ニチレイグループへのサイバー攻撃(冷蔵倉庫の入出庫・冷凍食品出荷が停止し全面復旧まで11日、従業員・取引先・配送先の個人情報53,866件漏えい、RansomHouseが犯行主張)
公表日
冷凍食品と冷蔵倉庫の大手ニチレイグループがサイバー攻撃を受け、倉庫の入出庫と冷凍食品の出荷が止まりました。全拠点が元に戻るまで11日かかり、従業員や取引先などの個人情報 合わせて53,866件の漏えいが確認されました。
対象者は?
ニチレイグループの従業員(2021年以降の退職者を含む)とその家族、求職者 43,709件、取引先の役職員 6,849件、グループが配送を請け負った荷物の配送先の方 3,308件です。従業員などの情報には、氏名・生年月日・住所・連絡先のほか、給与・賞与や在留資格などの人事の情報も含まれます。項目は人によって異なり、クレジットカード情報は含まれていません。
対象の方には、会社から順に個別の連絡が行われています(連絡先が分からない方は公表をもって通知に代えるとされています)。専用の問い合わせ窓口(0120-12-4099)があります。
いますぐできること
- ニチレイを名乗るメール・電話・郵便で、個人情報や支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
- 従業員・元従業員の方は、勤務先や給与のことを知っているような不審な連絡(なりすましや詐欺の電話・メール)に注意する
- 取引先の方は、ニチレイ側の担当者を名乗る振込先変更などの依頼が来たら、いつもの連絡先に電話して確かめる
何が起きたのか
2026年7月13日の朝、ニチレイはシステムの障害を確認し、その日のうちにグループで使うシステムを遮断しました。そのため、ニチレイロジグループの冷蔵倉庫で荷物の出し入れができなくなり、ニチレイフーズの冷凍食品の出荷も止まりました。この倉庫は他社の食品も預かっていたため、外食チェーンやスーパー、生協、学校給食などで品切れや献立の変更が広がりました。7月17日から注文を一部制限して順に再開し、7月24日に全拠点が通常どおりに戻りました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、会社が「被害の拡大を防ぐため」として公表していません。犯行グループ「RansomHouse」は自分たちが攻撃したと主張し、盗んだとするデータを公開したとも報じられていますが、会社はこれを認めておらず、コメントを控えています。被害が多くの業種に広がったのは、冷凍・冷蔵の食品は代わりの倉庫やトラックをすぐに用意しにくく、1つの物流会社が止まると、そこに荷物を預けていた多くの会社が一度に影響を受けたためです。
いまの状況2026-09-18 時点続報待ち
業務は7月24日から通常どおりに戻っています。個人情報は「漏えいの可能性」「漏えいのおそれ」と段階を追って発表され、9月18日に漏えいが確認されました。9月18日の時点で、不正利用などの二次被害は確認されていないとしています。業績への影響は売上高50億円の減少、特別損失10億円などと見込んでいます。再発防止として、グループ全体のセキュリティの水準を上げること、監視体制や事業継続計画(BCP)の見直しを挙げています。侵入の経路は、まだ発表されていません。
企業として考えたいこと
自社の商品を預けている倉庫や物流会社のシステムが止まったら、何日まで持ちこたえられるでしょうか。代わりの保管先や仕入れ先を、事前に考えておけているでしょうか。
技術的な要約
ニチレイは2026年7月13日、不正アクセスによるシステム障害を公表し、7月15日の第2報で自社サーバーへのサイバー攻撃を確認したと発表した。発生当日にグループで使うシステムを遮断したため、ニチレイロジグループの冷蔵倉庫の入出庫とニチレイフーズの冷凍食品出荷が止まり、取引先約5,000社(報道)を通じて外食・小売・生協・学校給食に欠品や献立変更が広がった。7月17日から受発注を制限して順次再開し、7月24日に全拠点が通常稼働に戻った。7月22日にはランサムウェアグループRansomHouseがリークサイトで犯行を主張し、8月10日には窃取データを公開したと報じられたが、ニチレイは攻撃の詳細を開示せず、ランサムウェアの関与も認めていない。9月18日の第7報で、配送先3,308件・取引先役職員6,849件・従業員や家族・求職者43,709件の個人情報漏えいを確認したと公表した。8月7日の決算では、障害の影響を売上高△50億円・営業利益△8億円・特別損失10億円と見込んだ。