ニチレイへのサイバー攻撃はなぜ起きた？ 「たまたま選ばれる」被害の構造：半径300メートルのIT

ニチレイがサイバー攻撃を受け、冷凍食品の出荷や冷蔵倉庫の入出庫が止まり、影響は取引先にも広がりました。誰が、なぜ攻撃するのでしょうか。どうすれば防げたのでしょうか。

[宮田健，ITmedia]

　日本の企業がサイバー攻撃を受け、サプライチェーンに影響が発生するという事件が起こりました。ニチレイは2026年7月13日付けでシステム障害の発生を公表し、本稿執筆時点では第2報が公開されています。

　2026年7月15日の第2報で同社は、サーバがサイバー攻撃を受けたことを確認したと発表しました。一方で侵入経路など攻撃の詳細は、被害拡大を防ぐためとして開示しておらず、続報を待つこととなります。被害サーバの一部に個人情報が保管されていたため、漏えいの可能性がある事案として個人情報保護委員会に報告したことも公表されています。既に関係する店舗への影響も発生しており、冷凍食品の需要が高まる夏場だけに、出荷が滞る影響は小さくないと思います。

（編注：ニチレイは第2報で、影響が出ていた冷蔵倉庫の入出庫や冷凍食品の出荷といった業務を、外部のセキュリティ専門会社と安全対策を講じた上で2026年7月17日から順次再開する予定と公表している）

当社グループでのシステム障害発生について（第2報）（出典：ニチレイのWebサイト）

　わが家でもこの話題が出てきたのですが、「誰が攻撃しているのか」「なぜこんなことが起きるのか」そして「どうしたら防げたのか」と、誰もが持つ疑問を矢継ぎ早に聞かれました。はて、これ、ちゃんと説明できるだろうか……。

一般論としての「サプライチェーン攻撃」の発生

　ニチレイの事例は今後レポートが出てくることを期待しますが、一般論としてこれまでの事例も含め、サプライチェーンに影響が発生するサイバー攻撃の発生を考えてみます。

　まず、攻撃者が日本のロジスティクスを担う企業をピンポイントで狙ったのか、という点に関しては、おそらくはそうではないと考えられます。サイバー攻撃者の狙いは「金銭」。国家転覆を狙って重要インフラを攻撃するといった明確な目的がある場合を除き、攻撃はバラマキ型で仕掛けるのが基本でしょう。

　報道で大きく取りあげられるのは大企業ばかりなのですが、被害は中小企業もたくさん受けています。そのため、誰が被害者になるのかというのは有名だから、お金を持っているからではなく、たまたま選ばれたからにほかなりません。いま被害に遭っていなかったとしたら、それは本当にラッキーです。選ぶのはあなたではなく、攻撃側なのですから。

　そして、その選択基準こそが、「弱かったから」であることは知っておく必要があるでしょう。例えばシステムにアップデートがかかっておらず、既知の脆弱（ぜいじゃく）性が残っているという「弱さ」かもしれません。あるいは従業員の意識が低く、フィッシングや弱いパスワードによって侵入を許す「弱さ」かもしれません。たまたまそういった弱さがあるところに、バラマキ型で攻撃がヒットしてしまえば、攻撃はほぼ成功したと考えてよいでしょう。

　「イニシャル・アクセス・ブローカー」と呼ばれる攻撃者グループがいます。このグループはシステム内部に侵入するアクセス権を売買します。彼らはさまざまな場所から漏えいしたIDとパスワードのセットを集めます。ブラウザから奪った、「そのサイトにログインできる」ことを示すクッキー情報も対象です。これらをドメインごとに売買します。

　このイニシャル・アクセス・ブローカーにとっては、それらの情報が売れればお金になり、収入というゴールに到達します。このようなグループが存在するということは、IDとパスワードが漏れたというタイミングと、実際の侵入、侵害に踏み切るタイミングがずれるということでもあります。今起きた侵害事件のきっかけが、実は数年前に奪われたパスワードである、というシナリオも十分あり得ます。

