ニチレイのサイバー攻撃の原因は？侵入経路は非公表・漏えい53,866件とバックアップ復旧報道を一次情報で整理

2026年7月13日、ニチレイのサーバーがサイバー攻撃を受け、システムの遮断によって冷蔵倉庫の入出庫と冷凍食品の出荷が止まりました。業務は7月24日に全拠点で通常稼働へ戻りましたが、9月18日の第7報で個人情報53,866件の漏えいが確認されています。「原因は何だったのか」という問いに対し、公式に分かっているのは「サーバーへのサイバー攻撃」までです。侵入経路も攻撃の種類も公表されていません。本記事は第1報から第7報、8月7日の決算資料を突き合わせ、公表された事実と、報道や推測で語られている内容（RansomHouseの犯行声明、イミュータブルバックアップによる復旧）を分けて示します。そのうえで、同じ被害を避けるための設計を判断基準つきで解説します（2026年10月12日時点）。

まとめ：ニチレイのサイバー攻撃で確定した事実と公表されていない原因

確定しているのは、サーバーがサイバー攻撃を受けたこと、7月17日の部分稼働を経て7月24日に全拠点が通常稼働へ移行したこと、個人情報53,866件の漏えいの3点です。侵入経路・攻撃手法は第7報でも非公表で、ニチレイは「ランサムウェア」という語を一度も使っていません。RansomHouseの関与も、バックアップからの復旧も、報道と攻撃者側の主張にとどまります。業績への影響は、売上高で最大50億円の減少、営業利益8億円の減少、特別損失10億円が見込まれています。

ニチレイのサイバー攻撃の原因：公表された事実と非公表の侵入経路

ニチレイが原因として公表しているのは、第2報（7月15日）の「当社のサーバがサイバー攻撃を受けたことを確認しました」という一文だけです。どこから入られたのか、どんなマルウェアが使われたのかは、第2報で「さらなる被害の拡大を防ぐため」、第4報で「警察および関係機関と連携」していることを理由に開示が差し控えられました。第7報（9月18日）でも、外部専門会社の支援のもとで「原因分析および影響範囲の調査を進める」とあるだけで、原因の特定には触れていません。

「不正アクセス」から「サイバー攻撃」へ表現が変わった経緯

第1報（7月13日）は「不正アクセスによるシステム障害」と書いていました。2日後の第2報で「サイバー攻撃を受けたことを確認」に変わっています。不正アクセスは権限のない侵入が起きたという結果の記述で、サイバー攻撃は外部の第三者が意図的に仕掛けたと組織が判断したことを示します。この表現の変化から確認できるのは、第2報でサーバーへのサイバー攻撃を確認したと公表したことまでで、判断の過程や侵入経路までは分かりません。

VPN・AWS・EDRなど推測で語られる侵入経路の扱い

「ニチレイ vpn」「ニチレイ aws」「ニチレイ edr」といった検索がありますが、第1報から第7報、決算資料のいずれにも、VPN機器・クラウド事業者・EDR製品の名前は出てきません。ITmediaの解説記事も、VPNでつながった先への横展開を一般論として挙げているだけで、ニチレイの侵入経路を示したものではありません。物流の過去事例では、@ITの整理によると、関通がVPN機器の脆弱性を突かれ、名古屋港コンテナターミナルでは多要素認証のない保守用VPNが侵入経路になった可能性が指摘されています。ただ、それをニチレイに当てはめるのは推測です。原因の公表を待つ間は、自社のVPN機器のパッチ適用状況と多要素認証の有無を点検するほうが実益があります。

第1報（7月13日）から第7報（9月18日）までの時系列

ニチレイは同じ件名「当社グループでのシステム障害発生について」で7本の発表を出しています。2026年10月12日時点で第8報は出ていません。

第1報が挙げた影響業務は、ニチレイロジグループ各社の冷蔵倉庫の入出庫と、ニチレイフーズの冷凍食品出荷の2つです。障害の範囲は日本国内に限られるとしています。第2報で、7月13日に「個人情報や顧客データなどの保護を最優先」としてグループのシステムを遮断したこと、個人情報保護委員会へ漏えいの可能性がある事案として報告したことが書かれました。第3報（7月17日）で冷蔵倉庫と食品工場の部分稼働に入り、第5報（7月24日）で受発注制限を解除しています。

個人情報は段階的に明らかになりました。第4報で対象者への別途通知を始め、第6報（8月14日）で国内グループ会社の従業員の氏名・生年月日・会社メールアドレス・従業員番号・人事労務管理情報に漏えいのおそれがあると公表しました。第7報で漏えいを確認し、9月11日に個人情報保護委員会へ報告したと明らかにしています。速報と確報の制度上の流れは個人情報保護委員会への報告義務と速報・確報の実務で整理しています。

