ニチレイの物流障害と12日間の復旧｜現場介入型BCP運用の要諦

2026年7月13日、株式会社ニチレイは外部からのサイバー攻撃を検知し、社内ネットワークおよび基幹システムを緊急遮断した。この遮断措置により、国内シェア約8.5%を握る低温物流網の入出庫と食品出荷が全面的に停止し、外食チェーンや小売各社への供給に影響が及んだ。

ニチレイを襲ったサイバー攻撃の全容とサプライチェーンへの波及

2026年7月13日午前6時50分頃、株式会社ニチレイの社内ネットワークにおいて異常が検知された。同社は直ちに外部ネットワークとの接続を隔離・遮断する緊急措置を実施。この初動対応に伴い、グループの食品事業を担う株式会社ニチレイフーズの冷凍食品出荷業務と、低温物流事業を担うニチレイロジグループ各社の冷蔵倉庫における入出庫業務が全面停止に追い込まれた。

ニチレイロジグループの国内冷蔵倉庫設備能力は約156万〜159万トンに達し、国内シェアの約8.5%を占める国内首位の低温物流インフラである。自社製品の保管・配送にとどまらず、年間約5,000社にのぼる食品メーカーや流通事業者が同社の倉庫機能を利用している。そのため、同社のシステム停止は単一企業のトラブルを超え、食品流通網全体を揺るがす事態へと直結した。

2日おきの情報開示と段階的復旧のタイムライン

ニチレイは障害発生当日から事態が実質的に終結する8月中旬まで、ほぼ2日おきに状況をニュースリリースで公表した。初動のシステム遮断から段階的な手作業代替運用、主要機能の再開、そして通常稼働への復帰に至る経緯は以下の通りである。

同社は7月13日の停止以降、システムに依存しない現場作業や手作業伝票の発行といった代替運用を順次立ち上げ、発生から12日目となる7月24日には物流および製造出荷の大部分を通常稼働へ復帰させた。

参考記事: 2026年7月に起きた株式会社ニチレイのシステム障害と物流BCPの必須対応

外食・小売各社に拡大した供給網寸断の実態

ニチレイの物流・出荷機能が停止したことで、供給先である外食産業や小売チェーンでは即座に食材の調達難が発生した。特にジャストインタイムでの店舗配送を前提としていた企業では、在庫のバッファーが枯渇し、一般消費者が利用する店頭オペレーションに直接的な制限が生じる結果となった。

日本ケンタッキー・フライド・チキンでは、食材配送をニチレイロジグループに委託していたことから、連休を控えたタイミングで広範囲な店舗営業の変更を余儀なくされた。また、くら寿司でも関西地区を中心に特定ネタの入荷がストップするなど、冷蔵・冷凍倉庫の停止がコールドチェーンの下流全体を連鎖的に麻痺させるリスクが可視化された。

参考記事: ニチレイなど2026年7月の障害事例に学ぶ物流網寸断を防ぐBCP

攻撃グループ「RansomHouse」の関与と個人情報漏えい

障害発生から約1週間が経過した7月21日夜から22日にかけて、ロシア系ハッカー集団「RansomHouse（ランサムハウス）」が闇サイト（ダークウェブ）上にニチレイへの犯行声明を掲載した。同グループは社内から窃取したと主張する従業員の個人情報や社内文書データの一部をサンプルとして公開し、データ流出を防ぎたい場合は連絡するよう要求した。RansomHouseは、2025年10月に国内の事務用品通販大手アスクルが被害に遭い、センター業務の長期停止を余儀なくされた事案でも関与が取り沙汰された攻撃組織である。

ニチレイは広報を通じて犯行声明の存在を認識している旨を明かしつつ、警察や外部専門機関と連携して詳細な調査を継続。8月14日の第6報において、侵害を受けたサーバーの一部に保存されていた国内グループ会社従業員の個人情報（氏名、生年月日、メールアドレス、従業員番号、人事労務データ等）が外部に流出したおそれがあることを公表した。顧客データや取引先決済情報の不正利用は確認されていないものの、ランサムウェアを用いた二重恐喝（データの暗号化による操業停止と、窃取データの暴露予告）が日本の基幹物流インフラに対して実行された事実が示された。

サプライチェーン防衛を促す政策動向「SCS評価制度」

民間物流網へのサイバー攻撃が深刻化する中、政府によるサプライチェーン全体の防御力底上げに向けた制度設計も動き出している。経済産業省および内閣官房国家サイバー統括室は、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度（通称：SCS評価制度）」の制度構築方針を正式に公表した。

