ニチレイ不正アクセスで物流混乱拡大、KFC・イオン・くら寿司に波及

「フライドチキンが消えた日」――冷凍物流の要塞が崩れた

2026年7月13日（月）の早朝、日本の食卓を支える巨大なインフラが静かに止まった。冷凍食品と低温物流の国内最大手・株式会社ニチレイ（本社：東京都中央区、代表取締役社長CEO：嶋本和訓）において、第三者による不正アクセスに起因する大規模なシステム障害が発生したのだ。

翌日には日本ケンタッキー・フライド・チキン（KFC）が全店舗への影響を公表し、イオン・くら寿司・ヨークベニマルなど大手外食・小売チェーンが次々と被害を発表。「1社のサイバー攻撃が、なぜ全国の店舗を揺るがすのか」――この問いに答えるカギは、ニチレイが担うコールドチェーン（低温物流網）の圧倒的な社会的役割にある。

事件の全体像：何が、いつ、どのように起きたか

障害検知から公表まで

報道によれば、2026年7月13日午前6時50分ごろ、ニチレイグループ各社のシステムで異常が検知された。同社は即座に緊急対策本部を立ち上げ、復旧に向けた調査と対応を開始。同日中に「不正アクセスによるシステム障害発生」として公式サイトで公表した。

7月15日には、ニチレイがサイバー攻撃を受けたことを正式に確認し、攻撃を受けたサーバーの一部に個人情報が保管されており、流出の可能性があるとして個人情報保護委員会に報告した。現時点では情報流出は確認されていないとしつつも、障害が発生した13日以降、システムを遮断している状況が続いた。

影響を受けた業務範囲

ニチレイロジグループ各社：冷蔵倉庫の入出庫業務が停止・遅延
ニチレイフーズ：冷凍食品の出荷業務が停止
障害範囲：日本国内に限定（海外拠点への影響は確認されず）
個人情報流出：現時点で確認されていないが調査継続中
復旧見通し：安全対策を講じたうえで7月17日から順次再開予定

ニチレイは詳細な攻撃手法については「被害拡大を防ぐため」として情報を差し控えており、侵入経路や攻撃手法の特定には至っていない段階だ。

波及先の全貌：約5000社のサプライチェーンが連鎖崩壊

今回の障害がここまで社会的影響を広げた最大の理由は、ニチレイの事業規模にある。ニチレイロジグループの低温物流を利用する顧客は年間で約5000社、グループ外顧客向けの売上比率は92%に上る。つまり同社は「自社製品を運ぶ物流会社」ではなく、日本の食品流通インフラそのものを担う社会基盤企業なのだ。

主な影響企業と被害状況

日本ケンタッキー・フライド・チキン（KFC）：全店舗で食材納品に支障。商品の一部品切れ、販売メニューの制限、営業時間の短縮、臨時休業の可能性を告知。公式アプリ・Webサイトからのオンラインオーダーやモバイルオーダーおよびデリバリーを一時停止。
イオン系列スーパー：一部商品の欠品が発生。
くら寿司：すしネタや冷凍食品に納品遅れ・未着が発生と公表。
ヨークベニマル（東北地盤のスーパー）：ニチレイに物流センターの一部運営を委託しており、弁当やベーカリーコーナーで一部欠品が発生。

さらに、報道ではサイゼリヤをはじめとする他の大手飲食チェーンへの波及も報告されており、被害企業の全容は今後さらに拡大する恐れがある。

「お客さまや取引先の皆さまにご迷惑をおかけし、おわび申し上げます」
― 株式会社ニチレイ公式コメント

ビジネス視点：なぜ「最強のコールドチェーン」が一瞬で止まったのか

今回の事件が企業経営者に突きつける本質的な問いは、「セキュリティ対策をしていても攻撃は防げないのか」という点だ。

ニチレイはファイアウォール、侵入検知システム、認証システムの整備に加え、社内規程の整備や従業員向けeラーニング教育など、一定のセキュリティ対策を講じてきたとされる。しかし、それでも攻撃を防ぎきれなかった。

