あなたの会社も明日止まる　サプライチェーン攻撃から事業を守る方法

はじめに
攻撃されていない会社まで、なぜ止まるのか
もし明日の朝、いつもの業務システムにログインできなくなったら、あなたの会社は何時間、仕事を続けられるでしょうか。
・受注データが見られない。
・倉庫に何があるのか分からない。
・請求書を発行できない。
・取引先への納期を確認できない。
・担当者のパソコンには情報が残っているが、正しいデータか判断できない。

そして電話が鳴り始めます。
・「今日の商品は届くのでしょうか」
・「注文は受け付けられていますか」
・「顧客情報は漏れていませんか」
・「いつ復旧するのですか」

ところが、社内には答えられる人がいません。
システム担当者は復旧作業に追われ、経営者は取引先への説明に追われ、現場では手書きの伝票と表計算ファイルを使って業務を続けようとします。

しかし、誰が何を決めるのかが曖昧なままでは、善意で始めた応急対応が新たな混乱を生みます。
サイバー攻撃の本当の怖さは、データが盗まれることだけではありません。

会社の判断が止まり、仕事の流れが止まり、取引先との約束が止まること。

これこそが、現代の企業が直面する最大の危機です。
2026年7月、ニチレイグループでは、不正アクセスによるシステム障害が発生し、冷蔵倉庫の入出庫業務や冷凍食品の出荷業務に影響が出たとされています。

この事案が私たちに突きつけたのは、一社のシステム障害が、その会社の中だけでは終わらないという現実でした。
物流が止まれば、商品を作った会社だけでなく、卸売、小売、飲食店、配送会社、そして消費者まで影響を受けます。

攻撃者が狙った企業とは直接関係のない会社であっても、依存している取引先やサービスが停止すれば、自社の事業も止まります。

つまり、今の企業は、自社のセキュリティだけを考えていては守れません。
クラウド会計、決済代行、物流、受発注システム、勤怠管理、メール、オンラインストレージ。私たちの仕事は、数え切れないほど多くの外部企業とデジタルサービスによって支えられています。

便利になった分、つながりは増えました。
つながりが増えた分、止まる入口も増えました。
この構造が、サプライチェーンリスクです。

大手企業だから安全とは限りません。専門の担当者がいるから防げるとも限りません。十分に注意していた企業であっても、攻撃者は認証情報、委託先、古い機器、クラウド設定、人の判断ミスなど、わずかな隙間を探します。

一方で、悲観する必要もありません。
被害の発生を完全に防ぐことは難しくても、被害を小さくし、事業を早く立て直す準備はできます。
必要なのは、高価な製品を次々に導入することではありません。
・何が止まると会社が困るのか。
・止まったときに誰が判断するのか。
・どの業務を優先して復旧するのか。
・取引先には何を、いつ伝えるのか。
・システムを使わずに続けられる仕事は何か。
こうした問いに、平時のうちに答えを用意しておくことです。

本稿では、ニチレイの事案から読み取れる教訓を起点として、サプライチェーン攻撃の構造、企業が止まる本当の理由、初動対応、情報公開、事業継続、取引先管理、そして中小企業が今日から実行できる防御策を整理します。
サイバー攻撃は、IT部門だけの問題ではありません。
売上、信用、雇用、取引、経営判断に関わる経営課題です。
あなたの会社も、明日止まるかもしれません。
しかし、今日から備えることはできます。

第1章　一社の障害が社会を止める：ニチレイ事案から見えるサプライチェーンリスク

1　何が起きたのか
報道によると、2026年7月13日午前6時50分頃、ニチレイグループのシステムで、不正アクセスによる障害が検知されました。
影響が出たとされるのは、主に次の業務です。
・ニチレイロジグループ各社が担う冷蔵倉庫の入出庫業務。
・ニチレイフーズが担う冷凍食品の出荷業務。

