株式会社ニチレイは2026年9月18日、同年7月に発生したサイバー攻撃に伴うシステム障害の調査結果を公表し、受託配送先や取引先の個人情報が外部へ漏えいしていた事実を確認したと発表しました。
流出が確認されたデータは配送業務の荷受人情報3,308件を含む計53,866件にのぼり、食品流通インフラを支えるサーバ群からサプライチェーンに連なる広範な情報が流出していた実態が明らかになりました。
ニチレイにおけるサイバー攻撃の経緯と流出データの内訳
株式会社ニチレイは2026年7月13日にシステム障害を検知した後、直ちにネットワーク遮断措置を講じるとともに、外部専門家および関係機関と連携して被害範囲と原因の調査を進めてきました。同社グループでは遮断措置に伴い、冷蔵倉庫の入出庫業務や冷凍食品の出荷業務に一時的な停止や遅延が発生したものの、安全確認と対策を経て2026年7月26日には全拠点で通常稼働へ復帰していました。
しかし、被害を受けたサーバの精査を進めた結果、保管されていた個人データの外部流出が確認され、同社は2026年9月11日に個人情報保護委員会へ正式な報告を行いました。2026年9月18日公表の「第7報」で明らかになった漏えい件数と対象項目の内訳は以下の通りです。
| 対象区分 | 件数 | 含まれる主な情報項目 | 備考 |
|---|---|---|---|
| 配送業務の配送先顧客 | 3,308件 | 氏名、住所、電話番号 | グループ受託業務の荷受人 |
| 取引先の役職員 | 6,849件 | 会社名、所属、役職、氏名、住所、電話番号、メールアドレス | 業務連絡先等 |
| 従業員・家族・求職者 | 43,709件 | 氏名、生年月日、住所、電話番号、従業員番号、給与賞与、人事情報等 | 2021年以降の退職者を含む |
流出したデータにクレジットカード情報は含まれておらず、公表時点において不正利用などの二次被害は確認されていません。同社は対象者への個別案内を進めるとともに、不審なメールや連絡に対する注意を呼びかけ、専用の問い合わせ窓口を設置して対応を行っています。
参考記事: 株式会社ニチレイの5000社供給寸断が示す低温物流BCPの必須対応
倉庫・メーカー・流通各層に及ぶ実務への影響
巨大な低温物流ネットワークを運用するニチレイのインシデントは、物理的な物流の停止にとどまらず、サプライチェーンを介して預かるデータの管理責任という課題を浮き彫りにしました。各事業者が直面する具体的な影響を整理します。
倉庫事業者・3PLにおけるデータ受託リスクの顕在化
倉庫事業者や3PL企業にとって、本件はWMS（倉庫管理システム）や配送管理基盤がサイバー攻撃を受けた際、入出庫停止という操業リスクだけでなく、荷主から預かったエンドユーザー情報の漏えいという重大な法的・信用リスクを背負う現実を突きつけました。
配送伝票の発行や個別配送の受託に伴い、物流現場のサーバには配送先の氏名、住所、電話番号といった個人情報が一時的または恒常的に蓄積されます。これらがサイバー攻撃によって奪われた場合、運送・倉庫会社側が個人情報保護法に基づく報告義務や対象者への個別対応を迫られることになり、3PL事業者の情報セキュリティ体制そのものが荷主からの選定基準として厳しく問われることになります。
参考記事: WMS（倉庫管理システム）とは？在庫管理・OMS・TMSとの違いや導入メリットを解説
製造業者・メーカーにおけるサプライチェーン情報統治の再設計
食品をはじめとする製造メーカーにとって、物流を外部委託している拠点のセキュリティインシデントは、自社製品の出荷停止と自社顧客への情報流出という二重の損害をもたらします。
自社工場が無事であっても、委託先の冷蔵倉庫や出荷管理システムが侵害を受ければ製品供給は完全にストップします。さらに、自社の取引先情報や販売先データが委託先サーバ経由で漏えいした場合、自社のブランド価値や顧客関係にも直接的な影響が及びます。メーカー各社には、物流委託先が講じているアクセス制御、ログ監視、バックアップ体制、そしてデータ保管期限の遵守状況を定期的に監査するサプライチェーンセキュリティ統治の実効性が求められます。
参考記事: 2026年7月に起きた株式会社ニチレイのシステム障害と物流BCPの必須対応
卸・問屋・流通業者における標的型攻撃リスクと取引基盤の点検
取引先の役職員情報が6,849件流出したことにより、サプライチェーンに連なる卸売業者や流通業者の担当者が、実在する取引先名や役職を騙った標的型フィッシングメールの標的となるリスクが高まっています。
業務連絡に用いられるメールアドレスや電話番号が悪意ある第三者の手に渡った場合、発注書や請求書を偽装したウイルス付きメールが送付される危険性があります。流通各社では、取引先からの不審な連絡に対する監視を強めるとともに、日常的な受発注データをやり取りするEDI（電子データ交換）やWeb受注システムの接続環境について、認証強化や通信経路の再確認を急ぐ必要があります。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
LogiShiftの視点：物流インフラが抱える荷受人データの保護責任
ニチレイのインシデントにおいて注目すべきは、漏えいしたデータの中に「受託した配送業務の配送先顧客情報3,308件」が含まれていた点です。
従来の物流セキュリティにおける議論は、WMSの暗号化による入出庫停止やトラック待機といった「フィジカルな操業停止」への対策に重心が置かれていました。しかし本件は、物流拠点のサーバが単に荷物を右から左へ動かすための装置ではなく、サプライチェーン川下の受取人情報を集約する「データ集積所」として攻撃者に狙われている現実を示しています。
物流事業者が保持する配送先データは、配送完了後も履歴確認や再配達、運賃計算のためにシステム内に滞留しがちです。今後、物流企業が講じるべき実践的な防衛策は、ネットワークの多層防御にとどまらず、「不要になった配送先個人データの即時消去・トークン化」および「配送管理系と社内人事・基幹ネットワークの完全分離」です。預かるデータを最小化し、万一サーバが不正侵入を受けた場合でも流出する情報を物理的に限定しておくアーキテクチャへの転換が、物流インフラを担うプラットフォーマーに求められる実質的な防衛線となります。
明日から自社の物流・管理部門が取り組むべき実務対応
自社の物流管理およびシステム運用において、同様のリスクを低減するために着手すべき具体的なアクションは以下の通りです。
- 物流システム内に保管されている配送先・荷受人データの保持期間を総点検し、配送完了後に一定期間を経過した個人情報を自動削除またはマスキングする設定を実装する。
- 倉庫管理システム（WMS）や受発注システム（EDI）にアクセスする端末・回線に対し、多要素認証（MFA）の義務化と外部接続IPアドレスの制限を徹底する。
- 物流業務を委託している3PLおよび倉庫事業者に対し、セキュリティインシデント発生時の連絡手順、代替手作業フロー、および個人情報保護体制に関する確認調査を実施する。
出典: 株式会社ニチレイ
