株式会社ニチレイは2026年7月22日、同社グループで7月13日に発生したシステム障害（サイバー攻撃）に関する続報をIRニュースリリースとして公表しました。外部セキュリティ専門会社と協力した調査を継続し、警察および関係機関との連携も進めています。影響を受けていた入出庫業務および冷凍食品出荷業務は、セキュリティ対策を実施したうえで復旧が進んでおり、「今週中に全拠点が通常稼働に移行する予定」と明記されました。個人情報漏えいの可能性がある対象者への通知も始まっており、事案は収束フェーズに入りつつあります。
前回のニチレイの障害についてはこちらもチェック[ニチレイがサイバー攻撃被害を公表——冷蔵倉庫と冷凍食品出荷が停止、7月17日から順次復旧へ]
今回の続報のポイント——「今週中に全拠点通常稼働」を明言
7月13日の第一報、7月15日の第二報を経ての続報となる今回のIRニュースリリースの最大のポイントは、業務復旧の見通しが明確に示された点です。ニチレイは「入出庫業務および冷凍食品出荷業務については、今週中に全拠点が通常稼働に移行する予定」と発表しています。
これまでの発表では復旧開始予定として7月17日以降の順次再開が示されていましたが、今回の続報で「全拠点への通常稼働移行」まで踏み込む形になりました。冷蔵倉庫の入出庫と冷凍食品出荷という、食品サプライチェーンの中核業務の完全復旧見通しが立ったことは、取引先の外食・小売事業者にとっても運用計画を立て直せる材料となります。
対応体制——外部専門会社との調査と警察・関係機関との連携
ニチレイは対応体制について、外部セキュリティ専門会社の協力による調査を引き続き実施していると説明しています。加えて、警察および関係機関と連携した対応も継続中です。攻撃の詳細や被害拡大を招く技術的情報については、これまでの発表と同様、被害拡大防止の観点から開示は限定的にとどめられています。
第一報の段階で緊急対策本部を設置し、システム遮断措置を実施した後、外部専門会社と連携して調査を進めるという流れは、大規模サイバーインシデントにおける教科書的な初動対応と言える構成です。今回の続報でも、その体制を継続していることが明示されており、収束後の総括で対応プロセスがベンチマーク事例として参照される可能性もあります。
個人情報漏えい——対象者への通知が進行中
被害を受けたサーバの一部には個人情報が保管されていた点が、これまでの発表でも触れられてきました。今回の続報では、その対象者への通知が実施されていることが公表されています。個人情報保護委員会への報告と、対象者向けの個別通知の両輪が動いている構造です。
漏えいした情報の種類・件数など詳細は、今回のIRニュースリリースには明記されていません。取引先企業・従業員・顧客のいずれが該当するのかを含めた具体的な範囲は、対象者への通知を通じて順次明らかになっていく想定です。企業ユーザーとしては、ニチレイからの通知が届いた場合の社内対応フロー（受領記録、影響評価、必要に応じたパスワードリセットや代替連絡先の設定）を、あらかじめ整理しておくことが実務的な備えになります。
業績影響と今後の情報開示——現時点で明記なし
今回の続報はIRニュースリリースとして公表されていますが、具体的な財務影響や業績への影響については明記されていません。復旧・調査費用、業務停止による機会損失、取引先への補償対応など、事案全体の経済的インパクトについては、決算発表や次回以降のIR開示で改めて明らかにされる可能性が高い流れです。
食品サプライチェーンの中核事業者への攻撃事案は、投資家・取引先・アナリストからも継続的に注目される案件です。今後のIR開示スケジュールに沿って、被害範囲・原因の総括・再発防止策・業績影響が段階的に整理されていくと見られます。
企業ユーザーへの示唆——復旧局面での「取引先ケア」と「BCP見直し」
ニチレイの復旧見通しが示されたことで、外食・小売など取引先の業務も正常化に向かう見込みです。ここで企業ユーザー側に求められる観点は大きく2つあります。1つ目は、取引先ケアとしての対応です。取引先の完全復旧までの期間で発生した欠品や販売機会損失について、契約上の責任範囲・補償の可能性・在庫調整の実務対応を、社内の関連部門で整理しておく必要があります。
2つ目は、自社BCPの見直しです。今回の事案は、単一の物流・製造事業者への攻撃が広範な取引先に波及する構造を示しました。同様の依存関係が自社にもある場合、代替供給ルートの評価、契約書におけるインシデント時対応の取り決め、有事の情報連携フローなどを再点検する好機となります。共通インフラを担う事業者へのサイバー攻撃は今後も継続的に起きうる想定で、「他社の事案」ではなく「自社にも起きうる想定」として捉える姿勢が求められます。
まとめ
ニチレイの今回のIRニュースリリースは、事案発生から10日ほどで全拠点の通常稼働見通しを明示した、収束フェーズへの移行を印象づける内容です。個人情報漏えい対象者への通知、外部専門会社との調査継続、警察・関係機関との連携という、必要な対応要素が引き続き明記されており、企業としての事案対応プロセスの透明性は保たれています。
一方で、被害の詳細・業績影響・再発防止策の総括については、今後のIR開示に持ち越された形です。共通インフラを担う事業者へのサイバー攻撃が業界横断で被害を広げる構造は今回改めて可視化されました。企業ユーザーとしては、復旧を待つだけでなく、自社の取引先依存構造とBCPを見直す機会として活用していく姿勢が実務的な備えになりそうです。