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明ニチレイは第1報で『不正アクセスによるシステム障害』、第2報で『当社サーバがサイバー攻撃を受けたことを確認』としたうえで、『さらなる被害の拡大を防ぐため、サイバー攻撃の詳細は情報開示を差し控えさせていただきます』と明言しており、侵入経路・攻撃手法は第7報(9/18)まで非公表。広報はランサムウェアかどうかについて『調査中』と回答したと報じられている(piyolog)。ランサムウェアとの分類は、RansomHouseのリークサイトに『2026年7月13日に暗号化』との記載があるという攻撃者側の主張に基づくもので、被害組織は認めていない。報道・研究者による侵入経路の特定も確認できなかった。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品の有無を含めて非公表(攻撃の詳細は開示しない方針)。報道・研究者による特定も2026-10-10時点で確認できなかった。
- 攻撃者
- RansomHouse 被害組織は認めていない2026年7月21〜22日頃、RansomHouseがリークサイトにニチレイを掲載し犯行を主張(ITmedia NEWS 7/22が報道。リーク追跡サービスの観測として『2026年7月13日に暗号化』との記載と、証拠データの提示があったとされる)。8月10日には攻撃者側が窃取したとするデータを公開したと時事通信・共同通信・テレビ朝日系が報道し、テレビ朝日系は20万件以上のファイル、共同通信はセキュリティ関係者の話として『盗んだデータのほぼ全量とみられる』と伝えた。RansomHouseは2025年10月のアスクルへの攻撃でも犯行を主張したグループとされる。
- ATT&CK
影響
- 業務停止
- あり 7/13にグループで使うシステムを遮断したため、ニチレイロジグループ各社の冷蔵倉庫の入出庫業務と、ニチレイフーズの冷凍食品出荷業務が停止(影響範囲は国内)。7/17から顧客・取引先の受発注を一部制限したうえで冷蔵倉庫と食品工場を部分稼働し、全拠点の入出庫・出荷を順次再開。7/24に受発注制限を解除して全拠点が通常稼働に戻った。報道では取引先は約5,000社で、他の冷凍倉庫会社に一時保管の問い合わせが寄せられたとされる。期間:2026-07-13〜2026-07-24(全拠点の通常稼働まで11日間。部分再開は7/17)。一部の取引先(ヨシケイ開発)では7/27時点でも完全回復していないと公表。
- データ
- 確定上限 53,866確定 53,866件氏名住所電話メール生年月日性別従業員情報取引先情報その他(給与・賞与情報、在留資格、所属・異動などの人事情報、従業員番号、配送先情報)第7報(9/18)で漏えいを確認。内訳は①グループ各社が受託した配送業務の配送先の顧客 3,308件(氏名・住所・電話番号)、②取引先の役職員 6,849件(会社名・所属・役職・氏名・住所・電話番号・メールアドレス)、③グループ従業員(2021年以降の退職者を含む)とその家族、求職者 43,709件(氏名・生年月日・性別・住所・電話番号・メールアドレス・従業員番号・給与・賞与情報・在留資格・所属・異動などの人事情報)。合計53,866件は3区分の単純合算(公式は合計を示していない)。1件ごとにすべての項目が含まれるわけではない。クレジットカード情報は含まれない。経緯は、第1報(7/13)で『社外流出を確認した事実はない』→第2報(7/15)で個人情報保管サーバーが被害を受け個人情報保護委員会に漏えいの可能性として報告済み→第6報(8/14)で従業員情報の漏えいの『おそれ』→第7報(9/18)で『漏えいを確認』。9/18時点で不正利用などの二次被害は確認されていない。攻撃者が8/10に公開したとされるデータ(報道で20万件以上のファイル)の中身と、公表件数との対応は公式には示されていない。
- 波及先
- —
- 日本KFC:全店舗で一部商品の品切れや営業時間短縮、7/22に全店舗で通常営業再開(piyolog整理)
- くら寿司:関西の数十店舗で一部食材の未着・欠品(ITmedia NEWS報道)
- イオン、ヨークベニマル:一部商品の欠品(報道)
- ほっともっと・やよい軒、日高屋、ニッスイ、井村屋、551蓬莱:食材納品の遅れ等(報道)
- 江崎グリコ:アイスクリームの出荷に影響(共同通信報道)
- コープ系生協(コープデリ等):宅配の欠品・返金対応、コープデリは7/28に復旧を公表(piyolog整理)
- ヨシケイ開発:倉庫からの出庫停止、7/27時点でも完全回復せず(同社公表、ScanNetSecurity報道)
