冷凍食品大手のニチレイが2026年7月に受けたサイバー攻撃をめぐり、ロシア系とされる恐喝集団「RansomHouse（ランサムハウス）」が、窃取したと主張するデータをダークウェブ（通常の検索エンジンやブラウザーでは到達できない、匿名性の高いインターネット空間）上に公開した。報道によると、セキュリティ会社のS&Jが確認した内容として、公開は8月10日午前とみられる。公開されたデータは少なくとも20万件に上り、その中にはニチレイの従業員や取引先の電話番号といった個人情報が含まれるという。物流と出荷の業務は7月24日に平常運転へ戻っている。だが、外に出た情報は復旧の対象にならない。
7月13日の障害から、8月の公開まで
発端は2026年7月13日である。ニチレイは同日、不正アクセスによるシステム障害が発生したと公表した。影響を受けたのはニチレイロジグループ各社の冷蔵倉庫の入出庫業務と、ニチレイフーズの冷凍食品出荷業務で、障害の範囲は国内に限られるとしていた。第1報の時点では、個人情報や顧客データが社外へ流出した事実は確認されていないと説明されていた。
その後、同社は障害の原因がサイバー攻撃であることを確認する。7月22日の第4報では、外部のセキュリティ専門会社の協力のもとで調査を継続していること、警察および関係機関と連携しているため攻撃の詳細は開示を差し控えることを説明したうえで、被害を受けたサーバの一部に個人情報が保管されていたため、対象者へ別途通知を行っていると明らかにした。7月24日の第5報では、入出庫業務と冷凍食品出荷業務について受発注制限を解除し、全拠点が平常時の通常稼働へ移行したと発表している。障害の発生から約11日での復旧だった。
犯行声明が確認されたのは、業務が戻る直前だ。報道によると、ダークウェブ上のリークサイトにRansomHouseによる声明が掲載され、暗号化を実施した日付として7月13日が記載されるとともに、証拠として一部のデータがダウンロード可能な状態に置かれていた。声明にはニチレイの経営陣に接触を促す趣旨の文言も含まれていたとされる。そして8月10日、S&Jの確認として20万件を超えるデータが公開されたことが報じられた。この件についてニチレイは、事態を把握しているもののコメントは差し控えるとしている、と報じられている。
「復旧」と「漏えい」は別の時計で動く
一連の経過が示すのは、ランサムウェア被害には性質の異なる二つの局面があるという事実だ。
第一の局面は、暗号化によって業務が止まる段階である。ここでの勝負は復旧速度であり、ニチレイは冷凍食品という止められない商流を抱えながら、11日で全拠点の通常稼働に戻した。復旧手段の詳細は開示されていないものの、事業継続の体制が奏功した形だ。
第二の局面は、盗まれたデータを材料にした恐喝、いわゆる二重恐喝（ダブルエクストーション）である。攻撃者は暗号化とデータ窃取を同時に行い、身代金の支払いがなければ盗んだデータを段階的に公開していく。犯行声明でデータの一部を「証拠」として見せ、期限を切って圧力をかけ、最終的に全量を放出する——というのが典型的な流れだ。この局面には復旧という概念がない。システムを元に戻しても、外部に渡ったデータは回収できない。
今回、業務が完全復旧してから2週間以上が経った時点でデータが公開された点は象徴的である。復旧の完了は、事案の終了を意味しない。
被害の輪郭は、攻撃者側の主張から広がっていく
もう一つ注意したいのは、被害の全体像が公式発表よりも先に、攻撃者側の主張や第三者機関の観測によって外へ出ていくことだ。
ニチレイは捜査との関係から攻撃の詳細を開示していない。これは捜査への配慮として合理的な判断だが、結果として、公開されたデータの件数や中身については報道と第三者のセキュリティ企業による観測が情報源となっている。攻撃者の主張は検証されたものではなく、件数や内容が誇張されている可能性も、逆に一部しか公開されていない可能性も残る。RansomHouseは2025年10月のアスクルへの攻撃でも犯行声明を出したグループとされ、その際は約1.1TBのデータを窃取したと主張していたと報じられている。
被害企業にとって難しいのは、確定していない情報を出せば混乱を招き、出さなければ攻撃者の言い分だけが流通するという構造だ。取引先や従業員に対して「何が確定していて、何を調査中なのか」を早い段階で線引きして伝えることが、結果的に自社を守ることになる。
サプライチェーンの中心に立つ企業ほど、影響は外へ広がる
ニチレイの障害では、冷凍食品の配送遅延がスーパーや外食チェーンにまで波及したと報じられた。物流の結節点に立つ企業が止まると、被害はその企業だけでは終わらない。同じことが情報にも当てはまる。今回公開されたとされるデータには取引先の連絡先が含まれるとされており、取引先企業の担当者が、ニチレイ関係者を装ったビジネスメール詐欺や標的型攻撃の入り口として狙われる余地が生まれる。
自社が直接攻撃を受けていなくても、取引先が受けた攻撃によって自社の担当者情報が外に出ることがある。取引先からインシデントの通知を受けた企業は、該当部署宛ての不審な連絡への注意喚起、送金・支払い先変更の確認手順の徹底、そして万一の侵入に備えた端末側の検知・対応体制を、その時点で一度見直しておきたい。
同じ手口に、自社は備えられていますか？