ニチレイ サイバー攻撃に犯行声明｜2026年7月22日 空の冷凍棚が突きつける食料インフラ防衛

夏場のスーパーで、アイスや冷凍食品の棚が空のまま並んでいる——そんな光景が各地で報告されています。原因は品不足でも猛暑でもなく、一社への不正アクセスでした。冷凍食品と冷蔵物流の最大手であるニチレイグループが2026年7月13日にシステム障害を起こし、冷蔵倉庫の入出庫と冷凍食品の出荷が止まったためです。さらに7月21日には、ハッカー集団「ランサムハウス」がダークウェブ上に犯行声明を出したと共同通信などが報じました。一企業の管理の甘さで片づけてよい話なのか。この記事では、何が起き、どこまでが確認された事実なのかを切り分けたうえで、食料物流という「国民の胃袋を支えるインフラ」を誰が守るのかを、国益の視点で読み解きます。

空になった冷凍棚｜コールドチェーンが止まった10日間

まず、国民の目に見えたところから確認します。今回の障害でもっとも生活実感に近かったのは、スーパーの冷凍ケースと外食チェーンの店頭でした。ニチレイは冷凍食品のメーカーであると同時に、国内最大級の冷蔵倉庫・低温物流網（コールドチェーン）の担い手でもあります。自社商品だけでなく、他社の冷凍品や外食向け食材の保管・配送も広く請け負っているため、一社のシステムが止まると影響は業界横断で連鎖します。

日常を直撃した波及の連鎖

攻撃を受けたのはニチレイのシステムですが、痛みが出たのは棚と店頭でした。連鎖の道筋を図で整理します。

X（旧ツイッター）上には、7月中旬から「スーパーの冷凍庫がガラガラだった」「夏場にアイスの棚が空のまま」といった消費者の投稿が相次ぎました。外食では、ニチレイに配送を委託していたケンタッキーフライドチキンが影響を受け、7月22日に全店で通常営業を再開したと報じられています。SNS上ではイオンやくら寿司への影響を指摘する投稿も広がりましたが、これらは利用者の観測や分析であり、企業が公表した事実として確認できたものではありません。ここでは「そう受け止められている」という反応として扱います。

7月13日から現在地までの時系列

公表と報道を並べると、障害の長さと情報が出てくる順番が見えてきます。

※ニチレイの公表（第1〜3報）および共同通信・NHK・食品新聞・TBSなど各社報道をもとに編集部が整理。影響範囲は国内に限られ、海外拠点への影響は確認されていないとされています。個人情報や顧客データの社外流出は、現時点で確認されていないとしたうえで調査が続いています。

「ランサムハウス」の影と、自助努力の限界

次に、誰が何をしたと報じられているのかを、確度を落とさずに整理します。ここは断定が最も危ない部分です。

報道が伝える犯行声明と二重脅迫の構図

報道によれば、犯行声明を出したとされるのは「ランサムハウス（RansomHouse）」と呼ばれるハッカー集団です。身代金要求型ウイルス（ランサムウェア）を常用し、企業から顧客情報などの機密データを盗み出したうえで脅す手口で知られるとされます。今回の声明でも、機密データの流出を防ぐための連絡をニチレイ側に求める内容だったと伝えられています。

ただし、ニチレイは現時点で、今回の障害がランサムウェア攻撃であったことも、ランサムハウスが関与したことも、データが実際に盗まれたことも公式には認めていません。攻撃者側が自らの「戦果」を誇張して主張する例は珍しくなく、犯行声明はあくまで攻撃者側の一方的な主張です。本稿もこの線を守り、確定した事実として扱いません。

そのうえで、手口の一般論として押さえておく価値があるのが「二重脅迫」という構図です。かつてのランサムウェアは、データを暗号化して業務を止め、復旧と引き換えに金銭を要求するものでした。現在の主流は、暗号化の前に大量のデータを外部へ持ち出し、「払わなければ公開する」と重ねて脅すやり方です。

