サービス
サービスを探す
プロ人材を探す
仕事を探す
ブログを探す
理系オタクが解説するサイバー攻撃
記事IT・テクノロジー
2026年7月、ニチレイグループがサイバー攻撃を受け、冷蔵倉庫や冷凍食品の出荷業務が止まったというニュースが流れました。KFCやくら寿司など、身近なお店にまで影響が波及したので、ニュースで見た方も多いのではないでしょうか。
正直に言うと、こういうニュースを見るたびに「結局どうやって侵入されたんだろう」「なんで何日も気づかれなかったんだろう」というところが気になって仕方ない性分です。今回は、そんな理系オタク目線で、ニチレイの件を含めた最近の主要なサイバー攻撃事件を4つ並べて、その裏側にある技術的な仕組みをできるだけかみ砕いて解説してみようと思います。専門用語もなるべく丁寧に説明していくので、セキュリティに詳しくない方も安心して読み進めてください。
・まず、言葉の整理から始めよう
事件の話に入る前に、記事の中で何度も出てくる用語を先に整理しておきます。ここを押さえておくと、後半の話がぐっと分かりやすくなります。
* 不正アクセス：正規の権限を持たない第三者が、他人のシステムやアカウントに侵入すること全般を指す、やや広い言葉です。
* ランサムウェア：侵入したシステム内のファイルを勝手に暗号化して使えなくし、「元に戻してほしければ金銭(身代金)を払え」と要求するタイプのマルウェア(悪意のあるソフトウェア)です。
* 二重恐喝(ダブルエクストーション)：ファイルを暗号化するだけでなく、事前に盗み出したデータを「身代金を払わなければ公開する」と脅す、近年主流になっている手口です。暗号化を復元できたとしても、情報漏えい自体は防げないのが厄介なところです。
* フィッシング：本物そっくりの偽メールやログイン画面で、IDやパスワードを騙し取る手口です。多くの侵入事件の「最初の一歩」がこれだったりします。
* 潜伏期間(ダウェルタイム)：攻撃者が最初に侵入してから、実際に暗号化などの被害を発生させるまでの期間のことです。侵入直後に暴れるのではなく、しばらく息をひそめて内部の構造を調べてから一気に仕掛けてくるケースが多く、今回取り上げる事件でも重要なキーワードになります。
* サプライチェーンリスク：自社が直接攻撃されていなくても、取引先や委託先が攻撃されたことで、自社の業務や供給網にまで影響が及んでしまうリスクのことです。
・事件簿① KADOKAWA (2024年6月) ―フィッシングから始まった長期停止
最初に振り返るのは、2024年6月に発覚したKADOKAWAグループへの攻撃です。ニコニコ動画の運営会社などが影響を受け、当時大きな話題になりました。
きっかけは、社員のアカウント情報がフィッシングによって盗まれたことだったとされています。そこから侵入した攻撃者は、ニコニコ動画などのサービスを運営するデータセンター内の複数のサーバーを暗号化し、数百台規模のシステムが連鎖的に使えなくなりました。ニコニコ動画をはじめとする各種サービスが長期間停止し、出版・EC事業にも影響が及んだほか、約25万人分の個人情報漏えいも確認されています。復旧までにはおよそ2カ月を要し、売上減少と特別損失をあわせて100億円を超える規模の財務的インパクトが報告されました。
オタク目線で注目したいのは、この事件が「たった1人分のアカウント情報」から、これだけ広範囲の被害に発展した点です。IDとパスワードという、一見地味な情報がどれだけ重い意味を持つかがよく分かる事例だと思います。
・事件簿② アスクル(2025年10月) ―4カ月間、気づかれなかった侵入
続いては、法人向け通販「ASKUL」や個人向け「LOHACO」を運営するアスクルへの攻撃です。2025年10月19日にランサムウェア感染が確認され、主要サービスが全面停止。無印良品やロフトのネットストアなど、取引先にも影響が波及しました。1日あたりの売上機会損失は10〜13億円にのぼったとされています。
この事件で特に技術オタク的にゾッとするのが、12月に公開された最終報告書の内容です。攻撃者は、実際にランサムウェアを実行するおよそ4カ月も前から、すでに社内ネットワークに静かに侵入していたことが分かりました。犯行声明を出したのは「RansomHouse」という攻撃者グループで、Linuxやサーバー仮想化基盤(ESXi)を狙う手口で知られており、二重恐喝、つまりデータを盗んだうえで暗号化・公開の両方を脅しに使うスタイルを取ることで知られています。最終的に個人情報など約74万件の漏えいが確認されました。
「4カ月間気づかれなかった」という部分は、決して監視がずさんだったという意味ではなく、攻撃者があえて目立つ行動を避けながら偵察を続けていたことの裏返しでもあります。ここが、現代のサイバー攻撃が「一瞬の出来事」ではなく「長期戦」であることを象徴していると感じます。
・事件簿③ アサヒグループホールディングス(2025年9月〜) ―パスワードの隙を突かれた侵入
3つ目は、アサヒビールやアサヒ飲料などを傘下に持つアサヒグループホールディングスの事例です。2025年9月19日ごろ、拠点のネットワーク機器を経由してデータセンターへの侵入が発生。攻撃者はパスワードの脆弱性を突いて管理者権限を奪取し、業務時間外を狙って複数サーバーへの侵入と偵察(内部の構造を調べる行動)を繰り返しました。侵入から発覚まではおよそ10日間の潜伏があり、9月29日早朝にランサムウェアが一斉に実行されています。
