ニチレイ純利益48億円減、11日間の停止が突きつける物流BCPの課題

株式会社ニチレイは2026年8月7日、2026年12月期の通期連結純利益予想を前回発表から48億円減の204億円へ下方修正しました。同年7月に発生したサイバー攻撃によるシステム停止が約8億円の利益押し下げ要因となり、物流インフラの脆弱性が直接業績を圧迫するリスクを証明しました。

2026年7月インシデントの全容と決算下方修正の明細数値

2026年8月7日、株式会社ニチレイは2026年12月期の連結業績予想の下方修正を公表しました。同社は今期より決算期を3月期から12月期へ変更したため、今回は9カ月間の変則決算となります。修正の主な要因として挙げられたのが、2026年7月13日に発覚したサイバー攻撃によるシステム障害と、中東情勢の緊迫化に伴うエネルギー・燃料コストの急増です。

今回の下方修正において、本業の儲けを示す営業利益は従来予想の338億円から300億円（38億円減）へ、親会社株主に帰属する当期純利益は252億円から204億円（48億円減）へとそれぞれ引き下げられました。このうち、サイバー攻撃に伴う営業利益への直接的なマイナス影響は現時点で約8億円と試算されています。

不正アクセス発生から完全復旧・業績発表までの時系列

2026年7月13日早朝にシステム異常が検知されてから、業績予想の修正発表に至る一連のタイムラインは以下の通りです。

連結業績予想の修正明細とコスト増加要因

サイバー攻撃による営業利益減益約8億円の明細としては、食品事業における出荷停止や低温物流事業での入出庫停止に伴う機会損失、手作業代替オペレーションに伴う人件費・緊急対応費用などが含まれます。また、売上高においても食品事業で約20億円、物流事業で約30億円、合計で約50億円の押し下げ影響が生じる見通しです。

一方、営業利益の減益幅38億円のうち、サイバー攻撃起因の約8億円を除く残りの約30億円分は、中東情勢の緊迫化に伴う電力コストや原油価格（配送燃料費）の高騰によるものです。

グループ構造と停止したコールドチェーンの規模

持株会社である株式会社ニチレイの傘下には、国内冷凍食品最大手である「株式会社ニチレイフーズ」（100%子会社）と、国内の冷蔵倉庫市場で首位となる保管能力（約159万トン・シェア約8.6%）を誇る「株式会社ニチレイロジグループ本社」（100%子会社）が存在します。

今回のインシデントでは、外部からの不正アクセスを受けた際に被害の横展開を防ぐため、基幹システム（WMS：倉庫管理システム等）をネットワークから自己防衛的に遮断しました。この措置により、マイナス20度以下に管理される同社の冷蔵倉庫75カ所において「どのパレットに何が保管され、どこへ出荷すべきか」というロケーション情報が暗黒化し、物理的なモノの流れが完全に沈黙する事態となりました。

参考記事: 株式会社ニチレイが7月13日に不正アクセスでシステム障害｜コールドチェーン停止が示すデジタルBCPの必須対応
参考記事: 株式会社ニチレイの5000社供給寸断が示す低温物流BCPの必須対応

サプライチェーン各プレイヤーへ及ぶ具体的な実害と課題

国内最大の低温物流プラットフォーム機能が11日間にわたり制限されたことは、単一企業の決算数値にとどまらず、日本の食を支えるサプライチェーン全体に広範な影響を及ぼしました。各プレイヤーが直面した現実的な課題を整理します。

1) 倉庫事業者・3PL：高自動化倉庫ほど跳ね上がるシステム停止時の物理被害

倉庫管理システム（WMS）や自動倉庫（AGV・ソーター等）の導入が進む現代の物流拠点では、デジタルデータが物理的な現場オペレーションの「前提条件」となっています。