食品物流は、単に商品を右から左へ運ぶ仕事ではありません。
どの商品を、どの温度帯で、どの倉庫に保管し、いつ、どの車両で、どの店舗へ届けるのか。賞味期限、ロット、数量、配送順序、入庫時刻、出庫時刻など、膨大な情報の組み合わせによって成り立っています。

この情報を管理するシステムが止まると、倉庫に商品が存在していても、正確に動かすことができません。

「現物があるなら、人が運べばよい」と考えるかもしれません。
しかし、冷蔵・冷凍物流では、誤った出庫が食品事故や廃棄につながる可能性があります。数量が合わない、届け先を間違える、温度管理の記録が残らない、賞味期限の短い商品を後回しにしてしまう。こうした問題を避けるには、慎重な確認が必要です。

そのため、システム停止後の業務は、単純に人員を増やせば解決するものではありません。
確認、照合、承認、記録を人の手で行うため、通常時よりはるかに時間がかかります。復旧対応と出荷対応を同時に進める現場では、疲労によるミスの危険も高まります。
システム障害は、機械の問題であると同時に、人の負荷を急激に増大させる問題なのです。

2　被害は取引先へ広がる

この事案で重要なのは、被害の広がり方です。
提供された情報では、複数の外食・小売企業で商品の欠品や営業時間への影響が生じたとされています。

ここで注目すべきなのは、影響を受けた企業がサイバー攻撃を受けたわけではないという点です。
・物流を依存していた会社が止まった。
・その結果、商品が届かなくなった。
・そのため、販売や営業に影響が出た。
これがサプライチェーンリスクの基本構造です。

自社のパソコンが安全でも、商品が届かなければ販売できません。自社のサーバーが動いていても、決済代行会社が止まれば代金を受け取れません。
自社が攻撃されていなくても、会計クラウドが停止すれば請求業務が遅れます。

会社は、自社の中だけで完結していない。
この当たり前の事実を、サイバー攻撃は容赦なく突きつけます。

3　サプライチェーン攻撃とサプライチェーン障害
ここで用語を整理しておきましょう。
サプライチェーン攻撃とは、一般に、標的となる組織を直接攻撃するのではなく、取引先、委託先、ソフトウェア提供会社、保守事業者などを経由して侵入したり、被害を及ぼしたりする攻撃を指します。
例えば、攻撃者が小規模な保守会社のアカウントを奪い、その会社が接続できる複数の顧客企業へ侵入するケースです。
また、広い意味では、サプライチェーン上の重要企業がサイバー攻撃で停止し、その影響が取引先へ連鎖する状況も、サプライチェーンリスクとして捉える必要があります。
ただし、ニチレイの事案については、提供された情報の範囲では、侵入経路や攻撃手法が公式に確定していません。
したがって、「取引先を経由して侵入した」「ランサムウェアだった」などと断定することはできません。
本書で扱うのは、攻撃手法の推測ではなく、一社のシステム停止が多くの企業へ影響する構造です。

4　大企業でも防ぎ切れない理由
大企業は、中小企業より多くの予算、人材、セキュリティ製品を持っています。それでも被害は起きます。
なぜでしょうか。
理由の一つは、守る対象が非常に多いことです。

パソコン、サーバー、倉庫設備、工場設備、クラウド、スマートフォン、取引先との接続、海外拠点、委託会社、古い業務システム。企業規模が大きくなるほど、管理対象も接続点も増えます。

もう一つの理由は、攻撃者が「最も強い防御」ではなく、「最も弱い入口」を探すからです。
全社員が強固なパスワードを使っていても、一人が偽のログイン画面に認証情報を入力すれば突破口になるかもしれません。

本社のシステムが堅牢でも、委託先が使用する古いリモート接続機器に弱点があれば、そこを狙われる可能性があります。
最新の防御製品を導入していても、警告を見落としたり、担当者間の連絡が遅れたりすれば、被害が拡大することがあります。