本制度は、所管の独立行政法人情報処理推進機構（IPA）がスキームオーナーとなり、サプライチェーンを構成する企業群のセキュリティ対策状況を客観的に評価・可視化する枠組みである。2026年秋頃に評価基準の詳細を示すガイド類が公表され、12月頃の評価機関認定を経て、2026年度末（2027年初頭）より「★3」および「★4」の本格的な運用・申請受付が開始されるスケジュールとなっている。

従来の情報セキュリティ監査が個別企業のIT環境のみを対象としていたのに対し、SCS評価制度は物流や部材調達を担う委託先・取引先を含めたサプライチェーン全体を評価のスコープに入れている。独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026（組織編）」においても、「サプライチェーンや委託先を狙った攻撃」が第2位にランクインしており、物流事業者が荷主から客観的なセキュリティ基準への適合を求められる環境が整いつつある。

参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド

サプライチェーン各層が直面した危機と業務への影響

ニチレイのインシデントは、物理的な設備に損傷がない場合であっても、情報基盤が遮断されるだけで物流が物理的に停止することを証明した。この事態は、倉庫事業者、小売業者、製造メーカーのそれぞれに固有の課題とリスクを突きつけている。

倉庫事業者・3PL：WMS停止による在庫のブラックボックス化と代替手順の欠落

倉庫事業者や3PL企業において、基幹システムや倉庫管理システム（WMS）のダウンは、保管されている商品の「位置・数量・出荷先」を完全に喪失することを意味する。自動倉庫、デジタルピッキング表示器、無人搬送車（AGV）などを高度に導入している施設ほど、制御システムとの通信が切断された瞬間に庫内作業が完全に麻痺する構造的弱点を抱えている。

ニチレイロジグループの現場では、WMSのデータ参照が不可能になった直後から、入出庫業務の制限と手作業による代替運用が試みられた。しかし、数万点に及ぶ温度管理品を手作業で検品・仕分け・出荷指示することは極めて困難であり、トラックのバース待機や納品時間の遅延を招いた。

現代の物流施設において求められるのは、システム停止をあらかじめ想定した「縮退運用手順」の標準化である。オフライン環境でも動作するスタンドアローンの端末配備や、直近の在庫データを定期的にローカル保存するバックアップ体制、紙の帳票を用いた緊急ピッキング訓練が平時から整備されていなければ、突発的なネットワーク切断時に物理的作業を継続することはできない。

小売業者：単一調達先への依存が生んだ店頭欠品と店舗オペレーションの混乱

スーパーマーケットや外食チェーンなどの小売・流通事業者にとって、今回の事案は調達先の過度な集中がもたらす事業停止リスクを露呈させた。ジャストインタイム配送やデイリー発注に最適化された店舗運営では、バックヤードの在庫スペースを極小化しているため、物流センターからの供給が1日止まるだけで店頭の欠品に直結する。

日本ケンタッキー・フライド・チキンでは、全国の店舗へチキンなどの主要食材を届ける物流をニチレイロジグループに依存していたため、代替配送ルートを即座に確保できず、一部店舗の休業やオンライン注文の停止に追い込まれた。くら寿司やイオンのネットスーパーでも特定カテゴリーの商品棚に空きが生じ、顧客満足度の低下や販売機会の逸失を招いた。

小売事業者は今後、基幹食材や重要商品における配送拠点の複数化（マルチソース化）や、特定の3PL事業者が被災・機能停止した際における緊急代替便の協定締結など、調達・物流網の冗長性確保を戦略的に進める必要がある。単一拠点・単一委託先による効率性の追求は、平時には低コストを実現するものの、有事にはサプライチェーンの急所となる。

参考記事: SCRM（サプライチェーンリスクマネジメント）とは？BCPとの違いや5つの構築ステップをわかりやすく解説

食品・製造メーカー：出荷指示寸断が招く工場停止と委託先セキュリティ統制

食品メーカーをはじめとする製造業者にとって、物流システムの機能不全は工場の生産ラインそのものを停止させる要因となる。製造工場が無傷であっても、完成品を出荷する冷蔵倉庫の受け入れが止まれば、工場内の保管スペースは数日で満杯になり、製造ラインを停止せざるを得なくなる。

アサヒグループホールディングスが過去に経験したサイバー攻撃でも、出荷指示システムが停止したことで国内の主力ビール工場が2日間の完全停止に追い込まれた。ニチレイにおいても、ニチレイフーズの工場で製造された冷凍食品を物流網へと流すパイプラインが遮断されたことで、製造計画の大幅な修正と在庫滞留が発生した。

さらに、大手メーカーには自社のみならず、共同配送パートナーや下請け運送会社を含めたセキュリティ統制が求められる。アサヒグループジャパンや花王、サントリーホールディングスなど大手10社が2026年4月に「一般社団法人 流通ISAC」を設立した背景にも、委託先を踏み台とするサプライチェーン攻撃の激化がある。自社のITセキュリティを固めるだけでは防衛は成立せず、物流を委託するパートナー全体のセキュリティ水準を管理・支援する体制が不可欠となっている。

