ニチレイのサイバー攻撃を情報処理安全確保支援士試験で読み解く｜可用性・初動対応・BCP・個人情報保護を解説

2026年7月13日、ニチレイは、不正アクセスによるシステム障害が発生したと公表しました。

障害の影響は、社内の情報システムだけにとどまりませんでした。ニチレイロジグループの冷蔵倉庫における入出庫業務と、ニチレイフーズの冷凍食品出荷業務に影響が発生しました。ニチレイはその後、サーバーがサイバー攻撃を受けたことを確認しています。

この事案は、情報処理安全確保支援士試験で問われる多くの論点を含んでいます。

• 情報セキュリティの可用性

• インシデント発生時の隔離と証拠保全

• 事業継続計画

• 委託先・サプライチェーン管理

• 個人情報漏えい時の報告と本人通知

• 段階的な業務復旧

• 攻撃者特定における慎重な判断

• バックアップと復元テスト

• ログの集中管理

本記事では、先ほど作成した練習問題の正解だけでなく、なぜその答えになるのか、実務では何を確認するのかを順番に解説します。

結論・要点

ニチレイの事案から学ぶべき重要な点は、次の5つです。

1. サイバー攻撃は、情報漏えいだけでなく業務停止を引き起こす

2. 初動対応では、システム隔離と証拠保全を並行する

3. 委託先の障害も、自社の事業継続へ影響する

4. 業務復旧と原因・情報漏えい調査は別に考える

5. 公開情報が不足している段階で、APTやランサムウェアと断定しない

ニチレイは、受発注を一部制限した部分稼働を経て、2026年7月24日に制限を解除し、全拠点を通常稼働へ移行しました。原因と影響範囲については、復旧途中の第3報でも調査継続中とされていました。

この記事で分かること

• ニチレイのサイバー攻撃で何が起きたのか

• なぜ「可用性」の問題になるのか

• システムを遮断する目的

• 初期化より証拠保全を優先する理由

• 物流停止を想定したBCPの考え方

• 個人情報が保存されていた場合の判断

• 攻撃グループの犯行声明をどう扱うか

• 段階的に復旧する理由

• 支援士試験の記述問題で使える解答方法

対象読者

この記事は、次の読者を対象としています。

• 情報処理安全確保支援士試験を受験する人

• セキュリティインシデント対応を学びたい人

• 情報システム、物流、BCPの担当者

• CSIRTやSOCの業務に関心がある人

• サプライチェーンリスクを学びたい人

IPAの情報処理安全確保支援士試験シラバスには、情報セキュリティインシデント管理、サプライチェーンリスク、機密性・完全性・可用性の確保などが含まれています。

ニチレイのサイバー攻撃では何が起きたのか

公表された内容

ニチレイが公表した主な経過は次のとおりです。

ニチレイは、発生当日にシステムの遮断措置を実施し、緊急対策本部を設置しました。外部のセキュリティ専門会社の支援を受けて調査と復旧を進めています。

現時点で公表されていない情報

次の情報は、公式発表では確認できません。

• 最初の侵入経路

• 侵入に悪用された脆弱性

• 侵入した日時

• 攻撃者の滞在期間

• マルウェアの名称

• ファイル暗号化の有無

• 情報持ち出しの有無

• 攻撃グループの正式な特定

• 身代金要求の有無

したがって、公開情報だけで「APT攻撃だった」「ランサムウェアで暗号化された」と断定することはできません。

問題1：最も直接的に損なわれた特性は可用性

正解

可用性

情報セキュリティの基本となるCIAは、次の三つです。

ニチレイの第1報では、冷蔵倉庫の入出庫業務と冷凍食品出荷業務に影響が発生したと公表されています。業務システムを必要なときに利用できなくなったため、最も直接的に損なわれた特性は可用性です。

試験での見分け方

次の表現があれば、可用性を疑います。

• システムを利用できない

• サービスが停止した

• 出荷できない

• 業務が継続できない

• 応答が極端に遅い

• 復旧まで利用不能になった

個人情報が保存されていたという記述だけを見て、機密性を即答しないようにします。

設問が「最も直接的に発生した影響」を尋ねている場合は、実際に起きた業務停止を優先します。

問題2：なぜシステムを遮断したのか

正解

• 追加の不正アクセスを抑止する

• 他のサーバーや端末への横展開を防ぐ

• 情報の外部持ち出しが続くことを防ぐ

システムの遮断は、攻撃を完全に除去する作業ではありません。

攻撃者が移動できる範囲を狭くする「封じ込め」です。

侵害されたサーバー
        │
        ├─ 他のサーバーへの横展開
        ├─ 外部C2サーバーとの通信
        └─ データの外部送信