- 学校給食:仙台市、札幌市内23小学校、秋田市内40校、新潟県内9市町、茨城県内で献立変更・食材未着(報道)
- 金銭影響
- 2026年12月期第1四半期決算説明会資料(8/7)で、システム障害の影響を現時点の見通しとして売上高△50億円(食品事業△20億円、低温物流事業△30億円)、営業利益△8億円(食品△2億円、低温物流△4億円、持株会社△2億円=対応費用)、特別損失10億円(持株会社、システム障害対応費用)と開示。通期予想は売上高6,094億円→6,185億円(海外伸長で上方修正)、営業利益338億円→300億円、親会社株主に帰属する当期純利益252億円→204億円に修正(営業利益の下方修正38億円のうち障害起因として明示されたのは8億円で、残りは中東情勢によるコスト増等)。第1四半期決算短信は偶発債務の注記で『金額を合理的に見積もることが困難なため、当第1四半期連結財務諸表には反映しておりません』としている。修正前の値は短信の前回予想比から逆算。
- サプライチェーン
- ニチレイロジグループは国内低温物流(冷蔵倉庫・配送)の大手で、自社の冷凍食品だけでなく他社の食品も保管・配送している。ニチレイ側のシステム遮断で冷蔵倉庫の入出庫が止まったため、取引先約5,000社(日経報道)の外食・小売・生協・食品メーカー・学校給食にまで欠品や納品遅れが広がった。冷蔵・冷凍品は他の倉庫へすぐには移せず、代替調達もしにくいため、物流業者1社の停止が多業種に同時に波及した。漏えいした情報にも、受託配送の配送先(他社の顧客)と取引先役職員の情報が含まれる。
時系列
- 2026-07-13 06:50
- 2026-07-13
- 2026-07-13
- 2026-07-14日本KFCなど取引先が影響を公表し始める11
- 2026-07-15
- 2026-07-16
- 2026-07-17第3報。受発注を一部制限して冷蔵倉庫・食品工場を部分稼働し、全拠点の入出庫・出荷を順次開始。全拠点の通常稼働は翌週中を目指すと発表4
- 2026-07-22
- 2026-07-24
- 2026-07-27ヨシケイ開発が、ニチレイ倉庫からの出庫は再開したが完全回復ではなく商品の出庫に支障が続くと公表17
- 2026-08-07
- 2026-08-10
- 2026-08-14
- 2026-09-11個人情報保護委員会へ報告(第7報で言及)10
- 2026-09-18
技術解説
攻撃の影響の構造:システム遮断が冷蔵倉庫の物理的な入出庫を止めた 事実
ニチレイは7/13、障害を確認した当日に『グループで使用するシステムの遮断措置』を取った。その結果、ニチレイロジグループの冷蔵倉庫での入出庫と、ニチレイフーズの冷凍食品出荷が止まった。倉庫の在庫管理・入出庫指示・配送手配はシステムに依存しており、どの荷物がどこにあり誰に出すかがシステムなしでは扱えない。7/17の再開も『受発注を一部制限したうえで部分稼働』という段階的なもので、全拠点の通常稼働は7/24(11日後)だった。ニチレイロジは他社の食品も保管・配送する国内大手の低温物流事業者で、日経は取引先を約5,000社と報じている。KFC・イオン・くら寿司・コープ・学校給食などの欠品や献立変更は、ニチレイ自身の商品というより、保管・配送を委ねていた荷主側の在庫が倉庫から出せなくなったことによる。
情報漏えいの公表は四段階:『未確認』から『確定』まで2カ月 事実
第1報(7/13)は『個人情報や顧客データの社外流出を確認した事実はない』とした。第2報(7/15)で被害サーバーの一部に個人情報が保管されていたと明かし、第1報時点で個人情報保護委員会へ漏えいの可能性がある事案として報告済みとした。第4報(7/22)で対象者への個別通知を始め、第6報(8/14)で従業員情報について『漏えいのおそれ』を確認した。第7報(9/18)で配送先3,308件、取引先役職員6,849件、従業員・退職者・家族・求職者43,709件の『漏えいを確認』した。一方、攻撃者側は7/22頃にリークサイトで犯行を主張し、8/10にはデータを公開したと報じられている。会社が『確定』と公表したのはデータ公開報道から約5週間後だった。漏えいした従業員情報には給与・賞与や在留資格など機微度の高い人事情報が含まれる。
業績への影響:特別損失10億円と営業利益△8億円 事実