第7報で確定した漏えい53,866件の内訳と給与・人事情報が含まれた意味

第7報が示した内訳は次のとおりです（2026年9月18日時点）。1件ごとに全項目が含まれるわけではないと注記されています。

従業員の区分は2021年以降の退職者を含み、項目は氏名・生年月日・性別・住所・電話番号・メールアドレス・従業員番号に加え、給与賞与情報、在留資格、所属・異動等の人事情報にまで及びます。クレジットカード情報は含まれず、二次被害は第7報の時点で確認されていません。同社はニチレイや公的機関・金融機関を装った不審なメール、SMS、電話への注意を呼びかけています。

件数の81%（43,709件）が従業員側で、物流の取引に関わる配送先・取引先の情報より多くを占めます。ただし、被害を受けたサーバーがどの業務のものだったか、人事系データがどこに置かれていたかは公表されていないため、同社の構成に問題があったとまでは言えません。退職者と求職者のデータも対象でしたが、保存期間を過ぎていたかどうかも公表されていません。自社に引き寄せて点検するなら、倉庫や工場を動かすのに要らない人事系データが業務系と同じネットワークから届く場所にないか、保存義務と利用目的を過ぎたデータを削除する運用があるか、の2点です。

RansomHouseの犯行声明とリークサイト掲載の時期

報道によると、ランサムウェア集団RansomHouseが自らのリークサイトにニチレイを掲載し、データ窃取を主張しました。リークサイトを監視するransomware.liveの記録では、掲載を検知した時刻は2026年7月21日14時07分（UTC、日本時間23時07分）、攻撃日の欄は7月13日で、障害発生日と一致します。ただし、これは第三者による収集記録で、リークサイトそのものではありません。ニチレイの第1報から第7報にも、犯行声明への言及や「ランサムウェア」という語は出てきません。攻撃者の主張には誇張や虚偽が混じる可能性があるため、本記事では関与を断定していません。

そのうえで、データ窃取型の攻撃（二重恐喝）の構造は押さえておく価値があります。暗号化型ランサムウェアは「復号鍵と引き換えに身代金」を迫るものでした。二重恐喝はこれに窃取データの暴露予告を重ね、事業停止と情報公開の2方向から交渉を迫ります。Palo Alto NetworksのUnit 42が2025年12月17日に公表したRansomHouseの解析でも、データを持ち出した後に暗号化ツール「Mario」をVMware ESXi上で実行し、仮想マシンのファイルを暗号化する手順が示されています。盗んでから止める、の順番です。同グループの関与が報じられた2025年10月のアスクルの事案では、アスクルが2025年12月12日の第13報で合計約74万件の個人情報の流出を確認したと公表しています。経緯はアスクルのランサムウェア攻撃と流出の経緯で解説しました。バックアップは暗号化による停止からの復旧には効きますが、盗まれたデータの暴露は止められません。

ニチレイはバックアップで復旧できたのか：日経報道とイミュータブル推測の線引き

「ニチレイ バックアップ」「ニチレイ イミュータブル」で検索されている内容には、出どころが2つあります。1つは日本経済新聞の7月22日の記事「サイバー被害のニチレイ、バックアップで早期再開」で、要旨に「同社はバックアップデータからのシステム復旧に成功しており」とあります。もう1つはビジネス+ITの7月26日の記事「なぜ10日でサイバー攻撃から復旧できたのか？」で、書き換えも削除もできないイミュータブルバックアップのスナップショットを定期取得していた、と書いています。ただし同記事自身が「ニチレイは公表していないが」「推測される」と断っています。

公式の7本の発表と決算短信・決算説明会資料に「バックアップ」の語は出てきません。公式が書いているのは「外部のセキュリティ専門会社と安全対策を講じたうえで」7月17日から順次再開した、という手順だけです。ネット上には「ニチレイはイミュータブルバックアップで10日で戻した」と断定する記事もありますが、それは推測が孫引きで事実に変わったものです。

11日後に全拠点が通常稼働へ移行したという事実だけでは、データ復元が必要だったのか、どの復旧手段を使ったのかまでは判断できません。比較として、アスクルは2025年10月の攻撃から全物流センターの再開まで108日かかりました（詳細はアスクルのシステム障害はいつ復旧したか）。バックアップを破壊して復旧を妨げる攻撃もありますが、復旧日数はバックアップの状態だけでなく、侵害範囲の調査、安全確認、システム再構築や復元作業にも左右されます。佐賀大学が4日で業務を再開した例は佐賀大学のランサムウェア被害と戻せるバックアップで扱っています。