                 ↓ 遮断

侵害されたサーバー  ×  社内・外部ネットワーク

遮断しても解決しないこと

システムをネットワークから切り離しても、次の問題は残る可能性があります。

• 不正アカウント

• マルウェア

• スケジュールタスク

• 不審なサービス

• 盗まれたパスワード

• APIキーやトークン

• Webシェル

• 改ざんされた設定

そのため、隔離後に調査、除去、認証情報の失効、再構築が必要です。

NIST SP 800-61 Rev.3では、インシデント対応を検知、対応、復旧だけの一時的な作業ではなく、組織全体のサイバーリスク管理へ組み込むことを求めています。

問題3：初動では隔離と証拠保全を並行する

正解

• ログ、設定、通信記録を保全する

• 対象システムを適切に隔離する

• 対応日時、担当者、実施内容を記録する

インシデント初動では、二つの目的を同時に考えます。

被害拡大を止める
        ＋
原因調査に必要な証拠を残す

なぜすぐに初期化してはいけないのか

調査前に初期化すると、次の情報が失われる可能性があります。

• 実行中のプロセス

• メモリ上のマルウェア

• 外部との通信状態

• 不正アクセスの時刻

• 作成されたアカウント

• 不審なサービス

• ファイルのタイムスタンプ

• イベントログ

画面が表示できない状態でも、調査に必要な証拠が残っている可能性があります。

対応記録が必要な理由

対応記録には、次の内容を残します。

• 誰が操作したか

• 何時に操作したか

• どの機器を操作したか

• 何を変更したか

• 操作前後の状態

• 証拠をどこへ保存したか

記録がなければ、攻撃者による変更と対応担当者による変更を区別できなくなります。

問題4：委託先の障害も自社のリスクになる

正解

• 委託先の障害は自社の事業継続にも影響する

• 自社が直接攻撃されなくても影響を受ける

• 代替手段をBCPへ含める必要がある

物流、決済、クラウド、コールセンターなどを外部へ委託しても、事業への影響まで委託できるわけではありません。

物流事業者のシステム停止
        ↓
倉庫から商品を出荷できない
        ↓
取引先へ商品が届かない
        ↓
販売制限・営業停止

これは、サプライチェーンリスクの典型例です。

委託で移転できるものとできないもの

支援士試験では、「委託したのでリスクはなくなる」という選択肢は、基本的に不適切です。

問題5：物流システム停止へ備えるBCP

正解

• 代替受発注手順を整備する

• 代替倉庫・配送事業者への切替手順を作る

• 優先出荷する顧客・商品を決める

• 復旧後の滞留注文処理を定める

BCPは、バックアップを取得するだけの計画ではありません。

システムが使えない期間にも、重要業務を最低限継続する方法を準備します。

代替受発注の例

通常時
取引先
  ↓ API・EDI
受発注システム
  ↓
倉庫管理システム

障害時
取引先
  ↓ 電話・メール・CSV
緊急受付担当
  ↓ 手作業による優先順位付け
代替出荷指示

優先順位を事前に決める

障害が起きてから優先順位を考えると、判断が遅れます。

事前に次の基準を決めます。

• 人命や健康に関係する商品

• 在庫期限が短い商品

• 社会的影響が大きい顧客

• 代替品がない商品

• 契約上の優先顧客

• 復旧後の処理能力

RTOとは

RTOは、Recovery Time Objectiveの略です。

日本語では「目標復旧時間」と呼ばれます。

障害発生 ───────── 復旧
          ← RTO →

RTOは、どの程度の時間まで業務停止を許容できるかを示します。

問題6：個人情報が保存されていても漏えい確定ではない

正解

漏えいの可能性を考慮して対応するが、実際の持ち出しの有無は調査が必要

ニチレイは、被害を受けたサーバーの一部に個人情報が保管されていたため、個人情報保護委員会へ漏えいの可能性がある事案として報告しました。その後、対象者へ通知したと公表しています。