被害は深刻で、国内主要3社の受注・出荷業務が停止し、約30の国内工場に影響。セブン-イレブンやファミリーマートといった取引先の店舗にも波及しました。当初は「漏えいのおそれ191.4万件」という大きな数字が発表され、最終的には115,513件の漏えいが確認されています。受注・出荷体制がほぼ全面復旧するまでには190日、実に半年以上を要しました。
この事例のポイントは「パスワードの脆弱性」です。凝った技術的な脆弱性ではなく、推測されやすい・使い回されているパスワードといった、比較的地味な弱点が、半年がかりの大規模障害の入口になり得るという点は、初心者のうちからしっかり意識しておきたいところです。
・事件簿④ ニチレイ(2026年7月) ―今まさに進行中の事件
そして最後が、冒頭で触れたニチレイグループの事件です。2026年7月13日午前6時50分ごろにシステム障害が発覚し、緊急対策本部が設置されました。当初は「不正アクセスによるシステム障害」とだけ発表されていましたが、7月15日の第2報で「サーバーがサイバー攻撃を受けたことを確認」と発表され、ランサムウェアかどうかを含めた詳細は、被害拡大を防ぐ目的であえて非公開とされています。
影響を受けたのは、ニチレイロジグループ各社の冷蔵倉庫の入出庫業務と、ニチレイフーズの冷凍食品出荷業務です。年間約5,000社が利用するというニチレイの低温物流網を通じて、KFCやくら寿司、コープデリ、イオン、井村屋など少なくとも15の取引先で欠品や配送遅延が発生し、学校給食にまで影響が及びました。個人情報についても、当初は「流出の事実は確認されていない」としていたところ、その後被害サーバーの一部に個人情報が保管されていたことが判明し、個人情報保護委員会に報告されています。業務は外部のセキュリティ専門会社の支援を受けて、7月17日から順次再開予定です。
この記事を書いている時点(2026年7月)ではまだ調査が続いている段階なので、詳細な原因や最終的な被害規模は今後の続報を待つ必要があります。とはいえ、ここまでの経過を見る限り、他の3事例と驚くほどよく似た展開をたどっているのが分かります。
・オタク的に見えてくる「共通の型」
4つの事件を並べてみると、単なる偶然とは思えないほど似たパターンが浮かび上がってきます。
～～その1：侵入と実行行動の間に「タイムラグ」がある～～
アスクルの4カ月、アサヒの10日間のように、攻撃者は侵入直後に暴れるのではなく、しばらく身を潜めて内部構造を調べてから一気に仕掛けてきます。この間、ログにはわずかな痕跡しか残らないため、検知の難易度が非常に高いのが厄介な点です。
～～その2：被害が自社だけで終わらない～～
4事例すべてで、取引先や委託先を通じて被害が連鎖しています。特にニチレイやアスクルのように「物流」という社会インフラに近い機能を担っている企業が被害に遭うと、影響範囲が一気に何十社、何百社にも広がる構造になっています。これが冒頭で触れたサプライチェーンリスクです。
～～その3：個人情報漏えいの発表は、段階的に更新されていく～～
どの事例も、発生直後は「流出の事実は確認されていない」または「調査中」としていたのに対し、調査が進むにつれて漏えいが確定していく、という経過をたどっています。これは隠蔽というより、暗号化された大量のログや通信記録を1つずつ解析していく作業に、それだけ時間がかかることの表れだと考えられます。
・じゃあ、どうやって防ぐの? ―「ゼロトラスト」という考え方
ここまで「侵入される側」の話をしてきたので、最後に「どう防ぐか」という視点にも触れておきます。
昔ながらのセキュリティの考え方は、社内ネットワークと社外ネットワークの間に壁(境界)を作り、「壁の中は信頼できる」という前提で守る、いわゆる境界型防御でした。ところが今回見てきた事例のように、盗まれたパスワードやフィッシングによって、攻撃者があっさり「壁の中」に入り込んでしまうケースが後を絶ちません。壁の中に入られた瞬間、境界型の防御はほとんど意味をなさなくなってしまいます。
そこで近年注目されているのが、情報処理推進機構(IPA)なども導入の指南書を出している「ゼロトラスト」という考え方です。これは「社内ネットワークだから安全」という前提を置かず、社内・社外を問わずすべてのアクセスを都度検証する、という発想の防御モデルです。具体的には、パスワードだけに頼らない多要素認証(MFA)、必要最小限の権限しか与えない最小権限の原則、ネットワークを細かく区切って被害の拡大を防ぐセグメンテーション、そして侵入後の不審な挙動をいち早く検知するEDR (エンドポイント検知・対応)といった技術を組み合わせて実現していきます。
今回取り上げた事件の多くが「盗まれたパスワード」や「1つのアカウント」を起点にしていたことを踏まえると、こうした「侵入されること自体を前提にした設計」の重要性がよく分かるのではないかと思います。
・まとめ
ニチレイ・アスクル・アサヒグループホールディングス・KADOKAWAという4つの事件を並べてみると、業種はバラバラでも「フィッシングやパスワードの隙を突かれて侵入される」「しばらく気づかれずに潜伏する」「取引先を巻き込んで被害が拡大する」という、驚くほど共通した型が見えてきました。ニュースの見出しだけを追っていると単発の事件に見えがちですが、こうして技術的な仕組みまで掘り下げてみると、現代のサイバー攻撃が抱える構造的な課題がくっきり浮かび上がってくるように思います。
ニチレイの件はまだ調査が続いている段階なので、続報が出たタイミングで改めて追いかけてみたいと思います。最後まで読んでいただき、ありがとうございました。