8/7の第1四半期決算説明会資料で、ニチレイは障害の影響を現時点の見通しとして開示した。売上高は△50億円(食品事業△20億円、低温物流事業△30億円)、営業利益は△8億円(食品△2億円、低温物流△4億円、持株会社の対応費用△2億円)、特別損失は10億円(持株会社、システム障害対応費用)である。通期の営業利益は338億円から300億円へ、親会社株主に帰属する当期純利益は252億円から204億円へ引き下げた。ただし営業利益の下方修正38億円のうち障害起因と明示されたのは8億円で、残りは中東情勢によるコスト増などによる。決算短信は偶発債務の注記で、影響額を合理的に見積もることが困難として第1四半期の財務諸表には反映していない。停止期間が11日間でも、物流・食品の両事業で売上機会の喪失と対応費用が生じた。
『詳細非開示』方針の評価(解釈) 解釈
ニチレイは第2報から一貫して『さらなる被害の拡大を防ぐため、サイバー攻撃の詳細は情報開示を差し控える』としており、ランサムウェアかどうか、侵入経路、暗号化の範囲、RansomHouseの主張の真偽のいずれも公式には説明していない。8/10のデータ公開報道にも『把握しているが、コメントは差し控える』とした。攻撃者が交渉中の場合や同じ侵入口が塞がっていない場合、詳細を伏せる判断には合理性がある。しかし、取引先5,000社のなかには同じ物流EDIや接続回線を使う企業もあり、侵入経路やIOC(侵害の痕跡)が共有されないと、取引先は自社への波及リスクを判断できない。日経クロステックは『特損10億円も詳細語らず』と見出しで報じている。復旧・件数・業績影響は比較的丁寧に開示した一方、技術的な情報は空白のまま残っている。
低温物流という単一障害点(解釈) 解釈
常温の物流と違い、冷凍・冷蔵品は代替の倉庫やトラックを急には確保できず、品質管理の制約から在庫の移し替えも難しい。そのためニチレイロジの停止は、荷主側から見れば代替のきかない単一障害点になった。学校給食で献立変更が相次いだのは、自治体や給食会社が特定の低温物流ルートに依存し、代替の調達先や在庫のバッファを持っていなかったためと考えられる。2025年のアサヒグループやアスクルの事案と同じく、サイバー攻撃の被害がITの外へ広がり、受発注・出荷という物理的な業務を止めるパターンである。システムを遮断したまま入出庫を続ける紙・オフライン運用(BCP)が7/17まで機能しなかった点は、第7報でニチレイ自身が『BCPの見直し』を再発防止策に挙げていることと整合する。
対応
- 封じ込め
- 7/13の障害確認当日に緊急対策本部を設置し、グループで使用するシステムをネットワークから遮断。外部セキュリティ専門会社と安全対策を講じたうえで7/17から受発注を制限して部分再開し、7/24に全拠点で通常稼働に戻した。システム強化と監視体制の強化を実施中(第6報)。再発防止策としてグループ全体のセキュリティ水準の向上、監視体制の見直し、BCPの見直しを表明(第7報)。漏えい対象者へは順次個別に通知し、連絡先不明者は公表をもって通知に代える。専用窓口(0120-12-4099)を設置。
- 公表の仕方
- 第1報(7/13)〜第7報(9/18)を自社サイトで公表し、7/16に適時開示。業務の停止・再開は具体的に開示した一方、攻撃の詳細(手法・侵入経路・ランサムウェアの有無)は『被害拡大防止』を理由に一貫して非開示。RansomHouseの犯行主張とデータ公開報道について公式見解は出していない。漏えいは『可能性』(7/15)→『おそれ』(8/14)→『確認』(9/18)と段階的に公表し、9/18に区分別の件数を開示(合計は示さず)。業績影響は8/7の決算説明会資料で数値開示。
- 当局対応
- 個人情報保護委員会:第1報時点(7/13)で漏えいの可能性がある事案として報告、9/11に改めて報告
- 警察:関係機関とともに連携して対応(第4報)
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| システム遮断と同時に、物理的な入出庫業務が止まった | WMS(倉庫管理システム)が停止しても入出庫を続けられるよう、在庫・ロケーション・出荷予定の日次スナップショットを、ネットワークから切り離した端末と紙に出力しておく。手書き伝票による入出庫と、システム復旧後の差分入力の手順を、拠点ごとに年1回以上訓練する。 |
| 侵害後の業務システムの安全な再開に4日、全面復旧に11日を要した | 再開判断の基準(クリーンなADの再構築、EDRでの全端末スキャン完了、外部との接続を許可リスト制にすることなど)を事前に定め、業務の優先順位(冷凍品の入出庫→受発注→付帯業務)ごとに段階的に再開する手順書を用意する。ゴールドイメージと変更不可(イミュータブル)なバックアップから基幹サーバーを戻す時間を実測しておく。 |