しかし、次の三つは別の状態です。

個人情報がサーバーに保存されていた
                ↓
攻撃者が個人情報へアクセスした
                ↓
攻撃者が個人情報を外部へ持ち出した

最初の状態が確認されても、外部への持ち出しまで自動的に確定するわけではありません。

調査するログ

• ファイルアクセスログ

• データベース監査ログ

• 管理者操作ログ

• Proxyログ

• ファイアウォールログ

• EDRログ

• アーカイブファイルの作成履歴

• 外部への転送量

個人情報保護委員会のガイドラインでは、一定の漏えい等事案について報告と本人通知が定められています。漏えい等への対応資料や報告受付も公開されています。

問題7：犯行声明だけで攻撃者を断定しない

正解

犯行声明を調査材料の一つとして扱い、他の証拠と照合する

攻撃グループが犯行声明を出しても、そのグループが本当に攻撃したとは限りません。

考えられる可能性は次のとおりです。

• 実際の攻撃者が声明を出した

• 別の攻撃者が便乗した

• 入手した古いデータを利用した

• 攻撃グループ名を偽装した

• 関係のない事案を自分たちの成果と主張した

アトリビューションで照合する情報

• 攻撃手法

• 使用されたマルウェア

• 通信先

• ドメイン登録情報

• 攻撃対象

• 活動時間帯

• ファイルの特徴

• 過去事例との共通点

• 攻撃者の目的

アトリビューションとは、これらの情報を組み合わせて攻撃主体を推定する活動です。

試験では「IPアドレスが一致したので断定する」「声明が出たので確定する」という選択肢を避けます。

問題8：今回の事案をAPTと断定できるか

正解

公開情報だけではAPTと断定できない

APTは、単に大企業が攻撃されたことを表す言葉ではありません。

一般に、次のような特徴を持つ活動を指します。

• 明確な標的がある

• 長期的にアクセスを維持する

• 組織内部を調査する

• 権限を拡大する

• 機密情報を継続的に収集する

• 複数の侵入手段を組み合わせる

ニチレイの公式発表では、サイバー攻撃を受けたことは確認されています。しかし、攻撃者の滞在期間、侵入経路、永続化、目的などは公表されていません。

したがって、現時点では次のように表現します。

ニチレイのサーバーがサイバー攻撃を受けたことは公式に確認されている。一方、公開情報だけではAPT、ランサムウェア、データ恐喝などの攻撃類型を確定できない。

問題9：暗号化しないデータ恐喝

正解

データ恐喝

攻撃者は、必ずしもファイルを暗号化するとは限りません。

データを盗み、次のように脅す場合があります。

データを窃取
    ↓
被害企業へ連絡
    ↓
支払わなければ公開すると脅迫
    ↓
一部データを証拠として掲載

この攻撃は、データ恐喝と呼ばれます。

ただし、ニチレイ事案でデータが実際に持ち出されたか、恐喝が行われたかは、公式には確認されていません。

試験問題では、概念を学ぶための仮定と、実際の公表事実を分ける必要があります。

問題10：なぜ段階的に業務を復旧するのか

正解

• 再発しないか監視する

• 再感染や横展開のリスクを抑える

• 重要な業務から優先して再開する

ニチレイは、2026年7月17日に受発注を一部制限し、冷蔵倉庫と食品工場を部分稼働させました。その後、7月24日に受発注制限を解除し、全拠点を通常稼働へ移行しました。

このような段階的復旧には、次の利点があります。

安全性を確認した一部環境を復旧
            ↓
ログと通信を監視
            ↓
異常がなければ対象を拡大
            ↓
全体を通常稼働へ戻す

一斉復旧の危険性

原因が残った状態で全システムを接続すると、次の問題が起こる可能性があります。

• マルウェアが再び通信を始める

• 不正アカウントが再利用される

• 他の端末へ再感染する

• 調査中の証拠が変化する

• 業務停止が再発する

問題11：通常稼働前に確認すること

正解

• 脆弱性や設定不備を修正する

• アカウント、トークン、秘密鍵を失効する

• 不審なサービスや通信を除去する

• 監視機能が正常に動作していることを確認する

Web画面が表示されたことは、業務機能の確認にすぎません。

攻撃者が排除された証拠にはなりません。

復旧前チェック

□ 侵入経路を修正した
□ 不正アカウントを無効化した
□ パスワードを安全な端末から変更した
□ APIキーとトークンを失効した
□ 不審なサービスを除去した
□ EDRが動作している
□ ログが外部へ転送されている
□ 不審な外部通信が発生していない
□ 復旧後の監視担当者を決めた

