停止の怖いところは、被害が自社の中で完結しない点です。出荷が止まれば、卸・小売・外食など川下の取引先の棚が空きます。自社にとっての「システム障害」が、取引先にとっては「調達できない」という事業リスクになる。これは委託先・取引先を経由したリスクの裏返しの構図で、自社が「他社に迷惑をかける側」にもなり得るということです。

情シスとして正直なところを書けば、ここは非常にやりにくい領域です。倉庫のWMSや生産系のシステムは、多くの企業で情シスの完全な管轄下にありません。現場部門が導入し、ベンダーが保守し、24時間動いているから停止させてのパッチ適用も渋られる。「そこにリスクがあるのは分かっているが、手が入れられない」という状態を抱えたまま日々が過ぎていく——そういう現場は珍しくないはずです。今回の件は、その放置してきた領域が事業の生命線だったことを、外から突きつけてくる事例になっています。

情シスはどうすべきか

個別の対策項目を並べるより、まずは公的機関がまとめた指針にあたるのが確実です。目的別に使い分けてください。

IPA「ランサムウェア対策特設ページ」…… 侵入経路の塞ぎ方からバックアップ・復旧までを一通り整理。攻撃手法が未確定でも、業務停止型被害への備えとして共通して効きます。
IPA「セキュリティインシデント対応机上演習教材」…… 今回のように「復旧見通しが立たない中で、取引先にどう説明し、どこまで手作業で回すか」を平時に演習しておくための教材。経営層・事業部門を巻き込む口実としても使えます。
IPA「中小企業の情報セキュリティ対策ガイドライン」…… グループ会社・取引先の水準を底上げしたいときに、共通の物差しとして提示できます。

そのうえで、自社に引きつけて確認したいのは次の3点です。

止まると事業が止まるシステムを名指しできるか。基幹系だけでなく、WMS・生産管理・受発注のように現場に閉じたシステムまで含めて棚卸しできているか。
そのシステムが止まったときの代替運用が「決まっているか」。誰が判断し、どこまで手作業で回し、いつ取引先に連絡するのか。復旧時期が未定のまま数日続く前提で考えられているか。
バックアップは攻撃者から隔離されているか。本番と同じ認証基盤・同じネットワークにあるバックアップは、侵入されれば一緒に暗号化・削除されます。ラテラルムーブメント（横展開）を前提に、隔離とリストア訓練まで含めて確認すべき点です。

加えて地味ですが効くのが、現場のユーザ教育です。侵入の入口は依然としてフィッシングや認証情報の窃取が中心で、ここを細らせるだけでも発生確率は下がります。IPAの「対策のしおり」のような既製の啓発資料を活用し、情シスが資料作成に消耗しない形で継続するのが現実的です。

中長期の視点

攻撃者から見れば、止まると社会的インパクトが大きい業種ほど、交渉上有利です。食品・物流・医療のように「止められない」事業は、それだけで狙う価値があるということになります。今後、自社が「止まると困る側」に該当するなら、防御を固めるだけでなく、止まった状態でどれだけ持ちこたえられるか（復旧力）を経営指標として持つ必要があります。

なお、検知の遅れと公表対応は多くの事例で共通の課題です。ニチレイは検知から同日中に公表しており、この初動の速さ自体は評価できる部分でしょう。取引先が対応を判断するための時間を稼げるからです。

まとめ

ニチレイは2026年7月13日に不正アクセスによるシステム障害を公表し、7月15日にサイバー攻撃であることを確認。冷蔵倉庫の入出庫と冷凍食品の出荷が止まり、7月24日に全拠点で通常稼働へ復旧しました。8月14日には従業員情報の漏えいのおそれが公表されています。一方で攻撃手法・侵入経路はニチレイからは未公表で、ランサムウェア集団の犯行主張は攻撃者側の主張にとどまります。
被害はまず業務停止として表面化し、個人情報の漏えいのおそれが公表されたのは約1か月後でした。WMSなど現場に閉じたシステムが事業の生命線になっている企業は多く、情シスの管轄外だからと放置してきた領域が最大のリスクになり得ます。
備えの軸は「止まると困るシステムの棚卸し」「復旧未定を前提とした代替運用と取引先連絡の手順」「攻撃者から隔離されたバックアップ」の3点。まずはIPAのランサムウェア対策特設ページと机上演習教材を起点にしてください。