「企業の管理が甘い」で終わらせてよいのか

SNS上の批判は、そのほとんどが企業側に向きました。「日本企業はセキュリティが甘い」「社内PCの管理が緩すぎる」といった声が目立ち、ここ数年で製造・小売・物流の大手が相次いで攻撃を受けたことへの苛立ちも重なっています。セキュリティに詳しい利用者からは、「多くの企業の対策はバックアップ整備で止まっている。それは『業務を止めるな』への解答であって、『盗まれるな』への解答ではない」という趣旨の指摘も出ていました。

指摘そのものは的確です。しかし、そこで話を終えるのは危うい。ニチレイは食品と物流の会社であって、国家を背景に持ちうる攻撃者と単独で撃ち合う組織ではありません。相手は業種を選ばず、24時間、国境の外から仕掛けてきます。攻撃側が国家規模の資源を使える一方、防御側は一民間企業の情報システム部門——この非対称を放置したまま「自助努力が足りない」と叱っても、次の被害は止まりません。問われるべきは、企業の落ち度に加えて、それを民間任せにしてきた国の構えです。

身代金は「払っても終わらない」

身代金についても触れておきます。X上では「払ってもさらに脅されるだけ」「交渉より復旧を優先してほしい」という声がほぼすべてで、支払いを支持する意見は見当たりませんでした。実際、支払いはデータ返還も非公開も保証せず、次の攻撃を呼び込む資金源になります。攻撃者に収益モデルを与えないという意味で、支払わない構えは国益にもかないます。だからこそ、支払わずに耐えられるだけの復旧力と、そもそも盗ませない設計が要る、という話に戻ってきます。

国益の視点｜食料物流は「重要インフラ」である

ここからが本題です。今回の一件は、食品会社の事故ではなく、インフラ攻撃として読むべきものだと考えます。

過去のインフラ攻撃との共通点

国内外の事例を並べると、狙われているのが「止まると社会が困る結節点」であることがはっきりします。

※政府資料・各社報道をもとに編集部が整理。エネルギー、医療、港湾、そして食——標的は社会の急所へ移ってきています。

兵糧攻めという現代のハイブリッド戦

燃料、医療、港湾ときて、今回は食です。並べてみれば、これは偶然の連続ではなく、社会を止めるのに最も効率のよい場所が選ばれている、と見るのが自然でしょう。しかも冷凍・冷蔵物流は、電力と同じで代替が効きにくい。倉庫が動かなければ在庫は動かず、温度管理を欠けば商品そのものが失われます。

有事に相手国の兵站と食料供給を断つのは、古典的な戦術です。現代では、ミサイルを撃たずとも、物流企業のシステム一つで同じ効果を出せる可能性がある——これがハイブリッド戦と呼ばれる領域の現実です。今回の攻撃が金銭目的の犯罪であったとしても、「日本の食料物流は、この程度の攻撃で止まる」という事実が世界に示されたこと自体が安全保障上の損失です。平時の犯罪被害が、有事の弱点の実地演習になってしまっている。ここに危機感を持たない政治であってはなりません。

「能動的サイバー防御」は間に合うのか

では、国の側の備えはどうなっているのか。制度は動き始めていますが、まだ走り出す前の段階です。

2026年施行「サイバー対処能力強化法」の要点

2025年5月、サイバー対処能力強化法（正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」。いわゆる能動的サイバー防御法）が成立・公布されました。施行は公布から1年6か月以内、つまり2026年中が目標とされています。骨格を整理します。

※政府公表資料および各社解説をもとに編集部が整理。

施行までの「空白期間」をどう守るか（編集部分析）

問題は、その施行がまだであることです。法律は通ったが動いてはいない——今はその移行期間、いわば最も無防備な時間帯にあたります。今回の被害は、まさにその空白のなかで起きました。X上でも、相次ぐ大手企業への攻撃を受けて「能動的サイバー防御という話はどこへ行ったのか」「国と企業が連携しないと相当まずい」という声が上がっていましたが、ニチレイの一件と制度論を直接結びつけた議論は、まだ広がっているとは言えません。