先例が示すように、侵入を100%防ぐ完璧な防御策は存在しない。VPN機器の未知の脆弱性（ゼロデイ攻撃）や、取引先・委託先アカウントを踏み台にした侵入など、攻撃側の手口は年々巧妙化している。2025年9月にサイバー攻撃を受けたアサヒグループホールディングス（アサヒGHD）は、NISTサイバーセキュリティフレームワークに準拠した診断やペネトレーションテスト、EDR（エンドポイント検知・対応）による監視を行っていたにもかかわらず被害を防ぎきれなかったと説明しており、ニチレイの事案も同様の文脈で理解される。

「物流2026年問題」との二重苦

今回の障害は、物流業界がすでに抱える深刻な課題と重なった。トラックドライバーの時間外労働を年960時間に制限する「物流2024年問題」、さらには荷待ち時間の削減や運行管理の厳格化を義務付ける「物流2026年問題」に直面している輸送業界にとって、システム障害による突発的な待機時間の発生は致命的だ。自動化された出荷システムが機能しないため、配送トラックは倉庫のトラックバースで出荷指示を数時間から時に半日以上も待つ事態が生じた。

冷凍食品特有の「廃棄リスク」

冷凍・冷蔵食品は常温商材と根本的に異なるリスクを持つ。温度管理が止まれば「廃棄」に直結する物理的な制約がある。紙の伝票による代替運用も、預かり品を含む膨大なアイテム数を前にすると現実的な選択肢としての限界がある。ニチレイが保管・輸送する食品の安全性確保が最優先事項となり、復旧作業のハードルをさらに高めている。

消費者・生活者への影響

今回の事件は、消費者の日常生活に直接的な不便をもたらしている。

飲食店での品切れ・臨時休業：KFCでは全店舗規模で商品の品切れや一部メニューの販売制限が発生。来店前に各店舗の公式情報を確認する必要がある。
スーパーマーケットの欠品：イオン系列やヨークベニマルで一部商品が欠品状態に。
回転寿司チェーンへの影響：くら寿司でネタや冷凍食品の納品遅れが発生。
オンライン注文・デリバリーの停止：KFCではモバイルオーダーや配達代行サービスが一時停止。

各店舗の営業状況は日々変化する可能性があるため、外出前にKFCや各スーパーの公式情報を確認することが強く推奨される。

また、高齢者施設や病院など、冷凍食品を定期的に使用する福祉施設への食材供給に支障が出ているとの報道もあり、社会的弱者への影響も懸念される。

専門家の見解：サプライチェーン攻撃の構造的脆弱性

サイバーセキュリティの専門家は、今回の事件を「典型的なサプライチェーン攻撃の顕在化」と位置付けている。

「近年、セキュリティ分野では『自社だけでなく、取引先・委託先のセキュリティも自社のリスクになる』という認識が広がっている。今回のケースはデータ漏洩ではなく業務停止という形でそのリスクが顕在化した好例だ」
― セキュリティアナリスト（業界関係者コメントより）

IPAが公表した「情報セキュリティ10大脅威 2026」においても、「サプライチェーンや委託先を狙った攻撃」は組織向けの第2位に位置づけられており、今回の事案はその典型例と言える。

また、ビジネスジャーナルとサイバーセキュリティコンサルタントの新實傑氏の分析によれば、「KFCのようなチェーン店はジャストインタイムに近い形で食材を調達しており、在庫を大量に抱えない仕組みが、物流が止まると即座に店舗運営に直撃する脆弱性を生んでいる」と指摘されている。

さらに、入出庫管理システムは単なる在庫記録のシステムではなく、どのトラックに何を積み、どの店舗や拠点に何を届けるかという配送計画そのものと密接に連動している。システムが止まることは、データが見られないという話にとどまらず、物理的なモノの流れそのものが止まることを意味する。ニチレイの障害発生からわずか1日程度でKFCという最終消費者に近い外食チェーンにまで影響が及んだ背景には、この構造的な問題がある。

