犯行声明を出した集団の名が浮かびました。「ランサムハウス」。7月21日、ダークウェブ上に声明が掲載されたことが判明しています。翌22日、KFCは全店舗で通常営業を再開しました。営業は戻り、事案は収束したように見えます。けれど同じ名前は、2025年秋のアスクル事案でも浮かんでいました。
日本ケンタッキー・フライド・チキンは2026年7月22日、委託先の業務が正常化し全店舗への食材納品体制が整ったとして、同日よりKFC全店舗で通常営業を再開したと発表した。あわせて27日まで割引クーポンを公式アプリで配布する。障害は株式会社ニチレイで7月13日に発生し、同社は同日システムを遮断、15日にサーバがサイバー攻撃を受けたことを確認し、被害サーバの一部に個人情報が保管されていたとして個人情報保護委員会に報告した。
業務は17日から順次再開。同社は22日の第4報で、警察および関係機関と連携して調査を進めていること、個人情報が保管されていたサーバの対象者へ別途通知を行っていること、入出庫業務と冷凍食品出荷業務が今週中に全拠点で通常稼働へ移行する予定であることを公表した。
一方、21日にはハッカー集団ランサムハウスがダークウェブ上に犯行声明を出したことがセキュリティ関係者への取材で判明したが、第4報に同集団への言及はない。
From: 
通常営業再開のお知らせ（日本ケンタッキー・フライド・チキン株式会社）
From: 当社グループでのシステム障害発生について（第4報）（株式会社ニチレイ）
【編集部解説】
この数日、事案は二つの顔を続けて見せました。
ひとつは終わりです。KFCが全店舗で通常営業を再開しました。もうひとつは始まりです。攻撃者を名乗る存在がダークウェブに現れ、データを盗んだと主張し、それを盾に連絡を求めてきました。業務が戻る前夜に、脅迫が表面化した。この非対称が、今回の核心です。
まず、収束した側から見ていきます。
KFCのリリースには、注目すべき一文があります。「本件の発生原因の如何を問わず、商品の安定供給および店舗におけるお客さま体験の維持は、当社KFCの重要な責務である」。直接のシステム障害は委託先で起きたものです。それでも供給の責任は自社のものとして受け止める、という姿勢を示しました。
もうひとつ、書き方の変化に気づきます。障害の渦中、KFCは告知で「弊社が食材配送を委託しておりますニチレイロジグループにおいて」と委託先の社名を明記していました。ところが22日の再開リリースでは「物流会社」とのみ記し、社名は現れません。混乱の最中には原因の所在を明らかにし、収束を告げる場面では個別の社名より自社の責任と今後の対応を前に出す。意図的かどうかは分かりませんが、文面の重心は確かに移っています。
再開に合わせて配られたクーポンは「Chicken is back!」と名づけられました。27日までの期間限定で、オリジナルチキン4ピースが通常1320円のところ1140円になります。KFCはこれを、お詫びと感謝を込めた施策と説明しています。謝罪を割引に変えるのは飲食チェーンの定石ですが、その名前には、障害の発生から10日目に通常営業が戻った安堵がにじんでいます。
そして、始まった側です。
7月21日、「ランサムハウス」を名乗るハッカー集団が、ダークウェブ上に犯行声明を出したことが判明しました。声明を確認したセキュリティ会社S&Jの三輪信雄社長によれば、同集団は企業から顧客情報などを盗み、脅迫する手法が特徴です。声明は、機密データの流出を防ぐためニチレイに連絡するよう呼びかけています。
なお、リークサイトの所在は本稿には記載しません。盗まれたとされるデータへの導線をつくることは、被害の拡大に加担しかねないためです。
ここで重要なのは、これが攻撃者側の一方的な主張だという点です。ニチレイは同集団を攻撃主体と確認しておらず、データの窃取も暗号化も、真偽について公式に何も述べていません。連絡を求める声明が出たことと、交渉が始まったことも別の話です。ランサムウェア集団の主張が誇張や誤認だった例、あるいは被害組織による確認が取れないままの例は、過去にもありました。「攻撃者がそう言っている」と「そうだった」の間には、まだ距離があります。