参考記事: アサヒグループジャパンなど10社が2026年4月に流通ISAC設立、共倒れ防ぐ

LogiShiftの視点：全自動化の盲点と現場判断を組み込む「HITL」の必然性

本件が物流業界に投げかけた本質的な問いは、サプライチェーンのデジタル化・自動化が進むほど、「デジタルの停止＝物理物流の全停止」という構造的脆弱性が高まっている点にある。人手不足への対応としてWMSのクラウド化やロボティクス、受発注AIの導入が進む現代において、システムが完全に正常であることを前提とした業務設計は、ひとたびサイバー攻撃に晒されれば致命的な操業停止を招く。

ここで不可欠となるのが、システム障害時における「HITL（Human-in-the-Loop：人間の介入を前提とした設計）」の思想である。

「止まることを前提」としたHITLプロトコルの組み込み

HITLとは、自動化されたシステムの中に人間の意思決定や手作業の介入ポイントをあらかじめ設計しておくアプローチを指す。従来の物流BCPでは、地震や風水害による物理拠点の損壊を想定したものが大半であり、「物理的な倉庫やトラックは無事だが、ITシステムだけが使えない」という事態に対する人間のオペレーション手順が著しく欠落していた。

ニチレイが攻撃発生から12日間で全拠点の通常稼働へ復帰できた背景には、発生直後の速やかなシステム切り離しという決断に加え、手作業を交えた受発注・出荷の暫定プロセスを現場主導で迅速に立ち上げた点がある。この初動を偶発的な現場の奮闘に委ねるのではなく、以下のようなHITLプロトコルとして平時から制度化しておくことが求められる。

• オフライン業務権限の現場委譲: 基幹サーバーと切り離された状況下において、どの管理職の承認で紙の伝票やスタンドアローン端末による入出庫を開始できるかの指揮権プロトコルの事前策定。
• 優先出荷品目の事前合意: システム復旧までの縮退運用下において、限られた人員と手作業で優先して出荷すべき商品群（賞味期限の短いチルド品や契約上の重要品目）に関する荷主との事前協定。
• 定期的な「手作業切り替え訓練」: 年に1回など、あえてWMSのネットワークを遮断し、紙の指示書や手書きの台帳のみで入出庫と検品を行う現場訓練の定期実施。

SCS評価制度を見据えたサプライチェーン防衛の標準化

経済産業省が推進する「SCS評価制度」の本格運用が2026年度末から始まることは、物流事業者にとってセキュリティ対策が「単なるIT部門のコスト」から「取引を継続するための必須要件」へと昇格することを意味する。★3や★4の評価基準を満たすためには、自社のサイバー攻撃対策だけでなく、委託先管理やインシデント発生時の事業継続性が厳格に問われる。

全自動化されたスマート物流を追求する一方で、有事には人間の直感と現場判断によってサプライチェーンの最低限の動脈を維持する「HITL」をBCPに組み込むこと。この両輪が揃って初めて、サイバー攻撃が日常化する時代におけるサプライチェーン・レジリエンスが確立される。

まとめ：明日から自社で着手すべきサイバーレジリエンスの実務

ニチレイの事例が示したのは、卓越した設備能力を持つ国内首位のコールドチェーンであっても、外部からの不正アクセスによって瞬時に機能不全に陥るという現実である。そして同時に、迅速な情報開示と現場の人的介入による段階的復旧が、影響を最小限に抑える上で決定的な差を生むという教訓でもある。

物流およびサプライチェーンに携わる経営層と現場リーダーは、明日から以下の実務に着手すべきである。

1. システム完全停止を想定した「手作業切り替えマニュアル」の策定

基幹WMSやTMSとの通信が完全に途絶えた状況を前提とし、スタンドアローンPCや紙の伝票を用いて最低限の入出庫・配送を継続するための現場運用ルールを明文化する。

2. 荷主・取引先との「有事優先出荷協定」の締結

縮退運用下における出荷能力の低下を見越し、緊急時に優先して供給・配送すべきコア製品や重要拠点を平時から荷主と合意しておく。

3. SCS評価制度を見据えた委託先セキュリティ水準の棚卸し

2026年度末から本格稼働するSCS評価制度を視野に入れ、自社のネットワーク接続環境だけでなく、協力運送会社や下請け倉庫の認証・端末管理体制を総点検する。

出典: IT Leaders
出典: INTERNET Watch
出典: ロジスティクス・ネットワーク
出典: ITmedia NEWS
出典: 読売新聞オンライン
出典: 経済産業省
出典: ニチレイ 会社概要