コールドチェーンが止まる日

物流サイバー攻撃が荷主企業に突きつけたBCPの死角

2026年7月13日、国内最大級の低温物流ネットワークを担うニチレイグループが、第三者による不正アクセスを受けたことが明らかとなりました。低温倉庫の入出庫業務が止まり、冷凍食品の出荷が滞り、KFC（日本ケンタッキー・フライド・チキン）をはじめ、イオン、くら寿司、ヨークベニマルといった外食・小売りチェーンにまで影響が連鎖しました。発生から約10日後の7月24日、全拠点でようやく通常稼働に移行しました。

この事案を「ニチレイという特定企業が攻撃を受けた話」として処理してしまうと、大切なことが見えなくなります。ニチレイはこの事案の被害者です。同時に今回の約10日間は、現代のコールドチェーンが抱える構造的な脆弱性を、業界全体に可視化した出来事でもありました。「自社には関係ない」と判断した荷主企業の方がいるとすれば、その判断を少し保留すべきでしょう。

7月13日の障害発生直後、ニチレイはシステムを遮断し、緊急対応本部を設置しました。顧客データなどの保護を優先してシステムを遮断したことが、後の復旧に大きく効いた点は後述します。

16日には同社サーバーがサイバー攻撃を受けていたことを公式に確認・発表。17日からは部分的な稼働を再開しています。22日には、ランサムウェアグループ「ランサムハウス」がダークウェブ上で犯行声明を公表したことが判明しました。同グループはシステムを暗号化して業務を妨害するだけでなく、窃取したデータを公開すると脅す「二重恐喝」の手法を用いています。そして24日、全拠点での受発注制限を解除し、通常稼働に移行しています。

影響を受けた荷主・取引先の顔ぶれは広範囲に及びました。KFCは一部店舗の営業休止やメニュー制限、モバイルオーダーの停止を余儀なくされ、くら寿司やヨークベニマルなども商品の品切れや供給制限を公表しました。学校給食への影響も一部で生じています。取引先によっては早い段階で供給が再開されたケースもありましたが、これだけの連鎖が生じたという事実の重さは変わりません。

ここで比較として参照したいのが、25年10月に同じランサムハウスが関与したアスクルへの攻撃です。受注・出荷業務の全面停止から通販サイトの完全復旧まで約3カ月を要しました。ニチレイは各種報道によれば「バックアップデータからのシステム復旧に成功」したことが、約10日という異例の短期間での復旧につながったとされています。同じグループによる攻撃でも、バックアップ体制の有無と質が、復旧期間を文字通り桁違いに変えた事例と言えるでしょう。

ただし、個人情報が保管されていたサーバーへの被害を踏まえた対象者への個別通知、ランサムハウスへの対応、業績への影響はいずれも「判明次第開示」のままです。「復旧した」という事実だけを見て幕引きとするのは早計です。

「物理的な倉庫も商品も無事なのに、なぜ出荷できなくなるのか」

この問いに答えることが、今回の事案を理解するうえで最も重要です。現代の物流は、物理的なインフラとデジタルインフラが不可分に結合しています。入出庫の指示、温度管理の記録、在庫のリアルタイム把握、配送スケジュールの管理などはすべて情報システムに依存しており、システムが止まるとモノが動かなくなります。冷凍倉庫に商品が何トンあっても、「どこに何があるか」「どの温度帯で管理しているか」「どの取引先向けに出荷すべきか」をシステムなしに正確に処理することは、大規模物流では事実上不可能です。

コールドチェーンは、この問題が特に深刻な領域です。温度管理の記録は食品衛生法上の義務でもあり、記録システムが止まれば出荷できない。「モノはある、倉庫も動いている、しかし出せない」という状態が生まれます。ニチレイロジグループは年間約5000社が利用する国内有数の低温物流インフラの担い手です。その事業者が約10日間、制限付きの稼働を強いられた影響の連鎖は、この構造から生まれたものでした。