侵入後起きうること

　さて、攻撃グループがイニシャル・アクセス・ブローカーから認証、認可情報を購入したら、実際の侵入に移ります。購入したのが一般従業員のアクセス権だったとしても、油断はできません。「ファイアウォールの内側だから安全」という前提で脆弱性が放置されていれば、攻撃者は難なく権限昇格できてしまうかもしれません。もし通常の従業員が、データベースサーバにネットワーク経由でアクセスできるようなフラットなネットワーク構造であれば、攻撃者は一瞬で宝の山であるデータを奪うことができるかもしれません。

　さらに問題なのは、もしそのネットワーク構成が、VPNを経由し別の組織につながっていた場合です。専用線でつながっており、外部からはアクセスできない構成だったとします。それでも、攻撃者が何らかの方法で社内ネットワークに入り込めば、そのまま他の組織に到達できてしまいます。この状況では被害はさらに拡大します。

　攻撃者は既にセキュリティ対策が万全な、本丸である本社組織につながる必要はありません。対策も監視も行き届いていない地方支社や、ガバナンスの緩い海外拠点から認証情報を奪えばいいのです。攻撃者はそこを足掛かりに、難なく本社へ入り込みます。このようなことが、一般的なサプライチェーン攻撃の姿です。

　中には国家が支援する攻撃者集団も存在しますが、それを証明するのは非常に困難です。「誰が攻撃しているのか？」は、相手が誰かというよりもサイバー犯罪の姿を認識することを重視していきましょう。

　「なぜこんなことが起きるのか？」の答えは、次のようなシナリオに集約されます。攻撃者はフィッシングやClickFixといった狡猾な手法で従業員の認識の穴を突き、認証情報を奪います。その後は残っている脆弱性を使ってセグメント化されていないネットワーク内部に展開し、弱い部分から本丸のシステムを攻撃します。

ひと言では言えない「どうしたら防げたのか？」

　何気ない会話の中で一番困ったのが「どうしたら防げたのか？」という点です。このようなシナリオを考えると、「何らかのセキュリティソリューションがあればよかった」「従業員が鉄のような意思でルールを守ればよかった」といった、ひと言で説明できる原因は存在しません。この分かりにくさこそが、昨今のサプライチェーン攻撃被害を理解する上での壁になっているように思えます。

　もちろん、アタックサーフェスの表面にいる、従業員全員が自分ごととしてセキュリティを考え、だまされるパターンをあらかじめ知り、フィッシングなどの対策をとることは重要です。この教育というのがさらに注目されるようになっているので、これはぜひ、皆さんも意識してください。ただしそれだけでは守り切れないのは間違いありません。

　ソリューションも重要です。浸透しつつあるEDRを上手く使い、兆候をつかめるか否かが、その後の被害を軽減する重要なポイントです。それでも、抜けてしまうものが発生するのは仕方ありません。

　さらに、経営層にも重要な判断が求められます。システムへの侵害が発生した際に、どこかのタイミングでシステムを止め、止血の作業へと移る判断をしなければなりません。ビジネスを止めないために、システムから紙や電話などの手段に切り替えなければならないと判断する瞬間もあるでしょう。これができるのはシステム管理者でもセキュリティ担当者でもなく、経営者だけです。

　おそらくですが、将来的には従業員、システム管理者、セキュリティ担当者、そして経営者にもそれぞれの役割を補助する「AIエージェント」が登場し、最終的な判断のみを人間が担うという未来が待っている……はずです。

　私もそれは絵空事と思ってきましたが、攻撃者が侵入からゴールに至るまでの時間を短縮してきたことを考えると、こちら側もマシンスピードという処理手段を得なければ対抗ができないと考えています。それができるのは、AIエージェントしかありません。今後はAIエージェントが正しく動けるように、情報を整備していくという作業が（セキュリティに限らず）重要となるでしょう。それでも、最終判断するのは人間です。

　おそらく数年後は、「AIでないと守れない」レベルのサイバー攻撃も発生するかもしれません。その時には、今よりも「全員参加のセキュリティ」が重要になるはずです。今できることもたくさんあります。一従業員としては、教育を受けてルールをしっかり守り、滞りなく報告することです。システム管理者と経営者は、他社事例を参考に今の時代のサイバー攻撃の姿を知り、これまでの対策をより一層厳密に適用していくことを考えなくてはなりません。サイバー攻撃の事例が続いている今、引き続き、気を引き締めていきましょう。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。