セキュリティは、一枚の高い壁ではありません。
人、機器、取引先、ルール、判断、連絡の連続した鎖です。
その鎖のどこか一つが切れると、全体に影響が及びます。

5　中小企業こそ無関係ではない
「うちは小さいから狙われない」という考え方は危険です。
攻撃者の目的が、有名企業への攻撃実績を誇示することとは限らないからです。
自動化された攻撃では、インターネット上に公開された機器を広く探索し、弱点が見つかった組織へ無差別に侵入を試みます。会社の知名度よりも、入りやすさが優先される場合があります。

また、中小企業は大企業の取引先や委託先として、重要な情報や接続権限を持っていることがあります。

つまり中小企業は、
・直接金銭を奪う標的、
・情報を盗む標的、
・大企業へ侵入するための中継点、
そのいずれにもなり得ます。

自社の規模ではなく、自社が誰とつながり、どの情報と権限を持っているかを見る必要があります。

第2章 　会社を止めるのは攻撃だけではない

復旧、判断、情報公開で差がつく危機対応

1　最初の目的は「元に戻すこと」ではない
システム障害が起きると、多くの人は一刻も早く復旧したいと考えます。
しかし、サイバー攻撃が疑われる状況では、いきなり元に戻そうとするのは危険です。

攻撃者の侵入経路が残ったまま復旧すれば、再び侵入される可能性があります。感染したバックアップから復元すれば、被害が再発するかもしれません。慌てて端末の電源を落としたり初期化したりすると、原因調査に必要な証拠を失うこともあります。

最初の目的は、通常業務の完全復旧ではありません。
被害を広げないこと。何が起きたかを把握すること。安全に戻せる状態をつくること。
この順序を守る必要があります。

2　初動で行うべき五つの判断
サイバー攻撃が疑われる場合、企業は少なくとも次の五つを早急に判断しなければなりません。

第一に、どのシステムをネットワークから隔離するか。
第二に、どの業務を停止し、どの業務を継続するか。
第三に、誰が全体の意思決定を行うか。
第四に、外部の専門会社、保険会社、法務、警察、監督当局へいつ連絡するか。
第五に、社員、取引先、顧客へ何を伝えるか。

ここで重要なのは、担当者一人に判断を押しつけないことです。
技術担当者は、感染範囲や復旧方法を判断できます。しかし、顧客への通知、出荷停止、費用負担、法的対応まで単独で決めることはできません。
経営、IT、法務、広報、事業部門が、それぞれの役割を持って動く必要があります。

3　人海戦術が始まる
システムが止まると、普段は自動化されていた仕事が人の手に戻ります。
・受注情報を電話で確認する。
・在庫を目視で数える。
・配送先を表計算に入力する。
・請求情報を後から突き合わせる。
・顧客への連絡状況を手書きで記録する。

このとき、企業は二つの復旧を同時に進めなければなりません。
一つは、システムの復旧。
もう一つは、業務の復旧です。

システムが直っても、停止中に発生した注文、返品、入出庫、請求、問い合わせの情報が整理されていなければ、業務は正常に戻りません。
むしろ、復旧後に重複出荷、請求漏れ、誤配送が発生することもあります。
そのため、非常時には「紙や表計算で代替する手順」だけでなく、「復旧後にどうシステムへ戻すか」まで決めておく必要があります。

4　復旧の早さは、準備の差で決まる
復旧期間は、攻撃の規模だけで決まるものではありません。
・バックアップが安全か。
・重要システムの優先順位が決まっているか。
・外部専門会社とすぐ連絡できるか。
・代替業務の手順があるか。
・社員が緊急時の役割を理解しているか。
こうした準備によって大きく変わります。
例えば、すべてのシステムを一斉に復旧しようとすると、作業は複雑になります。

一方で、「受注」「在庫」「出荷」「請求」のように事業継続上の重要度を決め、段階的に戻せば、限られた人員でも判断しやすくなります。
復旧において大切なのは、速さだけではありません。
安全を確認しながら、事業上重要なものから戻すこと。
これが現実的な復旧です。