編集部として指摘したいのは三点です。第一に、食料物流を基幹インフラとして明確に位置づけること。電気・ガス・金融・鉄道と並んで、冷凍冷蔵物流が止まれば国民生活は直撃されます。第二に、施行を待たずに実務を先行させること。脅威情報の共有、被害企業への技術支援、業界横断の復旧演習は、法の施行日を待たずとも今日から積み上げられます。第三に、被害企業を叩く空気を改めること。攻撃を受けたことが恥という文化が残るかぎり、企業は情報を出し渋り、次の被害者が同じ手口でやられます。報告して支援を受けられる仕組みこそが、国全体の防御力になります。

安全保障とは、外交や防衛だけの話ではありません。国民が今日、冷凍食品を買えるかどうかも、その一部です。空になった冷凍棚は、私たちの社会がどこから崩せるのかを静かに教えてくれました。政治がこの警告をどう受け止めるかが問われています。

よくある質問（FAQ）

Q. ニチレイのシステム障害はいつ起きたのですか？

A. 2026年7月13日午前6時50分ごろ、ニチレイグループのシステムに不正アクセスによる障害が発生しました。ニチレイロジグループ各社が担う冷蔵倉庫の入出庫業務と、ニチレイフーズが担う冷凍食品の出荷業務に影響が出ています。影響範囲は国内に限られ、海外拠点への影響は確認されていないとされています。

Q. ランサムウェア攻撃だと確定したのですか？

A. 確定していません。2026年7月21日、ハッカー集団「ランサムハウス」がダークウェブ上に犯行声明を出したとセキュリティ関係者への取材で判明した、と共同通信などが報じましたが、ニチレイ自身はランサムウェア攻撃であることも、同集団の関与も、データ窃取も公式には認めていません。犯行声明は攻撃者側の一方的な主張であり、誇張される場合もあります。

Q. 個人情報は流出したのですか？

A. 現時点で、個人情報や顧客データが社外へ流出した事実は確認されていないとされています。ただし調査は継続中であり、今後の公式発表を確認する必要があります。

Q. 復旧はどこまで進んでいますか？

A. ニチレイは7月15日に「17日から出荷等に関わる業務を順次再開する見通し」を公表し、実際に再開が進んでいます。一方で拠点ごとに復旧の速度が異なるため、障害発生前の状態への完全復旧の目処は立っていないと報じられています。ケンタッキーフライドチキンは委託配送の回復により7月22日に全店で通常営業を再開したと伝えられています。

Q. 「能動的サイバー防御」とは何ですか？

A. 攻撃を受けてから対処するのではなく、被害の未然防止に向けて政府が能動的に動く考え方です。制度面では2025年5月に成立・公布されたサイバー対処能力強化法（正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」）が根拠となり、施行は公布から1年6か月以内＝2026年中が目標とされています。基幹インフラ事業者には届出やインシデント報告などの義務が課されます。

Q. 身代金は支払うべきなのでしょうか？

A. 支払いはデータの返還も非公開も保証せず、攻撃者に資金を与えて次の犯行を助長します。X上でも「払っても終わらない」「復旧を優先すべきだ」という意見がほとんどでした。支払わずに耐えられる復旧力と、そもそもデータを持ち出させない設計を平時から備えることが本筋です。

Q. 食料物流は法律上の「重要インフラ」に入っているのですか？

A. 電力・ガス・金融・鉄道・港湾などが基幹インフラとして扱われる一方、冷凍冷蔵物流を含む食料供給網の位置づけは、今回のような事案を通じて改めて問われている段階です。止まれば国民生活が直撃されるという実態を踏まえ、制度上の扱いを明確にすべきだというのが本稿の立場です。