※本稿は2026年7月22日9時(執筆時点)までの公開情報に基づいています。今後の発表により内容が変わる可能性があります。

はじめに

2026年7月中旬、ケンタッキーフライドチキンの店頭から一部商品が消え、スーパーの冷凍食品売り場では欠品が目立ちました。原因は小売各社のシステムではありません。冷凍食品と低温物流の大手、ニチレイグループへのサイバー攻撃でした。

自社が攻撃されていなくても、店頭は止まる。今回の事案は、この現実を広く知らしめました。

さらに、復旧が進んだ矢先の7月21日夜、サイバー犯罪グループ「RansomHouse(ランサムハウス)」が犯行声明を出したと報じられました。事案は「業務の復旧」から「恐喝への対応」という新しい局面に入りつつあります。

こうした局面の変化を前に、筆者が経営者の皆様に伝えたいことは一つです。初動も、犯行声明への対応も、当日に思いついてできるものではありません。本コラムでは事案を時系列で振り返り、有事の対応力が平時のどこで決まるのかを考えます。

1．何が起きたのか ―― 発覚から犯行声明まで

2026年7月13日早朝、ニチレイはシステム障害を検知しました。同社は緊急対策本部を設置し、顧客・取引先データの保護を最優先にグループのシステムを自ら遮断。同日中に第1報を公表しました。

7月15日の第2報では、自社サーバがサイバー攻撃を受けたことを確認したと発表。被害サーバの一部に個人情報が含まれるため、個人情報保護委員会へ「漏えいの可能性がある事案」として報告したことも明らかにしました。

7月16日には、東証プライム上場企業としてTDnetで適時開示を行いました。17日には受発注を一部制限したうえで冷蔵倉庫と食品工場の稼働を部分的に再開し、翌週中の全拠点通常稼働を目標に掲げました。発生から1週間あまりで、欠品していた一部商品は店頭に戻り始めたと報じられています。

そして7月21日夜、事態は新しい局面に入りました。犯罪グループによる犯行声明です(詳しくは第3章で述べます)。

図1：ニチレイ事案の時系列（VLCセキュリティ作成）

なお、攻撃手法の詳細は被害拡大防止のため非開示とされています。犯行声明を踏まえてもなお、被害の全容は公式には確認されていません。

2．初動は当日には作れない ―― 遮断・報告・開示の3点セット

筆者が注目するのは、被害の大きさよりも初動の速さです。

同社は検知した当日のうちに、対策本部の設置、システムの自主遮断、第1報の公表までを実行しました。さらに、漏えいが「確認」される前の「可能性」の段階で個人情報保護委員会に報告し、3日後には適時開示まで行っています。

一連の動きは、判断基準・権限・手順が事前に決まっていなければ、この速度では実行できません。ここからは筆者の推測ですが、同社には平時からの準備と訓練の蓄積があったとみられます。

読者の皆さまも逆の立場で考えてみてください。「基幹システムを自ら止める」判断は、事業停止の損失を伴います。誰がその権限を持ち、どれだけの時間で決めるのか。平時に決めていない会社では、経営会議の招集を待つうちに被害が広がります。

3．犯行声明という「第二の有事」―― RansomHouseとは何者か

7月21日夜、サイバー犯罪グループ「RansomHouse」がニチレイへの攻撃を主張する犯行声明を出したと、NHKや日本経済新聞など各社が報じました。ニチレイ自身は、執筆時点でこの声明との関連を公式に確認していません。

RansomHouseは、2021年12月頃に活動が初めて観測された、比較的新しい犯罪グループです。データを盗み出し「支払わなければ売却・公開する」と迫る恐喝型の手口が特徴とされ、業種や地域を問わず、金銭的利益が見込める組織を狙うと分析されています。

セキュリティ各社の分析では、White RabbitやMarioといったランサムウェアとの関連も指摘されています。また、自らを「被害企業と交渉する仲介人」のように演出し、犯行の責任を被害者側のセキュリティ不備に転嫁する姿勢でも知られています。日本では2025年10月のアスクル事案でも同グループが犯行声明を出し、約1.1TBのデータ窃取を主張して、盗んだとするデータを段階的に公開したと報じられました。

図2：RansomHouseの概要（VLCセキュリティ作成）

ここで強調したいことが二つあります。第一に、犯行声明は攻撃者の一方的な主張です。誇張は彼らの常套手段であり、声明が出たこと自体は「漏えいの確定」を意味しません。声明の内容をそのまま事実として受け取り混乱すれば、攻撃者の狙いどおりになってしまいます。

第二に、それでも「声明が出た後」の対応は、初動と同じく、その場では作れません。盗まれた可能性のあるデータの特定、当局や専門家との連携、取引先への説明、公表の判断。そして身代金要求への態度です。警察庁などは支払いに応じないよう呼びかけています。支払ってもデータ削除の保証はなく、再攻撃や犯罪収益化のリスクを高めるためです。誰がどう判断するかを、平時に決めておく必要があります。

4．「自社は無事」でも事業は止まる

今回の事案のもう一つの教訓は、被害が契約関係を越えて広がったことです。

報道によれば、KFC店舗での商品の品切れや営業時間の短縮、回転寿司チェーン一部店舗での寿司ネタの欠品、スーパーでの冷凍食品の欠品、さらには学校給食の献立変更にまで影響が広がったとされています。

低温物流は代替が利きにくい領域です。冷凍・冷蔵品は、常温の倉庫やトラックに逃がすことができません。

この「代替できない委託先」という論点は、当社顧問の西本逸郎氏(株式会社セキュリティドライブ 代表取締役)がコラムで深く論じています。委託先が2週間止まったとき、自社の事業は何日もつのか。経営者がそのまま自社に当てはめられる問いが並びますので、ぜひ併せてお読みください。

5．明日から点検できる5項目

では、自社は何から手をつけるべきでしょうか。当社では今回の事案を踏まえ、サプライチェーン型インシデントの自社点検チェックリストを図3のとおり整理しました。

図3：自社点検チェックリスト（VLCセキュリティ作成）

5項目に共通するのは、どれも「有事に初めて考えたのでは間に合わない」ことです。外部依存の棚卸しも、遮断の判断基準も、取引先への公表テンプレートも、平時に作り、訓練で磨いておくものです。

チェックリストは、自社と取引網の両面で確認してください。「決まっていない」項目が見つかったときこそ、体制づくりと訓練に踏み出す好機です。

おわりに ―― 有事の対応力は、平時にしか手に入らない

攻撃を受けるかどうかを、経営者は選べません。犯行声明を出されるかどうかも選べません。しかし、攻撃を受けた朝に何ができるか、声明を突きつけられた夜にどう構えるかは、平時の意思決定で選ぶことができます。

初動の速さは、平時の準備に宿る。復旧の早さは、訓練の回数に宿る。信頼の回復は、開示の誠実さに宿る。

この「平時の準備」を実践レベルでどう回すか。トヨタ自動車の実務家をお招きし、サイバーBCP(サイバー攻撃を想定した事業継続計画)と訓練の続け方を深掘りするウェビナーを開催します。本コラムの問題意識をそのまま持ち込める場です。ご参加をお待ちしています。

VLCセキュリティグループは、平時の備えから有事の対応までを一気通貫で支援し、お客様とともに「止まらない経営」を作り続けます。

VLCセキュリティグループ　CISO ／ VLCセキュリティラボ 代表

中本 有哉

2026年7月22日9時 執筆