その前提で、この集団について知っておきたいことがあります。
セキュリティ企業SentinelOneの分析によれば、RansomHouseは2022年3月ごろに確認された集団で、自らを「暗号化はしない、恐喝のみ」と称してきました。企業のセキュリティ不備を明るみに出す存在だと位置づける、独特の自己演出でも知られます。もっとも、これは攻撃者自身による正当化であり、客観的な評価ではありません。
Halcyonの分析はさらに踏み込み、同集団が三段階で変質してきたと整理しています。2021年半ばから2023年半ばまではデータ恐喝の市場として機能し、2023年半ばに「Mario」と呼ばれる暗号化エンジンを採用してハイブリッド型へ移行、2024年以降はアフィリエイトを募るRaaSプラットフォームへと発展しました。ロシア語圏の話者による運営とみられていますが、国籍や所在が特定されたわけではありません。
つまり「暗号化しない集団」だったものが、暗号化も行う集団へ変わってきたわけです。今回リークサイトで暗号化が主張されているという情報も、この変遷を踏まえれば説明はつきます。ただし繰り返しになりますが、それは主張であって、確認された事実ではありません。
もうひとつ、見過ごせない事実があります。
RansomHouseは、2025年10月のアスクル事案でも犯行声明を出した集団です。当時は約1.1TBのデータを盗んだと主張しました。この数量もまた攻撃者側の主張であり、アスクルが総量を公式に確認したものではありません。その後データが段階的に公開されたとする脅威分析も出ています。あの事案では、物流を委託していた良品計画とロフトがネットストアを止めました。
日本の物流事案をめぐって、同じ名前が二度浮かび上がったことになります。ただし、RaaSでは運営者と実行役が分かれるため、声明の名前が同じでも同一の実行犯とは限りません。それでも、これは私の解釈ですが、偶然と片づけるには構図が似すぎています。倉庫のシステムを止めれば、社会が目に見えて困る。その効果を、彼らはアスクルで学習したのかもしれません。
海外に目を向けると、参考になる前例があります。
2026年6月、米バージニア州プリンス・ジョージ郡でネットワーク障害が発生した際、RansomHouseは同郡のシステムを暗号化したと主張し、「証拠パック」なるものを公開しました。しかし郡当局は、ランサムウェアの主張も、データ窃取も、身代金要求も確認していないとし、いずれも調査中との立場を取ったと記録されています。
主張があり、証拠とされるものが掲げられ、それでも裏づけは取れていない。ここから引き出せる教訓はひとつです。攻撃者の主張は、独立した検証を経るまで確定しない。ニチレイが攻撃者名に触れないことも、必ずしも隠蔽を意味しません。警察や関係機関と連携して調査を進めている以上、迂闊なことを言えないだけかもしれない、という見方は成り立ちます。
では、この10日間で何が動いたのでしょうか。
止まったものの大きさは、数字で見るとよく分かります。The Recordによれば、ニチレイロジグループの冷蔵物流センターは全国140カ所、顧客は約5000社。KFCでは全国約1300の全店舗が影響対象となりました。1社のシステム遮断が、これだけの規模を持つ物流ネットワークと、その取引先へ影響を波及させたことになります。
復旧は着実に進んでいます。ニチレイは22日の第4報で、入出庫業務と冷凍食品出荷業務について、今週中に全拠点が通常稼働へ移行する予定だと述べました。ただし発表時点で移行が完了したとはしていません。
そして情報面では、新たな一歩がありました。ニチレイは、被害を受けたサーバの一部に個人情報が保管されていたとして、対象者へ別途通知を行っていると明かしています。個人情報が実際に外部へ流出したと確定したわけではありませんが、通知が始まったという事実は、この事案が個別の注意喚起や対応を要する段階に入ったことを示します。