冷蔵倉庫の入出庫を止めた「システム全体遮断」と11日間の復旧

IT障害が倉庫の荷物を止めた理由は、封じ込めの手順にあります。攻撃を検知した組織がまず採るのは、横展開（ラテラルムーブメント）を断つためのネットワーク遮断です。ニチレイも発生当日に緊急対策本部を立ち上げ、グループで使うシステムを遮断しました。

冷蔵倉庫の入出庫は、倉庫管理システム（WMS）が出す指示で動きます。どの荷を、どの棚から、どのトラックへ積むか。WMSの指示を前提とする工程では、その停止によって通常の入出庫作業を続けにくくなります。攻撃を止めるための遮断が、そのまま事業の停止になる。第3報は受発注を制限した部分稼働からの再開で、全拠点の通常稼働まで11日でした。

止まったのはニチレイだけではありません。日本ケンタッキー・フライド・チキンは7月22日の通常営業再開のお知らせで、食材配送を委託している物流会社の「不正アクセスに起因するシステム障害」により、商品の一部品切れ、販売メニューの制限、営業時間の短縮が出ていたと説明しています。同社は委託先の社名を書いていませんが、報道ではニチレイロジグループとされています。共通の物流ハブが1か所止まると、その荷主が連鎖して止まる。攻撃者がすべての外食チェーンを狙わなくても、ハブを止めれば下流が揺れるという点で、サプライチェーン攻撃と同じ波及の構造です。守る側は、自社が「他社の単一障害点」になっていないか、逆に自社がどの委託先に依存しているかを把握しておく必要があります。食品大手の事業停止の例はアサヒ サイバー攻撃の時系列まとめにもあります。

ニチレイの業績への影響：売上最大50億円減・特別損失10億円

ニチレイは2026年8月7日の第1四半期決算で、システム障害の影響額を初めて示しました。決算説明会資料（スクリプト付き）の通期計画のページに載っている数字です。なお同社は決算期を3月から12月に変えており、2026年12月期は国内が4〜12月の9か月の変則決算です。

売上の△50億円は「最大」の見込みで、営業利益の通期計画を338億円から300億円へ下げた△38億円のうち8億円がシステム障害によるものと説明されています。持株会社の△2億円は継続的に発生するシステム対応費用で、特別損失10億円は障害発生時の緊急対応のコストと今後見込まれる損失です。一方、決算短信は偶発債務の注記で、将来の影響は「現時点ではその金額を合理的に見積もることが困難」として財務諸表に反映していません。なお、国内の第1四半期は4〜6月で事件前の期間ですが、短信が示した未反映の理由は、将来の影響額を合理的に見積もることが困難なためです。質疑応答では、約10日間の停止について「経営として極めて重く受け止めて」いると答えています。

侵入を前提にした防御設計：分離・戻せるバックアップ・持ち出し対策

境界防御だけで侵入をゼロにする発想は成立しません。二重恐喝型の攻撃では、暗号化による事業停止と窃取データの暴露が同時に来ます。採るべきは「侵入される前提」で、被害範囲・復旧時間・持ち出される情報量を同時に縮める設計です。

フラットなネットワークを前提とした防御対策の着手順

この順番は、基幹・OT・人事系の間に不要な通信経路がある組織を想定した提案です。ニチレイの漏えい件数の割合から、同社の分離状況や保有データの必要性までは判断できません。単一のフラットなネットワークで運用しているなら、ここから始めます。端末とサーバーの挙動監視はEDRで、常時監視の体制はSOCの記事で判断基準を示しています。SOCの自社構築は人員負荷が大きく、中小規模で専任の監視要員を確保できない場合は、MDR（マネージド検知対応）の外部委託を候補にし、監視範囲・対応権限・社内工数を含む総費用で比較してください。冷蔵物流や製造業では、紙の伝票や代替拠点への切り替え訓練で、処理できる物量、必要人員、在庫照合の手順と所要時間を確認してください。ニチレイも第7報で事業継続計画の見直しを進めるとしています。