問題12：安全なバックアップの条件

正解

• 本番環境から分離する

• 変更・削除が困難な状態にする

• 定期的に復元テストを行う

バックアップは、存在するだけでは不十分です。

バックアップ取得成功
          ≠
正常に復元できる

攻撃者から守る構成

本番環境とバックアップで同じ管理者アカウントを使用していると、本番環境の認証情報が盗まれた際にバックアップも削除される可能性があります。

本番サーバー
     │
     ├─ 通常バックアップ
     │
     └─ 分離・変更不能バックアップ

CISAは、ランサムウェア対策として、オフラインかつ暗号化され、変更・削除できないバックアップを保持するよう推奨しています。

復元テストで確認すること

• バックアップファイルを読み出せるか

• 必要な時間内に復元できるか

• アプリケーションが起動するか

• データに矛盾がないか

• バックアップにマルウェアが含まれていないか

• 復元後に監視を開始できるか

問題13：委託先管理で確認する項目

正解

• インシデント時の連絡体制

• 委託先のRTOと代替手段

• 自社側の代替業務

• 再委託先を含む依存関係

委託契約書にセキュリティ条項を書くだけでは不十分です。

実際の障害を想定して、次の質問へ回答できる状態にします。

問題14：攻撃調査に必要なログ

正解

• 認証基盤・VPNログ

• EDR・イベントログ

• ファイアウォール・Proxy・DNSログ

• ファイルアクセス・業務ログ

一つのログだけでは、攻撃全体を確認できません。

VPNログ
  ↓
誰が外部から接続したか

認証ログ
  ↓
どのアカウントが使われたか

EDRログ
  ↓
どのプログラムが実行されたか

通信ログ
  ↓
どこへ接続したか

業務ログ
  ↓
どの商品やデータが操作されたか

業務ログが重要な理由

物流システムでは、次のような業務上の異常も確認します。

• 通常と異なる大量の出庫指示

• 在庫数の不自然な変更

• 未承認の配送先

• 深夜のマスターデータ更新

• 一括データ出力

• 大量のCSVダウンロード

サイバー攻撃の調査は、OSやネットワークだけでなく、業務処理の変化も対象になります。

問題15：RTOとアトリビューション

RTO

RTOは、障害が発生してから業務を復旧するまでの目標時間です。

記述問題では、次のように答えます。

重大な障害の発生後、対象業務又はシステムを復旧させるまでの目標時間。

アトリビューション

アトリビューションは、攻撃手法やインフラなどを分析し、攻撃主体を推定する活動です。

記述例は次のとおりです。

マルウェア、通信先、攻撃手法、標的、活動時間などの複数の情報を分析し、攻撃主体を推定する活動。

問題16：業務復旧と調査完了は別

正解

業務復旧後も、原因・漏えい調査と監視を継続する

通常稼働へ戻ったことは、次の一つを意味します。

業務を再開できる状態になった。

一方で、次の状態までは自動的に意味しません。

• 侵入経路が完全に特定された

• 全ての攻撃者を排除した

• 情報漏えいがなかった

• 不正アカウントが存在しない

• 再侵入の可能性がない

• 法的な対応が完了した

技術的復旧
業務復旧
原因調査
漏えい調査
法令対応
再発防止

これらは並行して進める別の作業

支援士試験の記述問題で使える解答方法

対策を答える型

何に対して
何を実施し
何を防ぐか

悪い例

ログを確認する。

改善例

VPNの認証ログを確認し、通常と異なる接続元からの不正ログインを特定する。

初動対応を答える型

対象を
どのように処理し
何を防止するか

解答例

侵害が疑われるサーバーをネットワークから隔離し、他サーバーへの横展開と外部への情報送信を防止する。

BCPを答える型

通常手段が使えない場合に
どの代替手段を使い
どの業務を継続するか

解答例

受発注システムが利用できない場合に、承認済みCSVを用いた代替受付手順へ切り替え、優先商品の出荷を継続する。

個人情報漏えいを答える型

何を確認し
どの範囲を特定し
どの対応を行うか

解答例

ファイルアクセスログと外部通信ログを確認して、個人データへのアクセス及び持ち出しの有無を特定し、必要な報告と本人通知を行う。

よくある誤解

