「3日」で戻る企業、「73日」かかる企業 ランサム被害の明暗を分ける“ある要素”：「自社だけ守る」ではもう足りない

ニチレイへのサイバー攻撃は、冷凍食品の出荷や倉庫業務だけでなく、外食チェーンの店舗運営にも影響を及ぼしました。なぜ1社のシステム停止がここまで広がるのでしょうか。

[雨輝ITラボ（リーフレイン）, 編集：田渕聖人，＠IT]

　サイバー攻撃によって停止するのは、サーバやネットワークなどのITシステムだけではありません。システムに支えられた物流や生産、販売、顧客対応といったコア業務が止まり、取引先や利用者の事業にまで影響が波及することがあります。

　2026年7月、大手食品・低温物流のニチレイグループがサイバー攻撃を受け、被害拡大を防ぐためグループ内システムを遮断しました。この影響で、冷凍食品の出荷や冷蔵倉庫の入出庫業務が停止。さらに、ニチレイグループの物流網を利用する外食チェーンにも食材の配送遅延などの影響が及んでいます。

　これは、サイバー攻撃によるシステム停止が1社の問題では終わらないことを示す事例です。医療や港湾、物流などでもランサムウェア被害が相次いでいますが、復旧までに要した期間には大きな差があります。

　攻撃者の侵入を完全に防ぐことが難しい以上、重要なのは「侵入を許さない」ことだけではありません。侵害によってITシステムが停止することを前提に、どの事業を優先し、どの手段で継続し、どのシステムをいつまでに復旧させるのかをあらかじめ決めておく必要があるでしょう。

　サイバー攻撃をIT部門だけの障害ではなく、経営と事業継続の問題として捉える「サイバーBCP」が求められているのです。

ニチレイ被害で露呈した「1社の停止」がサプライチェーンを止める現実

　食品サプライチェーンは、製造、卸、小売、外食など多くの企業が密接に連携しています。そのため1社のシステム停止が、取引先やその先の事業に波及しやすい構造を持っています。ニチレイの事例は、その構図を象徴するものです。

冷凍食品の出荷停止から外食チェーンの店舗運営まで

　ニチレイは2026年7月13日にシステム障害を公表し、被害拡大を防ぐためグループ内システムを遮断しました。この結果、ニチレイロジグループの冷蔵倉庫での入出庫業務と、ニチレイフーズの冷凍食品出荷業務が停止しました。

　その後の調査でサーバへのサイバー攻撃が判明し、個人情報が保存されたサーバの一部で漏えいの可能性がある事案として、個人情報保護委員会にも報告しています。

　影響はニチレイグループ内にとどまりませんでした。ニチレイグループの物流網を利用する日本ケンタッキー・フライド・チキン（KFC）では、食材納品への影響から一部商品の品切れや営業時間短縮の懸念が生じ、モバイルオーダーなどのオンラインサービスも一時停止しました。また、くら寿司でも寿司ネタなど一部食材の配送遅延や未着が発生したと公表しています。

　重要なのは、攻撃者がこれらの企業のシステムを直接攻撃したわけではない点です。1社のシステムを遮断した結果、その企業に依存する物流や店舗運営にまで影響が連鎖したのです。そういった意味でサイバーリスクは、もはや自社のネットワーク境界だけを見て管理できるものではなくなっています。

• 参考記事：ニチレイのサイバー攻撃被害、外食チェーンを直撃　KFC全店にも影響広がる

「3日」「50日」「73日」　復旧期間の差を生んだ「侵入後」の備え

　過去に発生した大阪急性期・総合医療センター、名古屋港コンテナターミナル、物流企業の関通におけるランサムウェア被害を振り返ると、侵入経路だけでなく、侵入後にどのような復旧手段を持っていたかによって、事業への影響が大きく変わることが分かります。

共通していたのは「外部と内部をつなぐ接続点」のリスク

　3事例はいずれも、外部と内部をつなぐ接続点が侵入経路となっていました。

　大阪急性期・総合医療センターでは、給食事業者との間で不要なRDP（リモートデスクトップ）接続が常時接続状態にあり、給食事業者側のVPN機器の脆弱（ぜいじゃく）性を突かれたことが侵害の入り口となりました。

　名古屋港コンテナターミナルでは、接続元IPアドレスの制限や多要素認証（MFA）が設定されていない保守用VPNが侵入経路になった可能性が指摘されています。

　関通においても、VPN機器の脆弱性を突かれてネットワーク内部への侵入を許し、ランサムウェア「Akira」によるデータ暗号化被害を受けました。

　これらの事例が示すのは、「社内ネットワークにつながる接続口だから安全」と考えることの危険性です。VPNや保守回線など、正規の接続手段であっても、脆弱性や認証設定、不要な接続状態が残っていれば、攻撃者に悪用される可能性があります。