もう一点、見落とされがちな事実があります。取引先によっては早い段階で供給が再開されたケースがあったということです。同じ障害を受けながら、荷主によって影響の深刻度が異なった。代替手配先の確保状況、在庫バッファの厚さ、物流会社との日頃のコミュニケーション。こうした日々の備えの差が、荷主側の明暗を分けたのです。サイバー攻撃は委託先に降りかかりましたが、その影響の大小を左右したのは、荷主側の準備でもあったことになります。

今回の事案が荷主企業に問いかけているのは、自社のシステムを守るだけでは不十分だという現実です。荷主のサイバーBCPを検討するとき、多くの場合「自社の基幹システムが攻撃されたら」という視点から議論が始まります。しかし「委託している物流会社のシステムが止まったら」というシナリオは、盲点になりやすい領域です。自社のシステムが無事でも、物流委託先がダウンすれば出荷は止まる。そのことが、今回の約10日間で改めて示されました。

26年4月に施行された改正物流効率化法では、一定規模以上の荷主企業に物流統括管理者（CLO）の選任と中長期計画の策定が義務付けられました。この中長期計画に「委託先物流会社のサイバー障害発生時の対応」が盛り込まれているかどうか、いま一度確認する必要があります。自然災害を想定したBCPはある程度整備されている企業も増えてきましたが、「委託先がサイバー攻撃を受けて物流が停止する」というシナリオを明示的に想定している荷主企業は、まだ少数です。

では、具体的に何を確認すべきか。まず委託先物流会社のセキュリティ体制を把握しているかどうかです。セキュリティポリシーの開示を求めているか、定期的な報告の仕組みがあるかを確認してください。次に、障害発生時の連絡フローが文書化されているかどうかです。「障害が起きたら誰から何時間以内に連絡が来るか」が契約や覚書に明記されていない場合、緊急時の対応は必ず後手に回ります。今回の事案でも、荷主側への連絡のタイミングと内容は取引先によって差があったとされています。

さらに重要なのが、代替物流会社・代替ルートをあらかじめリスト化しておくことです。特に冷凍・冷蔵品は温度帯に対応できる代替先が限られます。平時に候補を持っておかなければ、緊急時の選択肢はありません。品目ごとの在庫バッファの水準を把握しておくことも欠かせません。冷凍食品と生鮮食品では物流停止に耐えられる時間がまったく異なり、品目ごとのリスク評価がBCPの精度を決めます。そして最後に、これらをまとめて自社の物流BCPの「委託先障害シナリオ」として文書化することです。改正物流効率化法に基づく中長期計画の初年度提出期限は26年10月末です。今回の事案を、そのきっかけにしてほしいと思っています。

ニチレイは今回の事案の被害者であり、約10日という短期間での復旧は、それ相応の備えと対応力があったことの証でもあります。発生直後のシステム遮断という判断の速さ、バックアップ体制の整備。これらは業界全体が学ぶべき対応として、率直に評価されるべきことだと思っています。

一方で、取材を通じて感じることがあります。「ニチレイだから約10日で戻れた」という事実と、「自社の委託先も同じように戻れる」という話は、まったく別だということです。バックアップ体制の有無、システム構成の複雑さ、セキュリティ専門人材の確保状況といった条件が変われば、10日が3カ月になることも、それ以上になることもあります。アスクルの事案がそれを示しています。

ランサムハウスは今もニチレイへの対応を継続中であり、個人情報漏洩の詳細も判明していません。「復旧した」という一点だけを切り取って幕引きにすることへの違和感は、業界関係者の多くが共有しているはずです。コールドチェーンを支えるシステムへのサイバー攻撃が同時多発的に生じている可能性を示す動きも、取材の中で見えてきています。今回の事案を、自社のサプライチェーンを静かに点検する機会として使ってほしい。そう思っています。