ニチレイグループへのサイバー攻撃まとめ-個人情報漏洩の恐れ対象者は個別通知|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

株式会社ニチレイは2026年7月13日、不正アクセスによるシステム障害の発生を公表しました。その後の調査でサイバー攻撃であることが確認され、被害サーバの一部に個人情報が保管されていたことも明らかになっています。業務停止はニチレイが国内最大規模で担う冷凍・冷蔵物流の機能を直撃し、低温物流の取引先である約5,000社に影響が波及しました。日本ケンタッキー・フライド・チキンやイオン、くら寿司をはじめとする外食・小売チェーンで食材の配送遅延や欠品が生じています。また7月22日には、ランサムウェアグループのRansomHouseがダークウェブ上のリークサイトで犯行声明を発表しています。同日公表の第4報では、個人情報の対象者への個別通知が行われていること、および入出庫業務・冷凍食品出荷業務について今週中に全拠点が通常稼働に移行する見通しが示されました。

サマリー

2026年7月13日、ニチレイグループで不正アクセスによるシステム障害が発生、ニチレイロジグループの冷蔵倉庫入出庫業務とニチレイフーズの冷凍食品出荷業務が停止
低温物流の取引先約5,000社に影響が波及、ケンタッキーフライドチキン・イオン・くら寿司・江崎グリコなど多数の外食・小売で欠品・遅延が発生
第2報（7月15日）でサイバー攻撃を確認、被害サーバ内の個人情報漏洩の可能性を個人情報保護委員会へ報告
第3報（7月17日）で冷蔵倉庫全拠点の入出庫業務・冷凍食品出荷業務を順次再開（一部制限あり）
第4報（7月22日）で個人情報の対象者への個別通知を実施中と公表、今週中の全拠点通常稼働を見込む
7月22日、ランサムウェアグループRansomHouseがダークウェブ上のリークサイトにニチレイへの犯行声明を掲載（攻撃者側の一方的な主張であり、ニチレイによる確認はなし）
攻撃の詳細は警察・関係機関と連携中のため引き続き非公開

発表	日付	主な内容
第1報	2026年7月13日	不正アクセスによるシステム障害発生を公表。入出庫・出荷業務に影響。個人情報流出は未確認
第2報	2026年7月15日	サイバー攻撃を確認。被害サーバ内に個人情報を確認し個人情報保護委員会へ報告。7月17日から業務再開予定
第3報	2026年7月17日	冷蔵倉庫全拠点の入出庫業務・冷凍食品出荷業務を順次開始（一部受発注制限あり）。翌週中の全拠点通常稼働を目標
第4報	2026年7月22日	個人情報漏洩の可能性対象者へ個別通知を実施中。今週中に全拠点が通常稼働に移行予定。調査・警察連携は継続中
RansomHouse犯行声明	2026年7月22日	ダークウェブ上のリークサイトでニチレイへの攻撃を一方的に主張。7月13日が攻撃実行日と記載、暗号化と証拠データの入手を主張

第1報：7月13日に不正アクセスによるシステム障害が発生

ニチレイは2026年7月13日、不正アクセスによるシステム障害が発生したと公表しました。発生当日の時点では個人情報や顧客データが社外へ流出した事実は確認されていないとしながらも、引き続き調査を継続することを明示しています。障害の範囲は日本国内に限られるとしました。

影響を受けた業務は、ニチレイロジグループ各社の冷蔵倉庫入出庫業務とニチレイフーズの冷凍食品出荷業務の2領域です。発生当日、ニチレイは緊急対策本部を設置し、復旧に向けた調査と対応を開始しています。

サプライチェーンへの波及――取引先約5,000社に影響、外食・小売で欠品・遅延が拡大

ニチレイは国内最大規模の冷凍・冷蔵物流を担っており、低温物流を利用する取引先は約5,000社に上るとされています。今回のシステム障害はこれら取引先への食材供給に直接影響し、外食・小売チェーンを中心に配送遅延や欠品が広く発生しました。

日本ケンタッキー・フライド・チキンでは食材の配送が滞り、一部店舗で営業時間の短縮や商品の品切れが発生しました。イオンおよびドン・キホーテでも冷凍食品を中心に欠品が生じています。回転ずしチェーンのくら寿司、食品メーカーの江崎グリコ、洋菓子のフロプレステージュ、食品大手のテーブルマーク、東北地盤のスーパーヨークベニマル、外食チェーンのプレナス（ほっともっと・やよい軒）でも配送遅延や出荷停止等の影響が報じられました。コープデリ生活協同組合連合会も宅配商品の一部が届けられない可能性があると告知しています。

今回の事案は、1社のシステム障害がサプライチェーン全体に連鎖的な影響をもたらした典型的な事例となりました。業種や規模を問わず、特定の物流インフラに依存するサプライチェーンのリスク評価において、自社以外のシステム停止を想定したBCP設計の重要性が改めて浮き彫りになっています。

第2報：7月15日にサイバー攻撃と個人情報漏洩の可能性を確認

発生から2日後の7月15日、ニチレイは第2報を公表しました。外部のセキュリティ専門会社の協力を得て調査を進めた結果、当社のサーバがサイバー攻撃を受けたことを確認したと明らかにしています。攻撃の詳細については被害の拡大防止を理由に情報開示を差し控えるとしました。

