弔辞
TL;DR
- 国内トップの低温物流企業がランサムウェア攻撃を受け、冷蔵倉庫・冷凍食品出荷が11日間完全停止
- KFC全店舗、くら寿司、イオン、やよい軒など約5,000社の取引先に欠品・営業短縮の連鎖被害が発生
- 攻撃検知から数時間でシステム遮断を決断—事業停止を覚悟した「守りの経営判断」が被害拡大を防いだ
- 53,866件の個人情報が漏えい、RansomHouseがダークウェブでデータを公開
- 低温物流の寡占構造が「1社停止＝食インフラ麻痺」という日本固有のリスクを顕在化させた
企業概要と全盛期
株式会社ニチレイは、1942年に「帝国水産統制株式会社」として設立された国策会社を起源とする。戦後、日本冷蔵株式会社として民間企業に転換し、1985年に現社名へ変更。2005年には持株会社体制へ移行し、冷凍食品事業と低温物流事業を両輪とする独自のビジネスモデルを確立した。
2026年3月期、ニチレイグループは連結売上高7,161億円（過去最高）、営業利益389億円を記録していた。総資産5,572億円、自己資本比率51.4%という磐石な財務基盤を誇る優良企業である。
特筆すべきは、低温物流事業を担う「ニチレイロジグループ」の圧倒的な存在感だ。国内低温物流シェアでトップを走り、取引先は約5,000社に及ぶ。外部売上比率は9割超—つまり、自社の冷凍食品だけでなく、競合を含む食品業界全体のインフラを担っているのだ。冷凍食品市場でも国内トップクラスのシェアを持ち、「作る」と「運ぶ」を垂直統合した稀有な存在として、日本の食を支えてきた。
1952年から調理冷凍食品の販売を開始し、70年以上にわたって培ってきた冷凍技術と物流ネットワーク。その信頼性は、外食チェーン、スーパー、コンビニエンスストアなど、日本人の食生活を支えるあらゆる業態から依存される存在となっていた。
しかし、この「インフラ化」こそが、今回の事態を深刻化させる構造的要因となる。
何が起きたか
2026年7月13日（攻撃発生）
午前6時50分頃、ニチレイのシステムに異常が検知された。サイバー攻撃によるシステム障害の発生である。経営陣は発生当日中に緊急対策本部を設置。そして、重大な決断を下す—システムの全面遮断だ。
この判断の意味は大きい。低温物流のシステムを止めることは、冷蔵倉庫の入出庫業務を止めることであり、冷凍食品の出荷を止めることを意味する。つまり、数千社の取引先への供給が即座にストップするのだ。
2026年7月14日（連鎖被害の顕在化）
攻撃から24時間、最初の大規模影響が表面化した。日本ケンタッキー・フライド・チキン（KFC）が全店舗への影響を公表。鶏肉や付随食材の欠品により、一部店舗で営業時間短縮を余儀なくされた。
2026年7月15日（被害拡大）
ニチレイは、サーバーがサイバー攻撃を受けたことを公式に確認。個人情報保護委員会への報告を行った。同日、くら寿司、イオン、やよい軒、コープデリなど、業態を問わず影響が広がっていることが明らかになった。
寿司チェーン、総合スーパー、定食チェーン、生協—日本人の「食」のあらゆる接点で、商品棚に穴が空き始めた。
2026年7月17日〜24日（復旧フェーズ）
7月17日、冷蔵倉庫と食品工場が部分稼働で順次再開。完全復旧までの慎重なアプローチが取られた。7月22日、ロシア系とされるランサムウェア集団「RansomHouse」がダークウェブ上で犯行声明を発表。
7月24日、受発注制限が解除され、全拠点が通常稼働へ復帰。攻撃から約11日間での復旧となった。
2026年8月〜9月（データ公開と被害確定）
8月10日、RansomHouseは盗んだと主張するデータをインターネット上に公開した。9月18日、ニチレイは個人情報漏えい件数を53,866件と確定発表。二重脅迫型ランサムウェアの典型—システムは復旧できても、一度盗まれたデータは取り返せない現実を突きつけられた。
失敗の本質的原因
市場・競合環境