5　「分からない」を正直に伝える
ニチレイの情報公開から学べる重要な点は、判明していることと、まだ分かっていないことを分けて伝える姿勢です。
インシデントの直後に全容を把握することは困難です。
それにもかかわらず、
「個人情報は一切漏れていません」
「〇日までに完全復旧します」
「原因はこのシステムです」
と断定してしまうと、後で訂正が必要になった際、企業の信用をさらに損ないます。

一方で、何も公表しなければ、取引先や顧客の不安が拡大します。SNSでは、企業から情報が出ない空白を、憶測が埋めます。
したがって、初期発表では次の四点を明確にします。
・いつ、何が起きたか。
・どの業務に影響が出ているか。
・現在どのような対応をしているか。
・何がまだ確認できていないか。

そして、次回の更新予定を示します。
「調査中」という言葉は、逃げではありません。
調査中の事実を、調査中のまま正確に伝えることが、危機時の誠実さです。

6　短い声明文のひな型
初動時の対外発表は、次のような構造で準備できます。

このひな型で重要なのは、技術的な詳しさではありません。
事実、対応、未確定事項、謝意、次回更新。
この五つを簡潔に伝えることです。

第3章　あなたの会社を明日止めないために
中小企業が今日から始める実践対策

1　最初に守るべきは、すべてではない
中小企業には、無制限の予算も人員もありません。
そこで重要になるのが、何を優先して守るかという判断です。
まず、自社の業務を次の三段階に分けます。
止まると当日中に重大な影響が出る業務。
数日であれば代替手段を使える業務。
一週間以上止まっても事業継続に直結しない業務。
例えば、EC事業者なら、決済と受注は最優先です。製造業なら、生産指示、在庫、出荷が重要です。士業なら、顧客データ、期限管理、連絡手段が重要になります。
すべてを同じ強さで守ろうとすると、費用も運用も膨らみます。
重要業務を決め、そこから守る。
これが現実的なセキュリティ対策です。

2　今日確認する十項目
次の十項目は、企業規模にかかわらず確認してください。
１）　多要素認証を使っているか
メール、クラウド、会計、ネットバンキング、管理者アカウントには、多要素認証を設定します。
パスワードが盗まれても、二つ目の確認要素があれば侵入を防げる可能性が高まります。
２）　パスワードを使い回していないか
同じパスワードを複数サービスで使うと、一つのサービスから漏れた情報で、別のサービスにも侵入されます。
業務ではパスワード管理ツールの導入を検討します。
３）　退職者や委託先のアカウントが残っていないか
使われていないアカウントは、管理されていない入口です。
退職、異動、契約終了時に、権限を停止する手順を明文化します。
４）　管理者権限を必要以上に与えていないか
日常業務に管理者権限は必要ありません。
一つのアカウントが侵害された際の被害を小さくするため、必要最小限の権限にします。
５）　更新プログラムを適用しているか
OS、VPN機器、ルーター、サーバー、業務ソフトの更新を放置しないようにします。
特に、外部から接続できる機器は優先して管理します。
６）　バックアップを分離しているか
同じネットワークに接続されたバックアップは、攻撃時に同時に暗号化される可能性があります。
業務データは複数の場所に保管し、そのうち少なくとも一つは、通常の業務環境から分離します。
７）　復元テストをしているか
バックアップが存在することと、復元できることは別です。
定期的に、実際にファイルやシステムを戻すテストを行います。
８）　取引先と緊急時の連絡方法を決めているか
メールが使えない場合に備えて、電話番号、代替メール、緊急連絡担当者を確認します。
担当者個人の連絡先だけに依存しないことも重要です。
９）　システムなしで続ける手順があるか
受注、出荷、請求、顧客対応を、紙や代替ツールでどこまで続けられるか確認します。
代替運用で記録した情報を、復旧後にどのように戻すかも決めます。
10)　初動訓練をしているか
「不審メールを開いた」「システムに入れない」「データが暗号化された」という想定で、年に一度は訓練します。
実際に端末を止める必要はありません。机上で、誰が誰へ連絡し、何を判断するかを確認するだけでも効果があります。