S3 Object Lockで消せないバックアップを作る設定例

クラウドで改ざんできないバックアップを用意する場合、Amazon S3 Object Lockは保持期間中のオブジェクトバージョンを保護します。同じキーへの新バージョンの追加や削除マーカーの作成は可能なので、復元時には保護されたバージョンを指定します。次はAWS CLIでの設定例です（put-object-lock-configurationのリファレンス）。2026年10月12日に、AWS CLI 1.44.87で通信先を到達しないダミーのエンドポイントに向けて実行し、3つのコマンドがパラメータ検証を通ること（DaysをDayzと誤記すると検証で止まること）を確認しました。実際のバケットには適用していないため、本番の前に検証用アカウントで動作を確かめてください。

# 前提: 東京リージョン。バケット名は自社の一意な名前に置き換える
# 1) Object Lock を有効にしてバケットを作成（バージョニングも自動で有効になる）
aws s3api create-bucket --bucket example-immutable-backup-bucket \
  --region ap-northeast-1 \
  --create-bucket-configuration LocationConstraint=ap-northeast-1 \
  --object-lock-enabled-for-bucket

# 2) 既定の保持期間を設定。まず GOVERNANCE モード・短い日数で動作を確かめる
aws s3api put-object-lock-configuration --bucket example-immutable-backup-bucket \
  --object-lock-configuration '{"ObjectLockEnabled":"Enabled","Rule":{"DefaultRetention":{"Mode":"GOVERNANCE","Days":7}}}'

# 3) 設定を確認する
aws s3api get-object-lock-configuration --bucket example-immutable-backup-bucket

COMPLIANCEモードにすると、保持期間中はルートユーザーでも削除できず、期間も短縮できません。誤って長い日数を指定するとその間の保存料金を払い続けるため、GOVERNANCEモードで検証してから切り替えます。逆にGOVERNANCEモードは、s3:BypassGovernanceRetention権限を持つ主体なら保持中でも削除できます。そこで、バックアップを書き込むIAMロールにはこの権限もロック設定の変更権限も与えず、管理者と分けてください。同じ認証情報で両方を操作できるなら、奪われた時点でロックの意味が薄れます。バックアップを守る設定の別の例は大阪公立大学のランサムウェア被害とバックアップを守る設定で紹介しています。

SOC常時監視・全面的なゼロトラスト導入の見送り条件

取り扱う情報資産が少なく、停止しても社会的影響が限られる小規模システムに、SOCの常時監視や全面的なゼロトラストを一度に入れる必要はありません。投資はリスクの大きさに合わせて段階化します。自社の弱点を客観的に把握したい場合は、脆弱性診断・セキュリティ診断で侵入経路になりうる穴を洗い出すと、投資の優先順位に根拠が付きます。

よくある質問

ニチレイのサイバー攻撃の原因は何ですか？

公式に分かっているのは「サーバーがサイバー攻撃を受けた」ことまでです。7月15日の第2報で確認され、9月18日の第7報でも同じ説明です。侵入経路や攻撃の種類は、被害拡大の防止と警察・関係機関との連携を理由に開示されておらず、外部専門会社による原因分析が続いています。

ランサムウェアによる攻撃だったのですか？

公式発表では未確定です。報道ではランサムウェア集団RansomHouseが犯行を主張したと伝えられましたが、ニチレイの第1報から第7報のいずれにも「ランサムウェア」という語や犯行声明への言及はありません。

ニチレイはイミュータブルバックアップで復旧したのですか？

公式には確認できません。日経は7月22日に「バックアップデータからのシステム復旧に成功」と報じましたが、イミュータブルバックアップという具体的な方式は、ビジネス+ITの記事が「ニチレイは公表していないが」と断ったうえでの推測です。公式の発表と決算資料にバックアップの記述はありません。

個人情報は漏えいしたのですか？

漏えいが確認されています。9月18日の第7報によると、配送先顧客3,308件、取引先の役職員6,849件、従業員（2021年以降の退職者を含む）とその家族・求職者43,709件の計53,866件です。クレジットカード情報は含まれず、二次被害は確認されていません。

ニチレイの物流や冷凍食品の出荷はいつ復旧しましたか？

7月17日に受発注を一部制限した部分稼働を始め、7月24日の第5報で全拠点が平常時の通常稼働に移行しました。7月13日の遮断から11日です。

関連記事

• アスクルのランサムウェア攻撃｜流出74万件と追加60万件・行政指導・全面復旧までの経緯
• ニッスイのサイバー攻撃で日水物流の入出荷停止｜委託先クラウド障害に荷主が備える手順
• アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧と漏えいのおそれ229万件（2026年10月時点）
• サプライチェーン攻撃とは？起点別3類型と最新事例・対策の優先順位
• フォレンジック調査とは？流れ・費用・調査項目と依頼先の選び方、報告期限まで解説