今回のケースが示したのは、デジタル依存度が高ければ高いほど、システムが停止した際の物理的な代替手段が失われ、事業停止による機会損失がダイレクトに数億円規模の利益圧迫（実損）に繋がるという事実です。特に過酷な環境である冷凍倉庫では、常温倉庫のような紙帳票を用いた目視捜索や手作業ピッキングが極めて困難であり、現場の作業負担増大と出荷能力の大幅低下を招きました。

2) 外食・小売業者・自治体：単一インフラ依存（SPOF）による店舗欠品と給食停止

ニチレイの低温物流網を利用する荷主企業は全国で約5,000社に上ります。システム障害の発生直後から、外食チェーンにおける主要メニューの販売休止や臨時休業、スーパーやドラッグストアの冷凍食品・アイスクリームコーナーにおける棚の欠品が相次ぎました。さらには自治体が運営する学校給食でも食材が届かず、メニュー変更や他社品への急遽差し替えが発生しました。

特定の巨大物流企業に一社集中で保管・配送を委託する効率的な運用は、有事において「単一障害点（SPOF：Single Point of Failure）」となり、自社の店舗営業や公共サービスを直接麻痺させるリスクがあることを浮き彫りにしました。

3) 食品メーカー・荷主：委託先物流のITガバナンスが自社決算・ブランドを左右

自社で直接ハッキングを受けたわけではない食品メーカーであっても、委託先である物流企業のシステムがダウンしたことで、製品があるにもかかわらず納品できず、売上の機会損失を被りました。

荷主企業にとって、物流委託先のITセキュリティ水準やBCP（事業継続計画）の実効性は、もはや「他人事のバックオフィス業務」ではなく、自社の売上・純利益およびブランド価値を左右する重大な「サードパーティ・リスク」として再認識されています。今後は物流コンペや契約において、ITガバナンスやサイバー保険の加入状況が厳しくチェックされることになります。

4) トラックドライバー：出荷制限によるバース待機爆発と労務遵守の危機

倉庫側の入出庫指示が手作業や制限運用に切り替わったことで、全国の主要物流拠点周辺には配送トラックが殺到しました。トラックバース周辺では数時間から半日以上に及ぶ深刻な荷待ち（待機時間）が発生。

「物流2024年問題」に続く「物流2026年問題」の下で拘束時間の厳格な削減や荷待ち時間の是正が法的に求められている運送事業者にとって、荷主側のシステム障害に起因する突発的な待機爆発は、運行管理計画を根底から崩壊させ、ドライバーの労務コンプライアンス違反を直接誘発する深刻な脅威となりました。

参考記事: 2026年7月に起きた株式会社ニチレイのシステム障害と物流BCPの必須対応
参考記事: 株式会社ニチレイの全国75カ所冷蔵網停止が招く給食への影響とセキュリティ対策
参考記事: 物流2026年問題とは？2024年問題との違いや法改正、実務で必要な対策を徹底解説

LogiShiftの視点：ITセキュリティから事業継続性（BCP）へのパラダイムシフト

今回のニチレイの決算修正は、サイバー攻撃が単なる「IT部門の事故対応コスト」にとどまらず、物理的な物流機能を停止させて数億から数十億円規模の営業利益を直接削り取る現実を明確に示しました。

「サイバー・フィジカル・リスク」の顕在化と経営判断の転換

過去には2023年9月のアサヒグループホールディングスにおける物流基幹システム障害により、主力工場が2日間の生産停止に追い込まれ、決算発表延期や大幅減益を余儀なくされた事例がありました。今回のアサヒグループやニチレイの事例が共通して証明しているのは、物理的な設備（工場や倉庫）が無傷であっても、デジタルデータの結節点が途切れるだけで、巨大な物流網全体が沈黙するという「サイバー・フィジカル・リスク」の恐ろしさです。

物流業界におけるサイバーセキュリティ対策は、これまで「情報漏洩を防ぐための守りのIT投資」と捉えられがちでした。しかし、これからは「物理的な物流を止めず、企業の収益と社会的インフラを守るための最優先の経営継続（BCP）課題」へとパラダイムシフトを遂げています。