3　取引先リスクを確認する質問
サプライチェーンリスクに備えるには、取引先へも確認が必要です。
ただし、「安全ですか」と聞くだけでは意味がありません。
次のように具体的に尋ねます。
・重大障害が発生した場合、何時間以内に通知されるか。
・バックアップはどのように保管されているか。
・復旧目標時間は設定されているか。
・過去一年以内に復旧訓練を行ったか。
・再委託先は存在するか。
・契約終了時にデータはどのように削除されるか。
・インシデント時の責任分担は契約に書かれているか。
すべての回答が完璧である必要はありません。
大切なのは、依存関係を見えるようにし、止まった際の代替策を考えることです。

4　取引先が止まった場合の代替策
主要な取引先やサービスについて、次の表を作成します。
依存先 　　止まる業務　許容停止時間　代替手段　                     連絡責任者
会計ｸﾗｳﾄﾞ　請求・入金確認　2日　直近データの出力,手動記録　経理責任者
配送会社     出荷                     半日   代替配送会社へ切替                物流担当
決済代行    オンライン決済    1時間 銀行振込、別決済                   EC責任者
メール        社外連絡              30分   代替メール、電話                  総務責任者
この表があるだけで、緊急時の判断速度は大きく変わります。

5　AIを防御側で使う
AIの進化は攻撃者だけを有利にするものではありません。
中小企業でも、AIを次のように使えます。
・不審メールの文面を分析する。
・セキュリティ規程のたたき台を作る。
・インシデント対応訓練のシナリオを作る。
・ログやアラートの説明を分かりやすくする。
・社員向けの短い教育教材を作る。
・取引先への質問票を作る。
・対外発表文の構成を確認する。
ただし、社内の機密情報、顧客情報、認証情報、未公開のインシデント情報を、許可されていない生成AIへ入力してはいけません。
AIを使って守るためには、AIを安全に使うルールも必要です。

6　AI利用ルールの最低限
小規模事業者でも、次の五項目は決めておきましょう。
・入力してよい情報と、禁止する情報。
・使用を認めるAIサービス。
・生成物を人が確認する責任。
・著作権、個人情報、機密情報の扱い。
・事故や誤入力が起きた場合の報告先。
AI利用を全面禁止すると、社員が隠れて使う「シャドーAI」を生むことがあります。禁止だけでなく、安全に使える環境を示すことが重要です。

7　初動対応カード
社員全員が、次の行動を覚えておけるよう、名刺サイズや一枚紙にまとめます。

異常を見つけたら
一、不審な画面、身代金要求、異常な動作を撮影または記録する。
二、会社の決めた方法で、直ちに責任者へ連絡する。
三、指示があるまで勝手に初期化、再起動、削除をしない。
四、感染拡大が疑われる場合は、社内手順に従ってネットワークから隔離する。
五、個人のメールやSNSで情報を共有しない。

社員に高度な調査を求める必要はありません。
見つける、広げない、すぐ報告する。
この三つができれば、初動として大きな価値があります。

8　経営者が決めるべきこと
サイバー危機では、技術より先に経営判断が必要になる場面があります。
・どの業務を止めるか。
・どの顧客を優先するか。
・どこまで費用をかけるか。
・いつ公表するか。
・誰に謝罪し、誰へ報告するか。
・どの段階で事業継続計画を発動するか。
これらはIT担当者だけでは決められません。
経営者は、セキュリティ製品の細かな操作を覚える必要はありません。しかし、何が止まれば会社が困り、何を守るべきかは理解しておく必要があります。
サイバーセキュリティは、パソコンを守る活動ではありません。
会社が約束を守り続けるための経営活動です。