一方で、攻撃の技術的な全容は、いまだ明かされていません。侵入経路も、いつから侵入されていたかも、そして攻撃者が誰かも。第4報は警察および関係機関との連携を理由に、詳細の開示を控えるとしています。ランサムハウスの犯行声明についても、触れていません。
第一報で「サイバー攻撃が現実の業務を止める形で表面化した」と書きました。今回、その理解は半分だったと考え直しています。
業務停止は、この種の攻撃の目的ではなく、副作用かもしれません。RansomHouseの中核的な手法はデータの恐喝です。奪ったデータで金銭を引き出すことが目的なら、物流の停止は交渉を有利にする圧力にすぎない。全国のKFC店舗で商品不足や営業制限が起こり得る状況になったことすら、攻撃者にとっては圧力材料の一部だった可能性があります。ただし本件で攻撃者が何を狙ったのかは、まだ確認されていません。
そう考えると、いま起きているのは復旧ではなく、局面の移行なのかもしれません。目に見える被害の局面から、目に見えない被害の局面へ。アサヒグループが2025年9月の攻撃から9カ月以上を経てなお、漏えい、または漏えいのおそれがある個人情報の対象範囲を更新し続けているように、この後半戦は長くなる可能性があります。
チキンは戻りました。けれど、この事案が終わったわけではありません。
【関連記事】
ASKUL ランサムウェア被害「1.1TB データ窃取」──国際的ハッカー集団の犯行声明と影響（内部）
同じランサムハウスがアスクルで犯行声明を出した事案。多面的恐喝という手口と1.1TB窃取の主張を詳述している。
ニチレイ不正アクセスでKFC全店に影響──冷凍物流システム障害が示すサプライチェーンの急所（内部）
本件の第一報。7月13日の障害発生とKFCへの波及を、低温物流の構造から解説した記事。
【続報】ニチレイ不正アクセス、KFC・くら寿司・井村屋など影響拡大─17日から物流順次再開へ（内部）
サイバー攻撃の確認と個人情報漏えいの可能性、影響が十数社に広がった局面を追った続報。
アスクル・LOHACO 続報：ランサムウェア被害と12月上旬再開見通し（内部）
アスクルが暗号化より情報流出阻止を優先し自主遮断した経緯を解説。ニチレイの遮断判断と重なる構図を伝える。
【編集部後記】
クーポンの名前が「Chicken is back!」でした。よく考えられた言葉だと思います。謝罪の重さを引きずらず、戻ってきたことだけを祝う。店頭で待っていた人にとって、必要なのはたぶんそういう軽さです。
ただ、戻ってきたのはチキンであって、この事案の答えではありません。攻撃者を名乗る存在は現れ、ニチレイは警察と連携しながら調査を続け、個人情報の通知は始まったばかりです。ニュースとしての賞味期限は、たぶん今週で切れます。
数カ月後、この件の続報が小さく出たとして、あなたはそれをニチレイの話だと結びつけられるでしょうか。
【用語解説】
ランサムハウス（RansomHouse）
2021年末から2022年前半にかけて出現したとされるサイバー犯罪集団である（分析機関により時期の記述に幅がある）。当初は暗号化を行わず、盗んだデータの公開をちらつかせる「恐喝のみ」を自称していた。その後、暗号化を伴う手口も採用し、実行犯を募るRaaSの形態へ移行したとされる。2025年10月のアスクル事案でも犯行声明を出している。
ダークウェブ
Torなどの匿名化ネットワークを通じてアクセスする、通常の検索エンジンでは到達できない領域を指す。匿名性が高く、サイバー犯罪集団が犯行声明や盗んだデータを掲載するリークサイトの設置場所として用いられている。
リークサイト
攻撃者が被害企業名や盗んだとするデータを公開する専用サイトである。支払いに応じなければ情報を公開すると圧力をかけるために使われる。本稿では所在を記載しない。