国際比較：海外でも繰り返されるコールドチェーン・サイバー攻撃

今回の事案は、日本固有の問題ではない。海外でも食品・物流サプライチェーンを狙ったサイバー攻撃は深刻化している。

Blue Yonder攻撃（米国、2024年）：AI供給網管理ソフトウェア大手のBlue Yonderがランサムウェア攻撃を受け、3000社超・スターバックス約1万1000店舗に影響が波及。北米のスターバックスでは従業員のシフト管理が手動に切り替わり、混乱が生じた。
UNFI（米国）サイバー攻撃：食品卸大手UNFIへのサイバー攻撃により、ホールフーズをはじめとする小売店舗で全米規模の品切れが発生。食品サプライチェーンの脆弱性が露呈した。
アスクル・ASKUL LOGIST（日本、2025年10月）：ランサムウェア攻撃により物流システムに障害が発生。良品計画やロフトがネットストアの受注・出荷を一時停止。システム復旧におよそ2カ月を要した。
アサヒグループホールディングス（日本、2025年9月）：ランサムウェアグループ「Qilin」による攻撃を受け、受注・出荷・コールセンター業務が全面停止。全品出荷再開まで約6カ月を要し、攻撃関連の財務影響は総額約400億円弱に上った。

物流基幹システムが停止すると、入出庫・出荷という現場のオペレーションが直接止まってしまう点は、業界に共通する構造的な脆弱性だと言える。

今後の展望：復旧と再発防止策の課題

短期的な焦点：早期の業務正常化

ニチレイは安全対策を講じた上で7月17日から関連業務を順次再開すると発表したが、完全正常化のタイミングについては明言していない。アスクルのケースでは復旧に約2カ月、アサヒGHDでは約6カ月を要した先例を踏まえると、影響が長期化する可能性も排除できない。

中長期的な課題：デジタルBCPの再設計

今回の事案が企業に突きつける中長期的な課題は以下の通りだ。

サプライチェーン全体のセキュリティ評価：自社のセキュリティ対策だけでなく、委託先・取引先を含めたサプライチェーン全体でのリスク管理体制の構築。経済産業省とIPAが推進する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の活用も注目される。
アナログ回帰力の訓練：デジタルを前提としない「アナログ回帰力」の訓練、つまり手動での受発注切り替えや紙ベースの運用訓練を平時から実施すること。
物流分散化（マルチベンダー化）：特定一社に低温物流を依存することのリスクが改めて意識され、複数の物流網・複数ベンダーを組み合わせた耐障害性の高い流通網の再設計が求められる。
流通ISACへの参画：業界横断的な情報共有の枠組みである「流通ISAC」への参画による、「面」の共同防衛体制の強化。
検知後の初動対応と情報開示体制：攻撃を完全には防ぎきれない前提に立ち、早期の情報開示体制と初動対応プロセスの事前整備。

取引先である小売・外食チェーン側でも、「特定の一社に低温物流を依存すること」のリスクが改めて意識されるだろう。複数の物流網と代替倉庫への自動振り分けができる、耐障害性の高い流通網の再設計が水面下で検討されることが予想される。

まとめ：この事件から学ぶべき3つのポイント

① コールドチェーンは社会インフラである：ニチレイは年間約5000社・グループ外売上比率92%という圧倒的な規模で日本の低温物流を支えており、1社のシステム障害がKFC・イオン・くら寿司など大手企業の供給網を即座に止める「インフラ依存型リスク」が現実のものとなった。
② 「防御100%」は存在しない――重要なのはBCPだ：どれほどセキュリティ対策を講じていても、高度なサイバー攻撃を完全に防ぐことはできない。「攻撃を受けた後、いかに早く事業を継続するか」というBCP（事業継続計画）の設計が、企業の本質的な課題となっている。
③ サプライチェーン攻撃は全業種・全規模の問題：今回の事案は大企業間の問題に見えるが、ECサイト・飲食店・IT企業を問わず、外部サービスや委託先に依存するあらゆる企業が同様のリスクを抱える。「委託先のセキュリティは自社のリスク」という認識への転換が急務だ。

参考情報

著者プロフィール

伊東雄歩（いとうゆうほ） / ゆぽゆぽ

株式会社ウォーカー代表取締役 / MENSA会員 / NLPマスタープラクティショナー

IQ130超のADHD経営者。「社会不適合」ゆえに会社員を2年で挫折し、フリーランスを経由せずいきなり起業。訴訟4回、2000万円の損失、役員の裏切り、オフショア開発の地獄を乗り越え10年生き残る。心理学・教育学に1000万円投資し、独自の「成長力学」を確立。現在は生成AI教育に注力し、「3年を2日に変える」AIプログラミング2Daysキャンプを全国展開中。AIフレンズコミュニティを運営。

夢は「世界征服」——世界の常識を変え、新しい価値観を提示すること。