おわりに
止まらない会社ではなく、立ち直れる会社へ

サイバー攻撃を完全に防げる会社はありません。
どれほど大きな企業でも、どれほど高度な対策を行っていても、攻撃、人為的ミス、機器の故障、クラウド障害、委託先の事故をゼロにはできません。
だからこそ、目指すべきは「絶対に止まらない会社」ではありません。
止まっても、混乱を小さくし、優先順位を見失わず、早く立ち直れる会社。

これが、これからの時代に強い会社です。
ニチレイの事案から学ぶべきなのは、大企業でも攻撃されるという恐怖だけではありません。

・緊急対策本部を設置すること。
・外部専門会社と連携すること。
・判明している事実を段階的に発表すること。
・安全を確認しながら業務を順次再開すること。
こうした対応の一つひとつは、平時の準備によって支えられています。

危機の際、人は急に優れた判断ができるようになるわけではありません。
・普段から決めていたこと。
・練習していたこと。
・連絡先を確認していたこと。
・記録していたこと。
危機時にできるのは、その延長です。
あなたの会社でも、今日から始められます

重要な業務を三つ書き出す。
・バックアップを一つ復元してみる。
・取引先が止まった場合の代替策を考える。
・社員に緊急連絡先を伝える。
・初動対応カードを作る。

小さな準備に見えるかもしれません。
しかし、事故が起きた日には、その一枚の紙、その一本の電話番号、その一度の訓練が、会社の未来を分けます。

最後に、あなたへ一つ質問します。
明日の朝、会社のシステムがすべて止まったら、最初の30分で何をしますか。
答えがすぐに出てこなかったとしても、悲観する必要はありません。
今、考え始めればよいのです。
攻撃者は、会社の規模を待ってくれません。
システム障害は、準備が整う日を選んでくれません。
しかし、備えを始める日は、あなたが選べます。

あなたの会社も明日止まる。だからこそ、今日から立ち直る力をつくる。
それが、サプライチェーン攻撃から事業を守る最も現実的な方法です。

巻末付録
30分で始めるサイバー危機対策チェックリスト
事業
□ 止まると最も困る業務を三つ決めた
□ 各業務の許容停止時間を決めた
□ システムを使わない代替手順がある
アカウント
□ メールとクラウドに多要素認証を設定した
□ 退職者、休眠アカウントを削除した
□ 管理者権限を必要最小限にした
バックアップ
□ 重要データを複数の場所に保存している
□ 一つ以上のバックアップを業務環境から分離している
□ 過去三か月以内に復元を試した
取引先
□ 重要な委託先、クラウド、物流会社を一覧化した
□ 障害時の通知期限を確認した
□ 代替サービスまたは代替業者を検討した
初動
□ インシデント責任者を決めた
□ 社員が緊急連絡先を知っている
□ 外部セキュリティ会社、保険会社、法務の連絡先がある
□ 対外発表文のひな型がある
□ 年一回以上、机上訓練を実施している
AI利用
□ 利用を認める生成AIを決めた
□ 入力禁止情報を明文化した
□ AI出力を人が確認するルールがある
□ 誤入力や情報漏えい時の報告先が決まっている

ニチレイの事案では、RansomHouseから犯行声明が出されました。

Googleでは、検索できません。
闇の掲示板に公開された、との報道です。

今一度、注意喚起しておきましょう。
セキュリティ対策を業務の一部として組み込む理由は、明かです。

対策を“習慣化”すべき理由

• RaaSは「安価・簡単・効果的」な犯罪ツールになってしまった

• Qilin・RansomHouseのような組織は“企業の弱点”を突くプロ

• 攻撃を受けるのは「対策していない会社」ではなく、「対策が甘い会社」
  
  それにしても、ビジネス範囲がひろいのに復旧宣言が早すぎないか。
  外部の専門家の活用がうまくいったのか