RaaS（Ransomware as a Service）
ランサムウェアの開発者が、攻撃用の仕組みや交渉基盤を実行犯に提供し、得られた金銭を分配する事業形態を指す。運営者と実行役が分かれるため、同じ名前の声明でも実行犯が同一とは限らない。
恐喝型攻撃（データ恐喝）
システムを暗号化して業務を止めるのではなく、盗んだデータを公開すると脅して金銭を要求する手口である。業務が動いたまま被害が進む場合があり、発覚が遅れることもある。近年は暗号化と窃取を組み合わせる二重恐喝も多い。
サイバー攻撃
コンピューターやネットワークに対し、外部から不正な手段でデータの窃取・破壊・改ざんや業務停止を狙う行為の総称である。ニチレイは調査の結果、サーバがサイバー攻撃を受けたことを確認したと公表している。
遮断措置
攻撃の被害拡大や情報の外部流出を防ぐため、侵入の疑いがあるシステムをネットワークから切り離す対応を指す。ニチレイはこの措置に伴い、冷蔵倉庫の入出庫業務と冷凍食品の出荷業務が停止した。
冷蔵物流センター
一定の低温を保ったまま食品を保管・仕分けする物流拠点である。The Recordの報道によれば、ニチレイロジグループは全国140カ所を運営し、約5000社の荷主の商品を扱っている。
【参考リンク】
日本ケンタッキー・フライド・チキン ニュースリリース（外部）
KFCブランドを国内で展開する企業の公式リリース一覧。障害発生から通常営業再開までの一連の告知が掲載されている。
プレスリリース2026年（株式会社ニチレイ）（外部）
今回の障害に関する第1報から第4報までが掲載されている公式一覧。続報を確認する際の一次情報源となる。
ニチレイの低温物流事業（株式会社ニチレイ）（外部）
ニチレイロジグループを国内最大規模の低温物流企業グループと説明する公式ページ。事業の位置づけを確認できる。
S&J株式会社（外部）
三輪信雄氏が代表取締役社長を務めるサイバーセキュリティ専業企業。今回、犯行声明を確認した企業として報道で言及されている。
漏えい等の対応とお役立ち資料（個人情報保護委員会）（外部）
漏えい等が生じた際の報告義務と対応手順を説明する公式ページ。ニチレイが報告を行った制度の内容を確認できる。
【参考記事】
ニチレイへの攻撃、ランサム集団「RansomHouse」が犯行声明（ITmedia NEWS）（外部）
リークサイトの掲載内容を脅威情報サービスの確認として報道。アスクルを攻撃した集団と同じ名であることも伝える。
Cyberattack on Japan’s largest cold-chain operator disrupts KFC, supermarket supplies（The Record）（外部）
冷蔵物流センター140カ所、顧客約5000社、KFC1300店舗超という規模を伝えた海外報道。本記事の数値の出典。
RansomHouse（SentinelOne）（外部）
同集団を初期から分析した企業の解説。2022年3月に確認され、自らを「暗号化しない、恐喝のみ」と称してきた経緯を伝える。
RansomHouse（Halcyon）（外部）
データ恐喝からMario暗号化エンジン採用、RaaSへという三段階の変遷を整理。ロシア語話者による運営との分析も示す。
直線的なものからの複雑化：RansomHouse暗号化のアップグレード（Unit 42）（外部）
同集団の暗号化手法の高度化を技術面から分析。運営者とアフィリエイトが分離する構造の理解にも役立つ。
The State Of Ransomware 2026（BlackFog）（外部）
米プリンス・ジョージ郡の事例を収録。同集団が暗号化を主張し証拠パックを公開したが当局は確認していないと記録する。
アスクル「犯行声明は把握している」 ランサム被害で（ITmedia NEWS）（外部）
2025年10月のアスクル事案で同集団が声明を出し、アスクルが把握して事実確認中とした経緯を報じた記事。
