30秒で分かる結論

食品大手ニチレイは2026年8月14日、7月13日に発生した不正アクセスによるシステム障害に関連し、被害を受けたサーバーの一部に保管されていた従業員情報が漏えいしたおそれがあると発表しました。対象となるのは、国内グループ会社が扱う従業員の氏名、生年月日、会社メールアドレス、従業員番号、その他人事・労務管理に関する情報です。今回の発表は、7月13日の第1報から数えて6回目の公表にあたります。ニチレイは対象となる人数を明らかにしておらず、発表時点でこれらの情報が不正に利用された事実は確認されていないとしています。

まず初めに

結論から言う。「6回目の発表」まで来て、まだ人数を言わないというのは、さすがに引っ張りすぎだ。7月13日に障害が起きてから1カ月あまり、発表のたびに一つずつ新しい事実が小出しに出てくる展開は、もはや連続ドラマの体を成している。冷凍食品の欠品騒動から始まったこの話、次は自社の社員の名前と生年月日が漏れたかもしれないという展開である。調査に時間がかかるのは分かる。分かるが、対象になったかもしれない従業員からすれば、「件数不明」のまま1カ月以上も待たされるのは穏やかではないはずだ。※個人の感想です

何が起きているのか

ニチレイは2026年7月13日朝、グループ会社のシステムに不正アクセスによる障害が発生したと公表しました。この影響で、ニチレイロジグループの冷蔵倉庫における入出庫業務と、ニチレイフーズが担う冷凍食品の出荷業務が一時停止し、KFCやイオン、くら寿司などの取引先で商品の品切れや配送遅延が生じたことは、IT Postでも既報(2026年8月6日)のとおりです。

その節は冷凍食品が品薄になっただけで済んだが、今回はもう一段深刻な話になってきた。

その後、ニチレイは複数回にわたって続報を公表してきました。7月15日の第2報では、被害を受けたサーバーの一部に個人情報が含まれていた可能性があるとして、個人情報保護委員会へ報告したことを明らかにしています。7月24日には冷蔵倉庫・工場が全拠点で通常稼働に移行したことを公表し、システム面の障害はいったん収束しました。

そして2026年8月14日、6回目となる発表で、被害を受けたサーバーの一部に保管されていた従業員情報が漏えいしたおそれがあると公表しました。対象は国内グループ会社が扱う従業員の氏名、生年月日、会社メールアドレス、従業員番号、その他人事・労務管理に関する情報です。ニチレイは対象となる人数を明らかにしておらず、発表時点でこれらの情報が不正に利用された事実は確認していないとしています。今後追加で漏えいのおそれが確認された場合には、あらためて対応するとしています。

なお、この攻撃をめぐっては「RansomHouse(ランサムハウス)」を名乗るハッカー集団が、インターネット上のリークサイトで関与を主張し、盗み出したとするデータを公開したとの報道があります。ただしニチレイは、この集団の関与やデータ持ち出しの真偽について、公式には確認していません。

なぜ重要なのか

今回の一件が重要なのは、被害の対象が当初の「取引先への物流影響」から「従業員個人の情報」へと広がった点です。ニチレイは冷凍食品業界最大手クラスの企業であり、グループ会社を含めると多数の従業員を抱えています。氏名・生年月日・会社メールアドレス・従業員番号といった情報は、それ単体では大きな被害に直結しにくいものの、他の漏えい情報と組み合わされることで、なりすましメールや標的型攻撃の材料に使われる可能性があります。

また、初報から6回にわたって段階的に情報が更新されている点も、この種のインシデント対応の難しさを示しています。攻撃を受けた直後の時点では被害範囲を正確に把握できず、被害の痕跡をたどる専門的な調査が進むにつれて新たな事実が判明していくのは、近年の不正アクセス事案に共通する傾向です。

私たちへの影響

一般の消費者がこの発表を受けて直接何かの手続きを求められることはありません。ただし、ニチレイグループやその関連企業に勤務している方は、自分の情報が対象に含まれていないか、勤務先からの通知や社内アナウンスを確認しておくことをおすすめします。

対象となる可能性がある方は、会社のメールアドレスや従業員番号を装った不審なメール・SMSに、これまで以上に注意が必要です。氏名や生年月日といった基本的な個人情報は、フィッシングメールを本物らしく見せるための材料としても悪用されることがあります。心当たりのない連絡や、業務用アカウントへのログインを促すメールについては、送信元を確認するまでリンクを開かないようにしてください。

初心者が知っておくべきこと

「個人情報保護委員会」とは、企業が個人情報を適切に取り扱っているかを監督する国の機関です。企業は保有する個人情報が外部に漏えいした、またはそのおそれがあると分かった場合、法律に基づいてこの委員会へ報告する義務があります。ニチレイも今回の一連の対応の中で、同委員会への報告を行っています。

「フォレンジック調査ふぉれんじっくちょうさ」とは、コンピューターやネットワークに残された記録を専門的に分析し、いつ・どこから・どのような手口で不正アクセスが行われたのかを明らかにする調査のことです。被害の全容を把握するには時間がかかることが多く、今回のニチレイのように、発表が複数回に分かれて段階的に行われる一因にもなっています。

よくある質問

Q. 自分の情報が対象に含まれているか確認するにはどうすればよいですか? A. ニチレイは対象となる人数や個人名を公表していないため、現時点では従業員本人が自分で照会する窓口は明らかにされていません。ニチレイグループやその関連企業に勤務している方は、勤務先からの通知や社内アナウンスを確認するのが確実な方法です。

Q. RansomHouseが「データを盗んだ」と主張している件は本当ですか? A. ニチレイは、この集団の関与やデータ持ち出しの真偽について公式には確認していません。攻撃者側の主張には誇張や虚偽が含まれる可能性があるため、ニチレイが公式に認めた事実と、ハッカー集団が一方的に主張している内容は分けて受け止める必要があります。

IT Postの見方

IT Postでは、企業が調査の進捗に応じて事実を段階的に公表すること自体は、不確かな情報を急いで断定するよりも誠実な対応だと考えます。一方で、初報から1カ月以上、6回の発表を経てもなお対象人数すら示されていない状況については、被害を受けた可能性がある従業員や取引先の不安を長引かせているという側面も否めません。

IT Postでは、調査に時間がかかるという事情と、当事者への説明責任は本来両立できるはずだと考えます。少なくとも「現時点で分かっている範囲」と「まだ分かっていない範囲」を明確に分けて伝えることは、件数が確定していなくても可能なはずです。取引先も従業員も巻き込む規模の攻撃だからこそ、情報開示のスピードと丁寧さの両方が問われていると、IT Postは見ています。※個人の感想です

今後どうなりそうか

ニチレイは今後の調査で追加の漏えいが確認された場合、あらためて対応する方針を示しています。対象となる従業員への個別通知や、被害人数・原因の特定といった続報が公表されるかどうかが、今後の焦点です。個人情報保護委員会への報告内容がどこまで公開されるかについても、注目されます。IT Postでは、続報があり次第あらためて取り上げます。