大企業ならサイバー攻撃を防げる

企業規模に関係なく、サイバー攻撃は発生します。

重要なのは、侵入を完全にゼロにすることだけではありません。侵入を前提に、早期検知、封じ込め、復旧、再発防止を準備します。

システムを遮断すれば攻撃者を排除できる

遮断は、攻撃者の活動を制限する処置です。

不正アカウントや永続化が残っていれば、再接続後に攻撃が再開する可能性があります。

個人情報があれば漏えい確定

保存されていたこと、アクセスされたこと、外部へ持ち出されたことは別です。

ただし、漏えいのおそれがある場合には、法令やガイドラインに基づく報告・通知を検討します。

通常稼働へ戻れば対応完了

業務復旧後も、原因調査、漏えい調査、再侵入監視、再発防止を継続します。

まとめ

ニチレイのサイバー攻撃事案は、情報処理安全確保支援士試験で学ぶ複数のテーマを実際の業務へ結び付ける事例です。

特に重要なのは、次の点です。

1. 物流業務の停止は可用性の問題である

2. 初動では隔離と証拠保全を並行する

3. 委託先の障害も自社の事業継続へ影響する

4. BCPにはシステム復旧だけでなく代替業務を含める

5. 個人情報の保存と外部漏えいを区別する

6. 犯行声明だけで攻撃者を断定しない

7. 公開情報だけでAPTやランサムウェアと断定しない

8. 復旧は段階的に進め、監視を継続する

9. バックアップは分離・変更不能・復元確認が必要である

10. 業務復旧と調査完了は別である

試験問題では、セキュリティ製品名の暗記よりも、次の流れを意識してください。

何が起きたか
  ↓
どの資産が影響を受けたか
  ↓
被害をどう止めるか
  ↓
何を証拠として残すか
  ↓
業務をどう継続するか
  ↓
安全にどう復旧するか
  ↓
同じ事象をどう防ぐか

この流れを説明できれば、ニチレイ事案だけでなく、物流、製造、医療、金融などのインシデント問題にも対応しやすくなります。

FAQ

ニチレイの攻撃はランサムウェアですか？

ニチレイの公式発表では、サイバー攻撃を受けたことは確認されていますが、ランサムウェアの名称、暗号化、身代金要求などは公表されていません。公開情報だけでは断定できません。

ニチレイの攻撃はAPTですか？

攻撃者の滞在期間、目的、永続化、継続的な情報収集などが公表されていないため、APTとは断定できません。

個人情報は漏えいしたのですか？

被害サーバーの一部に個人情報が保存されており、対象者への通知が行われました。ただし、公式発表からは、実際の外部持ち出しの有無や件数を確認できません。

なぜ全システムをすぐに復旧しなかったのですか？

安全性を確認しながら復旧範囲を広げ、再感染や再侵入のリスクを抑えるためです。ニチレイも一部制限下での部分稼働を経て、通常稼働へ移行しました。

可用性とBCPはどう違いますか？

可用性は、必要なときにシステムや情報を利用できる性質です。BCPは、障害が発生しても重要業務を継続し、復旧するための計画です。

バックアップがあればBCPは不要ですか？

不要にはなりません。バックアップはデータを復元する手段です。BCPには、システム停止中の代替受発注、顧客連絡、優先出荷、代替拠点なども含まれます。

参考情報

• ニチレイ「当社グループでのシステム障害発生について（第1報）」

• ニチレイ「当社グループでのシステム障害発生について（第2報）」

• ニチレイ「当社グループでのシステム障害発生について（第3報）」

• ニチレイ「当社グループでのシステム障害発生について（第4報）」

• ニチレイ「当社グループでのシステム障害発生について（第5報）」

• 個人情報保護委員会「個人情報保護法ガイドライン・漏えい等への対応」

• NIST SP 800-61 Rev.3「Incident Response Recommendations and Considerations」

• IPA「情報処理安全確保支援士試験シラバス」

出典・最終確認（2026年7月31日）

ニチレイ公式の第1報から第5報

原因、影響範囲、復旧状況は調査の進展で変わるため、断定はニチレイが公表した範囲に限定します。以下の第1報から第5報を時系列の基準とします。

• ニチレイ公式 第1報
• ニチレイ公式 第2報
• ニチレイ公式 第3報
• ニチレイ公式 第4報
• ニチレイ公式 第5報