本事案の特異性は、ニチレイ1社の停止が約5,000社に波及したという点にある。低温物流は設備投資が膨大で参入障壁が高く、結果として寡占構造が形成されている。この「インフラ化」は平時には効率性をもたらすが、有事には単一障害点（Single Point of Failure）となる。
日本の食品サプライチェーンは、知らず知らずのうちに少数のプレイヤーに依存する構造になっていた。競合他社による代替輸送の余力は限定的であり、11日間という「短期」でさえ、全国規模の欠品を引き起こした。
経営判断と意思決定
嶋本CEO（2026年4月就任）の初動判断は、評価が分かれるところだ。攻撃検知から数時間でシステム遮断を決断したことは、被害拡大防止の観点からは正しい。しかし、システム遮断＝事業停止という構造そのものが脆弱性だった。
BCPの設計において、「システムを止めても事業は継続できる」という発想が十分だったのか。デジタル化が進むほど、この問いは重くなる。
財務・資金構造
自己資本比率51.4%、直近の営業利益389億円という財務体質は、11日間の停止を吸収できる余力を持っていた。しかし、復旧コスト、取引先への補償、風評被害による機会損失の総額は非公表のままだ。
財務的には「耐えられた」が、それは結果論である。中堅企業が同様の攻撃を受けた場合、11日間の売上喪失は致命傷になりうる。
組織と文化
IT（情報技術）とOT（制御技術）の分離設計という課題が浮き彫りになった。物流センターの制御システムと業務システムが密結合しているため、「封じ込めのための遮断」が「そのまま事業停止」になる。
セキュリティ専門部門と事業部門の連携、インシデント対応訓練の頻度、経営層のサイバーリスクへの感度—これらは外部からは見えにくいが、復旧速度に直結する要素である。
外部環境・規制
RansomHouseによる二重脅迫型ランサムウェア攻撃は、現代のサイバー犯罪の典型例だ。従来の「データを暗号化して身代金を要求」に加え、「盗んだデータを公開すると脅す」という二段構えの攻撃である。
バックアップがあればシステムは復旧できる。しかし、一度盗まれたデータは、身代金を払おうが払うまいが、いつでも公開されうる。53,866件の個人情報漏えいは、この冷酷な現実を示している。
経営者の意思決定を再構築する
嶋本CEOの立場に立って考えてみよう。2026年4月に社長就任、わずか3ヶ月後の7月13日早朝、サイバー攻撃の一報が入る。
選択肢は限られていた。システムを止めれば、全国5,000社の取引先への配送が止まる。止めなければ、攻撃者がどこまでシステムを破壊・窃取するかわからない。顧客データ、取引先情報、冷凍庫の温度制御システム—何が標的かすら判然としない状況での決断だ。
嶋本CEOは「止める」を選んだ。
この判断を批判することは容易だ。「事業継続を優先すべきだった」「部分的な遮断で済んだのでは」と。しかし、攻撃の全容が不明な段階で、リスクの上限を確定できない判断を迫られていたことを忘れてはならない。
結果として、ニチレイの復旧期間は約11日間。2024年のKADOKAWAへのサイバー攻撃では完全復旧まで数ヶ月を要したことを考えると、相対的には短期間での復旧を実現したと言える。
攻撃手法の詳細を非公開としたのも、復旧途中での情報公開が攻撃者を利する可能性があるとの判断による。「透明性」と「セキュリティ」のトレードオフは、正解のない問いだ。
経営者が有事に直面したとき、「正しい判断」は事後的にしかわからない。嶋本CEOの決断は、**最悪のシナリオを回避することを優先した「守りの経営」**だった。その代償として11日間の停止と53,866件の情報漏えいを受け入れた。
批判は簡単だが、同じ状況で自分ならどうするかを考えたとき、多くの経営者は言葉を失うのではないだろうか。
海外類似事例との比較
JBS Foods（ブラジル/米国・2021年）
世界最大の食肉加工会社JBSは、ランサムウェア攻撃を受け、米国全土の牛肉処理工場が操業停止に追い込まれた。米国の食肉供給網に深刻な影響を与え、最終的にJBSは身代金1,100万ドル（約12億円）を支払った。
