2026年7月、日本の大手冷凍食品・物流企業であるニチレイがサイバー攻撃を受け、システム障害が発生した。同社は7月13日にシステム障害を公表し、第2報ではサーバーがサイバー攻撃を受けたことを確認したと発表。冷凍食品の出荷や冷蔵倉庫の入出庫といった業務に影響が出ており、外部のセキュリティ専門会社と安全対策を講じた上で、7月17日から順次再開する予定としている。
攻撃の詳細は被害拡大を防ぐため開示されておらず、続報が待たれる。被害サーバーの一部に個人情報が保管されていたため、個人情報保護委員会に報告したことも明らかにされている。関連する取引先への影響も発生しており、冷凍食品の需要が高まる夏場だけに、出荷が止まる影響は小さくないとみられる。
なぜニチレイが狙われたのか？たまたま選ばれる被害者
サイバー攻撃の標的は「金銭」が基本だ。国家転覆を狙って重要インフラを攻撃するような明確な目的がある場合を除き、攻撃はバラマキ型で仕掛けるのが基本である。報道で大きく取り上げられるのは大企業ばかりだが、被害は中小企業もたくさん受けている。そのため、誰が被害者になるのかというのは、有名だから、お金を持っているからではなく、たまたま選ばれたからにほかならない。
そして、その選択基準こそが「弱かったから」であることを知っておく必要がある。例えばシステムにアップデートがかかっておらず、既知の脆弱性が残っているという「弱さ」かもしれない。あるいは従業員の意識が低く、フィッシングや弱いパスワードによって侵入を許す「弱さ」かもしれない。たまたまそういった弱さがあるところに、バラマキ型で攻撃がヒットしてしまえば、攻撃はほぼ成功したと考えてよい。
「イニシャル・アクセス・ブローカー」と呼ばれる攻撃者グループがいる。このグループはシステム内部に侵入するアクセス権を売買する。彼らはさまざまな場所から漏えいしたIDとパスワードのセットを集める。ブラウザから盗んだ、「そのサイトにログインできる」ことを示すクッキー情報も対象である。これらをドメインごとに売買する。このイニシャル・アクセス・ブローカーにとっては、それらの情報が売れればお金になり、収入というゴールに到達する。このようなグループが存在するということは、IDとパスワードが漏れたタイミングと、実際の侵入、被害に踏み切るタイミングがずれるということもある。今起きた被害事件のきっかけが、実は数年前に盗まれたパスワードであるというシナリオも十分あり得る。
侵入後に起こること：サプライチェーン攻撃の実態
攻撃グループがイニシャル・アクセス・ブローカーから認証・認可情報を購入したら、実際の侵入に移る。購入したのが一般従業員のアクセス権だったとしても、防御はできない。「ファイアウォールの内側だから安全」という前提で脆弱性が放置されていれば、攻撃者は難なく権限昇格できてしまうかもしれない。もし通常の従業員が、データベースサーバーにネットワーク経由でアクセスできるようなフラットなネットワーク構造であれば、攻撃者は一瞬で宝の山であるデータを盗むことができるかもしれない。
さらに問題なのは、もしそのネットワーク構成が、VPNを経由し別の組織につながっていた場合である。専用線でつながっており、外部からはアクセスできない構成だったとする。それでも、攻撃者が何らかの方法で社内ネットワークに入り込めば、そのまま他の組織に到達できてしまう。この状況では被害はさらに拡大する。攻撃者は既にセキュリティ対策が万全な、本館である本社組織につながる必要はない。対策も監視も行き届いていない地方支社や、ガバナンスの効いていない海外拠点から認証情報を盗めばいいのである。攻撃者はそこを足掛かりに、難なく本社へ入り込む。このようなことが、一般的なサプライチェーン攻撃の姿である。
中には国家が支援する攻撃者集団も存在するが、それを証明するのは非常に困難だ。「誰が攻撃しているのか？」は、相手が誰かというよりもサイバー犯罪の姿を認識することを重視していこう。
「なぜこんなことが起きるのか？」の答えは、次のようなシナリオに集約される。攻撃者はフィッシングやClickFixといった巧妙な手法で従業員の認識の隙を突き、認証情報を盗む。その後は残っている脆弱性を使ってセグメント化されていないネットワーク内部に展開し、弱い部分から本丸のシステムを攻撃する。
どうすれば防げたのか？完全な答えはない
何気ない会話の中で一番困ったのが「どうすれば防げたのか？」という点だ。このようなシナリオを考えると、「何らかのセキュリティソリューションがあればよかった」「従業員が鉄のような意識でルールを守ればよかった」といった、一言で説明できる原因は存在しない。この分かりにくさこそが、昨今のサプライチェーン攻撃被害を理解する上での壁になっているように思える。
もちろん、アタックサーフェスの表面にいる、従業員全員が自分ごととしてセキュリティを考え、だまされるパターンをあらかじめ知り、フィッシングなどの対策をとることは重要だ。この教育というのがさらに注目されるようになっているので、これはぜひ、皆さんも意識してほしい。ただしそれだけでは守り切れないのは間違いない。
ソリューションも重要だ。浸透しつつあるEDRを上手く使い、警告をつかむか否かが、その後の被害を軽減する重要なポイントである。それでも、避けてしまうものが発生するのは仕方ない。
さらに、経営層にも重要な判断が求められる。システムへの侵害が発生した際に、どこかのタイミングでシステムを止め、止血の作業へと移る判断をしなければならない。ビジネスを止めないために、システムから紙や電話などの手段に切り替えなければならないと判断する瞬間もあるだろう。これができるのはシステム管理者でもセキュリティ担当者でもなく、経営者だけである。
おそらくですが、将来的には従業員、システム管理者、セキュリティ担当者、そして経営者にもそれぞれの役割を補助する「AIエージェント」が登場し、最終的な判断のみを人間が担うという未来が待っているはずです。筆者もそれは絵空事と思ってきましたが、攻撃者が侵入からゴールに至るまでの時間を短縮してきたことを考えると、こちら側もマシンスピードという処理手段を得なければ対抗できないと考えている。それができるのは、AIエージェントしかありません。今後はAIエージェントが正しく動けるように、情報を整備していくという作業が（セキュリティに限らず）重要となるでしょう。それでも、最終判断するのは人間です。
おそらく数年後は、「AIでなければ守れない」レベルのサイバー攻撃も発生するかもしれません。その時には、今よりも「全員参加のセキュリティ」が重要になるはずです。今できることもたくさんあります。一従業員としては、教育を受けてルールをしっかり守り、躊躇なく報告することです。システム管理者と経営者は、他社事例を参考に今の時代のサイバー攻撃の姿を知り、これまでの対策をより一層厳密に適用していくことを考えなくてはなりません。サイバー攻撃の事例が続いている今、引き続き、気を引き締めていきましょう。
