ニチレイへのサイバー攻撃で露呈した
「物流の死角」

1社の停止が、外食・小売りにまで波及

日本ケンタッキー・フライド・チキンは一部店舗で臨時休業を余儀なくされ、イオンでは冷凍食品が欠品、江崎グリコはアイスクリームの出荷に影響が出たと報じられました。7月15日、ニチレイは障害の原因がサイバー攻撃だったと公表。報道によれば、7月21日には「RansomHouse（ランサムハウス）」を名乗るハッカー集団が、ダークウェブ上で犯行声明を出したことも確認されています。ランサムウェア攻撃によって内部データが盗まれた可能性がありますが、同社は攻撃の詳細について次のようにコメントしています。

サイバー攻撃の詳細は、情報開示を差し控えます

――ニチレイ

一連の流れを振り返って注目すべきは、たった1社の物流基盤が止まっただけで、外食・小売り・食品メーカーの壁を越えて混乱が広がったという構造です。

なぜ「1社の停止」がここまで波及したのか

ニチレイロジグループは、冷蔵倉庫の設備能力で国内シェア約8.6％を占める業界最大手です。冷凍・冷蔵の物流は参入障壁が高く、プレーヤーの数が限られています。「8.6％なら、残りの9割は他社に頼めばいい」と思うかもしれませんが、この数字は全国・全品目をならした平均にすぎず、品目や地域によっては平均をはるかに上回ります。見るべきは全国シェアではなく、自社がこの1社に荷物の何割を預けているかという「依存度」です。

ITの世界では、1カ所が壊れるだけで全体が止まる構成を「単一障害点」と呼び、設計上の弱点として真っ先に対処します。ところが物流の世界では、同じ構造的リスクがあっても「冷蔵倉庫は替えが利かない」「長年の取引がある」と、半ば仕方のないものとして受け入れられてきたのではないでしょうか。ニチレイが特別に脆弱だったという話ではなく、シェア上位の事業者に問題が起きれば、同じ混乱がどこでも起こり得た構造だといえます。

SaaSは点検するのに、物流が後回しにされる理由

多くの企業はすでにサプライチェーンのサイバーリスク管理に取り組んでおり、SaaS導入時にはチェックシートを送り、委託先には契約条項を設け、個人情報を預ける先には監査も実施しています。しかし「倉庫を運営する物流事業者に対しても、同じ観点でセキュリティを点検しているか」と問われると、答えに詰まる企業は少なくないはずです。

ここに、リスクの捉え方の偏りが表れています。サイバーリスクと聞くと、多くの人はデータ漏洩やシステムの乗っ取りを思い浮かべ、個人情報を扱う委託先やクラウド基盤ばかりが点検対象になりがちです。一方で物流事業者は「モノを動かすことが本業で、データやシステムのリスクとは縁が薄い」とみなされ、点検の優先順位が下げられてきました。今回の一件は、物流事業者のシステムが止まれば事業そのものが止まることを、あらためて突きつけました。可用性（サービスが使える状態を維持すること）という観点では、物流の停止はSaaS障害と同等か、賞味期限が絡む食品分野ではそれ以上の打撃になり得ます。

「取引先が止まったら何日耐えられるか」を把握する

見直すべきポイントは3つあります。

国による後押しも始まっています。経済産業省は2026年3月、取引先のセキュリティ水準を評価する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築方針を公表し、2026年度末の運用開始を目指しています。第三者が共通基準で評価・可視化することで、発注側が1社ずつチェックシートを送る手間を省き、サプライチェーンのどこが弱いかも見つけやすくなる仕組みです。

「機密性」だけでなく「可用性」にも目を向ける

「情報が漏れないか」という機密性ばかりに注目してしまうと、「サービスが止まらないか」という可用性のリスクを見落とします。自社をいくら堅牢にしても、頼る取引先が止まれば事業は止まる――それを自社のリスクとして棚卸しすることが、次に同じ混乱が起きたときに備える現実的な一歩です。まずは取引先リストを開き、「ここが止まったらうちは何日持ちこたえられるか」を問うところから始めることが求められています。