　外部との接続点を減らすことはもちろん、必要な接続についても認証やアクセス制御を適切に設定し、継続的に見直す必要があるでしょう。

復旧速度を決めるのは「セキュリティ対策の強さ」だけではない

　3事例の復旧期間は、名古屋港が3日、関通が約50日、大阪急性期・総合医療センターが73日と大きく異なっています。

　ただし、この数字だけを見て「3日で復旧できた企業の対策が優れていた」「73日かかった企業の対策が不十分だった」と評価することはできません。業界や事業特性、システムの規模、復旧対象、社会的責任などがそれぞれ異なるためです。

　むしろ注目すべきなのは、侵入後にどのような選択肢を持っていたかでしょう。

　名古屋港では、本番環境とは別の場所に1日1回のバックアップを隔地保管していたことに加え、現場に「紙と手書き」による運用ノウハウが残っていました。こうしたバックアップと代替運用の組み合わせが、短期間での機能回復を支えたわけです。

　関通では、既存IT資産を全て廃棄してゼロから再構築する経営判断を下し、約30人の内製開発チームと緊急資金を復旧作業に集中投入しました。その結果、約50日で再稼働を果たしています。

　一方、大阪急性期・総合医療センターでは、本番環境から十分に分離されていなかったバックアップも同時に暗号化されたことで、約2200台の端末を手作業で1台ずつ初期化・復旧せざるを得ず、73日という期間を要しました。

　つまり、被害の長期化を左右するのは「侵入を100％阻止できたかどうか」だけではありません。攻撃を受けても利用できるバックアップがあるかどうか、システム停止中に代替手段で重要業務を継続できるかどうか、復旧対象や優先順位について経営層が迅速に判断できるかどうか。こうした「侵入後」の備えが、事業の復旧速度を左右するのです。

• 参考記事：ニチレイも事業停止　ランサム復旧「3日」「50日」「73日」の分岐点　医療・港湾・物流のサイバー攻撃に学ぶ

サイバーBCPの核心は「何を守るか、いつ戻すか」

　サイバー攻撃対策では、脆弱性対策、多要素認証、EDR（Endpoint Detection and Response）、SASE（Secure Access Service Edge）、ゼロトラストなどの技術が注目されます。確かにこれらはいずれも重要な対策ではあります。

　しかし技術を導入すること自体が目的になってはいけません。自社にとって何が重要な業務なのか、どの程度の停止まで許容できるのかを把握しなければ、限られた予算や人員をどこに投入すべきか判断できないでしょう。

　サイバーBCPとは、サイバー攻撃によってITシステムが停止することを前提に、重要業務をどのように継続し、どの順番で復旧するかを定める取り組みです。

　後述するゼロトラスト改革を推進したトヨタ自動車の寺澤氏（情報セキュリティ・トラスト部長）も、「攻撃を知る」「事業リスクを把握する」「戦略を策定する」というプロセスの重要性を示しています。

　これは技術対策を後回しにするという意味ではありません。事業リスクから逆算して必要な技術を選び、優先順位を付けることが重要なのです。

バックアップ、代替運用、RTOをセットで考える

　サイバーBCPを実効性のあるものにするには、少なくとも3つの備えをセットで考える必要があります。

　1つ目は、本番環境から物理的・論理的に分離したバックアップです。攻撃者から到達可能な状態にあるバックアップは、本番環境と同時に暗号化されるリスクがあります。隔地保管やオフライン保管などを組み合わせるとともに、実際にデータを復元できるかどうかを定期的にテストする必要があるでしょう。

　重要なのは「バックアップが存在すること」ではなく、「攻撃を受けた後でも復元でき、業務を再開できること」です。

　2つ目は、システム停止時の代替運用です。紙や電話などを使い、重要業務だけでも継続できる手順を定めておく。これはデジタル化への逆行ではなく、システム障害時に事業を完全停止させないためのプランBだと言えるでしょう。

　3つ目は、目標復旧時間（RTO）と復旧優先順位の明確化です。「どのシステムを何時間以内に戻すのか」「どの業務を最優先するのか」「誰が事業再開を判断するのか」を事前に決めておきます。

　さらに、そのRTOを前提として実際に復旧できるかどうかを訓練で検証する必要があります。技術担当者だけでなく、経営層や事業部門も参加し、システム停止から事業再開までの意思決定を疑似体験することが重要です。

　後編ではトヨタのゼロトラスト改革事例などから、攻撃された後の企業に必要な備えを探ります。