2026年4月設立の「流通ISAC」による面での集団防衛へ

高度化するハッキング手口やAIを用いた自動スキャン攻撃に対して、一企業単独で防衛を完結させることには限界があります。セキュリティの隙がある協力会社や下請け運送事業者を「踏み台」として本丸を狙うサプライチェーン攻撃が主流となっているためです。

この課題に対処するため、アサヒグループジャパン、花王、サントリー、三菱食品など大手10社は2026年4月に「一般社団法人 流通ISAC」を設立しました。競合の垣根を越えて不正アクセス情報や不審メールの手口をリアルタイムで共有し、業界全体を「面」として防衛する取り組みが進んでいます。今後は、このような業界横断の安全網に適合していることが、大手荷主と取引を継続するためのデファクトスタンダードとなっていくでしょう。

100%防げない前提に立った「縮退運転」と「アナログ回帰力」

多層防御を固めても、未知の脆弱性を突く攻撃を100%防ぐことは不可能です。だからこそ求められるのは、サイバー攻撃を受けた瞬間に被害を最小限に抑え、最低限の物理稼働を維持する「サイバーレジリエンス（回復力）」です。

インシデント発生時に現場の権限で即座にLANケーブルを抜いて感染拡大を防ぐ一次対応の徹底、ローカル環境に1日1回自動保存されるオフライン在庫マスタの確保、そしてシステムが真っ暗になっても手書き伝票や紙のピッキングリストで重要顧客向けの最低限の出荷を回せる「縮退運転（アナログ代替運用）」の手順を訓練しておくこと。デジタル化を推進する企業ほど、この泥臭い「アナログ回帰能力」が最大の防衛壁となります。

参考記事: アサヒグループの2日間の生産停止に直結したサイバー攻撃とBCPの必須対応
参考記事: アサヒグループジャパンなど10社が2026年4月に流通ISAC設立、共倒れ防ぐ
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド

物流インフラを防衛するために明日から着手すべき3つのアクション

コールドチェーンの巨人であるニチレイを襲ったサイバー攻撃と、それに伴う8億円の実損・48億円の下方修正という事実は、すべての物流関係者に強い警鐘を鳴らしています。明日から現場リーダーや経営層が取り組むべき実務対策は以下の3点です。

1. 現場のIT資産とアタックサーフェス（攻撃対象領域）の完全棚卸し
   管理の届いていない古いパソコン、初期パスワードのまま稼働するネットワークカメラ、作業員が勝手に接続したWi-Fiルーター（シャドーIT）を徹底的に可視化・一掃し、ID・パスワード管理に多要素認証（MFA）を義務化すること。
2. 「システム全停止」を想定したアナログ代替運用マニュアルの策定と訓練
   WMSやTMSが完全にロックされた事態を想定し、現場センター長の判断で回線を遮断する初動ルールの明文化と、ローカル保持された在庫データをもとに紙と手作業で重要出荷を回す「デジタル防災訓練」を定期実施すること。
3. 委託先・荷主との間での有事の免責・費用負担ルールの明確化
   システム障害に巻き込まれてトラックの待機時間や配送遅延が発生した場合の運賃補償、ペナルティ免責、緊急対応費用の負担割合について、荷主・物流事業者・運送会社間で事前に契約書面での明文化を図ること。

物理的なモノの流れを止めるサイバー攻撃のリスクは、すでに現実の経営損益に直接跳ね返るフェーズに入りました。デジタルの利便性を追求しつつも、有事の際に物理インフラを死守する強靭なレジリエンスの構築が求められています。

出典: 東京新聞デジタル
出典: BigGo Finance
出典: 株式会社ニチレイ ニュースリリース
出典: 株式会社ニチレイ IR情報
出典: INTERNET Watch