ニチレイのサイバー攻撃で止まる食品物流…アサヒグループとの違い、「ジャストインタイム」が生み出す脆弱性、２つの事案から見えること

　冷凍食品大手のニチレイは2026年７月13日、不正アクセスによるシステム障害の発生を公表した。影響は、ニチレイロジグループ各社の冷蔵倉庫における入出庫業務と、ニチレイフーズの冷凍食品出荷業務に及び、被害範囲は国内に限定されるとされた。

　同社は発生当日に緊急対策本部を設置し、顧客や取引先の個人情報、顧客データの保護を最優先に、グループで使用するシステムの遮断措置を講じた。７月15日の第２報では、調査の結果、同社のサーバーがサイバー攻撃を受けたことを確認したと発表した。

（アフロ/gettyimages）

　この事例は、25年９月に発生したアサヒグループホールディングスへのサイバー攻撃を想起させる。両社はいずれも食品関連企業であるが、事業構造が大きく異なる。その違いは、同じサイバー攻撃でも被害の現れ方と社会的波及を大きく左右する。

業態の違いが決める被害の「向き」

　最も本質的な違いは、両社の事業構造にある。アサヒは自社製品を製造・販売する企業である。システム障害によって停止したのは、主として自社の受注や出荷だった。被害は、アサヒの製品が店頭から消えるという形で現れた。困ったのは消費者や小売業者だが、供給が止まったのは基本的にアサヒ製品であり、一定程度は競合製品による代替が可能だった。

　これに対してニチレイは、食品メーカーであると同時に、グループ外売上比率が92％に達する低温物流事業を展開している。今回の障害で止まったのは、ニチレイの自社製品だけではない。約5000社の荷主が扱う商品の流れそのものが滞ったのだ。ケンタッキー・フライド・チキン（KFC）のチキン、くら寿司の食材、生協の宅配、学校給食など、業種を横断して他社の事業継続に影響が及んだ点で、同程度のシステム障害であっても社会的な波及の構造は大きく異なる。

写真を拡大

　アサヒ型が「一メーカーの供給支障」であるとすれば、ニチレイ型は「物流インフラの機能停止」である。この違いは、サイバー攻撃の被害を考える上で極めて重要である。

被害は「深さ」と「広がり」を分けて考える

　サイバー攻撃の被害は、一つの企業がどれだけ深刻な損害を受けたかという「深さ」と、どれだけ多くの企業や消費者に波及したかという「広がり」を分けて考える必要がある。

　被害の深さという点では、アサヒの方が大きい。ファイルの暗号化が確認され、当初は約191万件について情報漏えいのおそれがあるとされた。最終的に漏えいが確認された件数は約11万5000件に縮小したものの、受注・出荷の停止は長期化し、通期決算の開示が26年7月まで延期される事態となった。

　一方、第三者への波及の速さと広さという点では、ニチレイの被害が際立つ。停止から4日後の時点で少なくとも11組織に影響が及び、実質的には約5000社の荷主と、その先の消費者にまで影響が広がった。

　ニチレイについては、情報漏えいは現時点では「可能性」の段階にとどまり、ファイル暗号化の有無も公表されていない。したがって、被害の深さについての最終的な評価は、今後の調査を待つ必要がある。

破られた時にどう対応するか

　今回の２つの事例から企業が学ぶべき対策は、大きく３層に整理できる。第１は、システムへの侵入を防ぐ対策である。第２は、防御が破られた場合に企業自身の被害を最小化する対策である。第３は、顧客や取引先の被害を最小化する対策である。

　重要なのは、第２と第３を別々の問題として考えてはならないことである。顧客被害は、最終的に自社の被害として還流するからである。

　今回の初動では、個人情報の保護を最優先し、システムを遮断した。データ流出、訴訟、行政処分、信用毀損などの被害拡大を防ぐ上で、合理的な判断であったと考えられる。