個人情報への影響についても第2報で初めて言及されています。被害を受けたサーバの一部に個人情報が保管されていたことが判明したため、個人情報保護委員会へ漏洩の可能性がある事案として第1報を入れたとのことです。漏洩の有無そのものは引き続き調査中としました。

業務復旧については、外部のセキュリティ専門会社と安全対策を講じたうえで、7月17日より冷蔵倉庫の入出庫業務・冷凍食品出荷業務を順次開始する見通しを示しました。

第3報：7月17日から業務を段階的に再開

7月17日の第3報では、冷蔵倉庫全拠点の入出庫業務・冷凍食品出荷業務を当日より順次開始したことが発表されました。ただし、この段階での業務再開は完全復旧ではなく、顧客・取引先からの受発注を一部制限したうえでの冷蔵倉庫および食品工場の部分稼働という形でした。来週中、すなわち7月22日の週を目標に全拠点での通常稼働に向けた準備を進めるとしています。

発生日の7月13日から業務の部分再開まで、システムが全面停止していた期間はおよそ4日間です。食品の低温物流を主軸とする事業においてこの規模の停止が生じた場合、在庫の鮮度管理や取引先への納品スケジュールに与える影響は甚大であり、サプライチェーン全体への波及が現実に生じていました。

第4報：個人情報の対象者へ個別通知、全拠点の通常稼働を今週中に見込む

7月22日に公表された第4報は、調査継続の状況と業務復旧の最新状況を報告するものです。サイバー攻撃の調査については、引き続き外部のセキュリティ専門会社の協力のもと進めているとしたうえで、今回初めて警察および関係機関との連携が明記されました。攻撃の詳細開示は引き続き差し控えるとしています。

個人情報への対応については、被害を受けたサーバの一部に個人情報が保管されていたとする従来の説明を踏まえ、今回は対象者の方へ別途通知を行っていることが公表されました。第2報の時点では個人情報保護委員会への報告にとどまっていましたが、第4報では対象者個人への通知という具体的な対応段階に進んでいます。

業務復旧については、第3報で示した見通しどおり、入出庫業務・冷凍食品出荷業務について今週中に全拠点が通常稼働に移行する予定と改めて確認しています。

RansomHouseによる犯行声明――攻撃者側の一方的な主張

7月22日、ランサムウェアグループRansomHouseがダークウェブ上のリークサイトでニチレイへの犯行声明を掲載しました。以下の内容はRansomHouse側が一方的に主張しているものであり、本稿執筆時点でニチレイによる公式な確認はなされていません。

リークサイトには、攻撃実行日（Action date）として2026年7月13日が記載されており、ステータスはEncrypted（暗号化済み）とEVIDENCE（証拠あり）とされています。この日付はニチレイが障害を検知・公表した日と一致しますが、攻撃者が事後的に日付を合わせた可能性もあり、両社の関連をニチレイが認めたわけではありません。リークサイトにはニチレイの経営陣に宛てた脅迫文も掲載されており、IT部門がインシデントを隠蔽しようとしていると非難し、機密データやプロジェクト文書の漏洩を防ぐために連絡するよう求める内容となっています。パスワードなしでダウンロードできるとされる証拠パック（Evidence packs）へのリンクも掲示されています。

RansomHouseは2021年末から2022年初頭にかけて出現したとされる恐喝特化型のグループで、データを暗号化したうえで窃取データの公開を脅しの手段とするRaaS（サービスとしてのランサムウェア）形態をとっています。国内では2025年10月にアスクルを攻撃し、約1.1TBのデータ窃取を主張して犯行声明を発表したことで広く知られています。アスクルでは最終的に約74万件の個人情報流出の可能性が公表されており、良品計画やそごう・西武など同社のシステムを利用する取引先にも影響が及びました。アスクルに続いてニチレイという、いずれも社会インフラに近い物流の基幹を担う日本の大手企業を標的とした点は注視すべき動向です。

ランサムウェアグループは自らの成果を誇張して喧伝する傾向があります。RansomHouseの主張がそのまま事実であるかどうかは慎重に評価する必要があり、実際の被害範囲については今後のニチレイによる公式な調査結果を待つことが不可欠です。

攻撃の詳細と個人情報の漏洩有無は未確定のまま

第4報時点において、攻撃の具体的な手口や使用されたマルウェアの種別はニチレイ側から公開されていません。個人情報の漏洩有無についても、現時点では確定した情報は公表されていません。第2報の段階から「漏洩の可能性がある事案」として個人情報保護委員会に報告されており、第4報で対象者への個別通知が行われていることが明かされましたが、漏洩が確定した旨の発表は現段階では出ていません。今後の続報で詳細が明らかになる見込みです。

情報システム管理の観点では、今回の事案から読み取れる対応上のポイントが2点あります。1つは初動における遮断の判断の速さです。ニチレイは発生当日にシステム全体の遮断措置を講じており、被害の拡大を最小限に抑える観点から適切な初動でした。もう1つは個人情報保護委員会への報告タイミングです。漏洩の確認を待たずに「漏洩の可能性がある事案」として速報を入れるという個人情報保護法上の対応が、第2報の段階で取られています。一方で、RansomHouseのような恐喝特化型グループへの対応という観点では、バックアップからの復旧だけでは被害を収束できない点も今回の事案が示した課題です。窃取されたとされるデータの早期特定と、公開された場合の影響評価を並行して進める体制を事前に整えておくことが求められます。