ニチレイへのサイバー攻撃で冷凍食品が止まった理由 日本の低温物流はどこが弱かったのか

確認できた事実は『攻撃』『遮断』『業務影響』の三点だ

ニチレイの第2報によると、同社は調査の結果、サーバがサイバー攻撃を受けたことを確認した。同時に、被害を受けたサーバの一部に個人情報が保管されていたため、個人情報保護委員会に対し、漏えいの可能性がある事案として第1報を行ったとしている。

会社側は、顧客データなどの保護を最優先し、7月13日にグループで使用しているシステムの遮断措置を講じたと説明した。この遮断措置に伴って、ニチレイロジグループ各社の冷蔵倉庫の入出庫業務と、ニチレイフーズの冷凍食品出荷業務に影響が生じた。

第3報では、7月17日から受発注を一部制限したうえで冷蔵倉庫と食品工場の部分稼働を始め、冷蔵倉庫全拠点の入出庫業務と冷凍食品出荷業務を順次再開しているとした。原因や影響範囲については、引き続き調査中としている。

なぜIT障害が冷凍食品の物流停止に直結したのか

冷蔵倉庫や冷凍食品の物流は、在庫管理システム、入出庫指示、受発注、配送手配、工場出荷の順序が強く連動している。一般の読者には『サーバが止まっても倉庫の扉は開くのではないか』と見えやすいが、実務では、どの商品をどの温度帯で、どの順番で、どの取引先向けに動かすかという判断がシステムに依存している。

低温物流では、常温品よりも手作業への切り替えが難しい。温度逸脱を避けながら、限られた時間内に商品を動かし、賞味期限や先入れ先出しの条件も守らなければならないからだ。安全確認が取れない段階で無理に動かせば、情報面だけでなく食品管理面のリスクも増える。

今回のケースでは、『サイバー攻撃が倉庫設備を直接止めた』と確認されたわけではない。確認できたのは、攻撃を受けた後にデータ保護を優先してシステムを遮断し、その結果として入出庫と出荷に影響が出たという経路である。

外食や小売への波及は、低温物流の集約度の高さを映した

日本KFCホールディングスは7月18日更新のお知らせで、物流委託先のシステム障害に伴い、一部店舗で休業や営業時間短縮が生じ、提供できないメニューがあると案内した。これは、冷凍・冷蔵食材の供給が外食の営業そのものに直結していることを示している。

The Japan Timesは、イオンなど一部の小売店で品薄が見られたと報じた。ここで重要なのは、全国一律の供給停止と断定することではなく、冷凍食品や低温品の供給が特定の物流事業者や拠点に集約されている場合、部分的な障害でも店頭に波及しやすいという点だ。

学校給食や業務用食材まで含めて考えると、低温物流は家庭向け商品の配送網というだけではない。外食、小売、集団給食をまたぐ基盤であり、平時は見えにくくても、止まった時には地域ごとの供給余力の乏しさが表に出やすい。

低温物流のBCPで優先すべき論点

今回の事例から先に問われるのは、攻撃者の属性を早く言い当てることではない。第一に、システム遮断時でも最低限の入出庫をどこまで手作業で回せるのか。第二に、荷主、倉庫、工場、配送先の間で、どの顧客と商品を優先するかを共有できているか。第三に、代替拠点や部分稼働の条件を平時から決めているかである。

7月17日の第3報では、受発注を一部制限しながら部分稼働に移ったことが示された。これは、全面復旧を待つだけでなく、制限付きでも再開できる単位を持つことが現実的な復旧策になることを示している。

日本企業のBCPでは、クラウドや認証停止への備えが注目されがちだが、物流ではそれに加えて物理制約が重なる。冷蔵倉庫の在庫、配送枠、保冷能力、賞味期限、取引先ごとの納品順が絡むため、復旧計画は『システムが戻れば終わり』では済まない。

現時点で分かっていないこと

現時点で公表情報から確認できないのは、具体的な侵入経路、使われたマルウェアの種類、ランサムウェアの有無、個人情報漏えいの確定有無である。ニチレイは、被害拡大防止のため、サイバー攻撃の詳細な情報開示を差し控えるとしている。

したがって、この件を『典型的なランサムウェア事案』と断定したり、冷凍食品の全国的な長期不足へ直結すると言い切ったりするのは早い。今後は、会社側の追加公表と、取引先や流通先の案内を分けて追う必要がある。

読者にとっての実務的な確認点は、どの業務がどこまで再開したのか、受発注制限がいつ解除されるのか、そして個人情報漏えいの有無や対象範囲について追加説明が出るのかである。

主な出典

• 当社グループでのシステム障害発生について（第2報）
• 当社グループでのシステム障害発生について（第3報）
• 物流委託先のシステム障害に伴う一部店舗の営業への影響について（7月18日更新）
• Nichirei returns to partial operations after cyberattack hits cold chain