| 退職者・家族・求職者まで含む人事情報と、受託配送の配送先情報が、攻撃されたサーバーに保管されていた | 人事・給与・在留資格などの機微な情報は専用のセグメントと別の認証基盤で分離し、退職者や不採用の求職者のデータは保存期限を定めて自動削除する。受託業務の配送先データは配送完了後に一定期間で消去し、ファイルサーバー上のCSVなど二次コピーの棚卸しを定期的に行う。 |
| 攻撃者のデータ公開から漏えい確定の公表まで約5週間かかった | リークサイトとダークウェブの監視サービスを契約し、公開データを入手・解析して対象者を特定する手順(法務・外部フォレンジック・個人情報保護委員会への報告)をあらかじめ決めておく。『おそれ』の段階でも区分ごとの概数と注意喚起を出す方針にする。 |
| 取引先約5,000社が単一の低温物流事業者に依存していた(荷主側の教訓) | 重要な食材・商品について代替倉庫と代替物流ルートを事前に契約し、物流事業者のシステムが停止した際の在庫引き取りや直送の手順をBCPに組み込む。委託先のセキュリティ評価(バックアップ、BCP、復旧時間)を契約更新時に確認する。 |
自組織などでの確認項目
- あなたの会社の倉庫・工場・店舗で、基幹システムを丸ごとネットワークから切り離したとき、紙やオフライン端末で最低限の出荷・受付を何日続けられるか。それを実際に試したことはあるか。
- 取引先(物流・決済・クラウドなど)1社のシステムが2週間止まったら、自社のどの業務が何日目に止まるか。代替先は契約済みか。
- 攻撃の詳細を『被害拡大防止のため開示しない』という判断と、取引先が自社のリスクを評価するための情報共有を、どう両立させるか。IOCや侵入経路を取引先に限定して共有する仕組みはあるか。
- 人事システムやファイルサーバーに、退職者・求職者・家族の情報がいつから、何件残っているか把握しているか。
未解明点
- 侵入経路(VPN機器、リモートアクセス、認証情報、委託先経由など)と侵入時期、ランサムウェアによる暗号化の有無
- RansomHouseの主張(7/13暗号化、データ窃取)の真偽と、8/10に公開されたとされるデータの内容・件数と公表件数53,866件との関係
- 身代金要求の有無と対応方針
- 攻撃を受けたサーバーの台数・役割、業務システム(WMS・受発注)が停止した理由が暗号化によるものか予防的な遮断によるものか
- 特別損失10億円・営業利益△8億円の見通しの確定値(第2四半期以降の決算)
- 調査の最終報告の時期と、取引先への技術情報(IOC等)の共有の有無
出典
- 1ニチレイ2026-07-13公式本文確認済
- 2ニチレイ2026-07-15公式本文確認済
- 3ニチレイ(TDnet、日本経済新聞掲載)2026-07-16公式未確認
- 4ニチレイ2026-07-17公式本文確認済
- 5ニチレイ2026-07-22公式本文確認済
- 6ニチレイ2026-07-24公式本文確認済
- 7ニチレイ2026-08-07公式本文確認済
- 8ニチレイ2026-08-07公式本文確認済
- 9ニチレイ2026-08-14公式本文確認済
- 10ニチレイ2026-09-18公式本文確認済
- 11piyolog2026-07-16研究者本文確認済
- 12ITmedia NEWS2026-07-22報道未確認
- 13時事通信2026-08-10報道未確認
- 14共同通信(熊本日日新聞掲載)2026-08-10報道未確認
- 15テレビ朝日系(ANN)/khb東日本放送2026-08-10報道未確認
- 16@IT2026-07-15報道本文確認済
- 17ScanNetSecurity2026-07-30報道本文確認済
- 18INTERNET Watch2026-09-18報道本文確認済
- 19LNEWS2026-09-18報道本文確認済
- 20NHK2026-08-14報道本文確認済
- 21セキュリティ対策Lab(Rocket Boys)2026-08報道本文確認済
- 22一創2026-10報道本文確認済
- 23デジタル安心ナビ2026-08-20報道本文確認済
- 24日本経済新聞2026-09-18報道未確認
- 25日本経済新聞2026-07-15報道未確認
- 26日経クロステック2026-07-14報道未確認
- 27名古屋テレビ(ANNニュース)2026-07-13報道未確認
- 28ITmedia NEWS2026-07-15報道未確認
- 29日経クロステック報道未確認