ニチレイとの共通点は「食品インフラの寡占企業への攻撃」という点だ。相違点は、JBSが身代金を支払ったのに対し、ニチレイは支払いの有無を明らかにしていないこと。また、JBSの停止期間は数日間だったが、影響範囲は米国の食肉価格上昇にまで及んだ。
Colonial Pipeline（米国・2021年）
米国最大の石油パイプライン運営会社Colonial Pipelineは、ランサムウェア攻撃により5日間操業停止。東海岸のガソリン供給が混乱し、ガソリンスタンドでのパニック買いが発生した。身代金440万ドルを支払い、後にFBIが大半を回収した。
共通点は「インフラ企業への攻撃が社会全体に波及する」構造。相違点は、Colonial Pipelineが「エネルギーインフラ」であり、政府の介入レベルが異なること。ニチレイは民間企業間の問題として処理されたが、Colonial Pipelineは国家安全保障上の問題として扱われた。
いずれの事例も示唆するのは、社会インフラ化した民間企業へのサイバー攻撃は、もはや一企業の問題ではないということだ。日本においても、重要インフラに対するサイバーセキュリティの枠組み再構築が急務である。
経営者・起業家へのインサイト
1. 「効率化の果て」にあるのは脆弱性である
ニチレイの低温物流シェア拡大は、業界全体の効率化に貢献してきた。しかし、その結果として生まれた寡占構造は、1社の障害が業界全体を麻痺させるリスクを内包していた。成功の果てに脆弱性があるという逆説を認識すべきだ。
2. 「システムを止める勇気」を持つ
攻撃検知時、多くの経営者は「事業を止めたくない」衝動に駆られる。しかし、ニチレイの事例は、止める判断ができたからこそ11日間で復旧できた可能性を示唆している。止められない経営者は、被害を拡大させる。
3. BCPは「システムなしでも動ける」を前提に設計せよ
デジタル化が進むほど、システム停止＝事業停止となる。しかし、サイバー攻撃においてシステム遮断は最も確実な防御手段だ。矛盾するこの要請に応えるには、アナログでの代替オペレーションを事前に設計しておく必要がある。
4. 身代金を払っても、盗まれたデータは戻らない
二重脅迫型ランサムウェアの本質は、「バックアップがあればいい」という従来の防御策を無効化することにある。データは暗号化を解除できても、一度窃取されたデータの公開は止められない。防御の焦点を「復旧」から「侵入させない」に移す必要がある。
5. インフラ企業は「公共財」としての責任を負う
取引先5,000社に依存されるということは、その停止が社会問題化することを意味する。ニチレイは民間企業だが、その機能は準公共財と言える。インフラ化した企業は、自社のリスク管理が社会のリスク管理になる自覚を持つべきだ。
あなたが経営者だったら？
Q1. 自社のシステムが攻撃を受けたとき、「止める」判断を数時間で下せるか？
事業停止による損失、取引先への影響、株主への説明責任—これらを瞬時に天秤にかけ、「止める」を選択する覚悟はあるか。そのための権限委譲と判断基準は明文化されているか。
Q2. 自社が停止したとき、取引先は代替手段を持っているか？
サプライチェーンの上流にいる企業として、自社の停止が下流に与える影響を把握しているか。取引先が代替調達先を確保していることを確認しているか。あるいは、自社が寡占的な立場であることを認識しているか。
Q3. 「身代金を払わない」という方針を、取締役会で決議できるか？
攻撃者に身代金を払うことは、次の攻撃を助長する。しかし、顧客データの公開を防ぐために払うべきだという声も出るだろう。有事になる前に、この問いに対する組織としての答えを持っているか。
ニチレイグループの事例は、倒産には至らなかった。しかし、この「成功した復旧」の裏側には、日本の食品インフラが内包する構造的脆弱性が露呈している。次に攻撃されるのは、あなたの会社かもしれない。そのとき、11日間で復旧できる準備はできているだろうか。