ニチレイは、サイバー攻撃を受けてから約10日で通常稼働に戻る見込みとなりました。アサヒグループは完全復旧まで半年、アスクルは3カ月を要しています。この差を生んだのは、バックアップからの復旧が成功したことでした。ただ、その一点をめぐって、ひとつの小さな疑問が残っています。なぜニチレイのバックアップは、無事だったのでしょうか。
まず、動かない事実から確認します。
ニチレイは7月13日に障害が発生し、17日に業務を部分再開、22日の第4報で今週中の全拠点通常稼働を見込むとしました。発生からおよそ10日での通常稼働です。7月22日の日本経済新聞は、同社がバックアップデータからの復旧に成功したと報じています。過去の大型事案と比べると、この速さは際立ちます。
アサヒグループホールディングスは2025年9月29日の攻撃で、ビール製造こそ3日後に再開したものの、システムを使った受注・出荷の再開は12月、全商品の出荷再開は翌2026年4月7日でした。供給制限の解消まで、およそ半年。アスクルは2025年10月19日の攻撃から、本格復旧の完了は2026年1月20〜21日で、約3カ月かかっています。
ニチレイの10日は、この2社と桁が違います。そして、その速さの理由は、比較的はっきりしています。バックアップが生きていたからです。
むしろ問われるべきは、その一歩手前です。なぜ、バックアップは無事だったのか。
ここに、セキュリティに通じた人ほど引っかかる点があります。近年のランサムウェア攻撃の定跡は、本番データを暗号化する前に、まずバックアップを破壊することです。復旧されては身代金を取れないのだから、攻撃者はバックアップを真っ先に潰しにくる。今回、ランサムハウスを名乗る集団はデータの暗号化を主張しており、二重脅迫型の手口とみられます。それなのにバックアップから戻せたというのは、攻撃者が定跡を外したか、あるいはニチレイの備えが定跡を上回っていたか、そのどちらかを意味します。
報道やセキュリティ関連のブログでは、後者を説明する技術的な理由がいくつか挙げられています。書き換えのできない「イミュータブルバックアップ」を定期取得していた。本番環境から切り離したオフラインバックアップを保持していた。東京のメイン拠点に加え、西日本に災害復旧用の拠点を構えていた。ネットワーク遮断後も、現場が在庫確認や検品を手作業で続けた——。
筋の通った説明です。ただし、これらはいずれもニチレイ自身が公表した内容ではありません。同社の発表は第4報まで通して、攻撃の詳細は「警察や関係機関との連携」を理由に開示を控えるというものでした。侵入経路も、バックアップの構成も、当事者は語っていない。上に並べた理由は、日経が報じた「バックアップからの復旧」という事実を出発点に、その中身を外部の書き手が推測で肉付けしたものです。復旧できたことは事実、その具体的な手立ては推測——この線引きが要ります。
専門家の見方も、この事案では時点によって扱う対象が違います。神戸大学名誉教授の森井昌克氏は、7月17日時点の公表内容をもとに、ニチレイが攻撃の詳細を明かさないのは攻撃者に手の内を悟らせないための適切な対応だとし、個人情報漏えいの可能性も調べていることから二重脅迫型ランサムウェアの特徴が見える、と分析しています。これはバックアップ復旧の報道より前の見解で、「なぜ無事だったか」に答えたものではありません。初期情報から攻撃の性質を読み解いたものです。
一方、SNSでは報道後にさまざまな反応が広がりました。X（旧Twitter）では、この話題が専門家にとどまらず一般ユーザーを巻き込んで拡散し、多くは「優れた備えの成功例だ」と称賛する論調でした。同時に「バックアップは真っ先に破壊されるはずだ」という定跡からの疑問も見られ、そこから「表に出せない事情があるのでは」「身代金を払ったのでは」といった憶測も派生しました。ただし、これらの憶測を裏づける根拠は示されていません。暗号化を伴うランサムウェアであること自体は犯行声明から裏づけられており、「そもそも攻撃ではなかった」という類いの見方は、現時点の情報とは整合しません。
つまり、争点は「復旧が速かったのは本当か」でも「攻撃は本物か」でもありません。それらはおおむね決着しています。残っているのは、ニチレイがどうやってバックアップを守り切ったのか、その具体的な手立てが公表されていない、という一点です。答えを握っているのはニチレイだけで、同社はまだ語っていません。
ここで、比較のために立ち止まる価値があります。アサヒは、バックアップが無事でした。それでも、完全復旧まで半年かかっています。
つまり「バックアップが生きていれば速い」という図式すら、単純には成り立ちません。アサヒの場合、攻撃者は障害発生の約10日前にネットワーク機器から侵入し、管理者権限を奪い、データセンター全体に被害を広げていました。バックアップがあっても、システムの土台そのものを作り直す必要があった。復旧の速さを分けるのは、バックアップの有無だけでなく、被害がシステムのどの層まで達したかです。ニチレイは、その被害範囲もまた公表していません。
だから、10日で戻れた背景を完全に説明するには、まだ材料が足りない。バックアップが効いたことは分かっても、なぜ守れたのか、被害がどこで止まったのかは、当事者の説明を待つしかありません。
にもかかわらず、「盤石の備えが勝った」という完成度の高い物語が、すでに広く共有されつつあります。それはたぶん、正しい部分を含んでいます。ニチレイの備えは、現に機能した。ただ、その中身がまだ検証されていないうちに、教訓としての形が先にできあがっている。成功例として語るのは、手立てが明らかになってからでも遅くありません。
答え合わせの機会は、遠くありません。ニチレイは8月7日に2026年12月期第1四半期の決算を予定しており、そこで障害の業績影響が数値で示される見通しです。アサヒやアスクルがそうだったように、事案が一段落した後には、攻撃手法や被害範囲、そして復旧の手立てを整理した報告が出る可能性もあります。
そのとき、「盤石の備え」が具体的に何だったのかが見えてきます。イミュータブルバックアップだったのか、別の仕組みだったのか。物語の中身は、そこで初めて確かめられます。それまでは、バックアップで戻せたという事実と、その手立てはまだ分からないという保留を、分けて持っておくのがよさそうです。
チキンは戻りました。復旧は本物です。ただ、「どうやって守り切ったのか」という問いにだけは、もう少し答えを待ちたいと思います。
【関連記事】
ニチレイ不正アクセスでKFC全店に影響──冷凍物流システム障害が示すサプライチェーンの急所（内部）
本件の第一報。7月13日の障害発生とKFCへの波及を、低温物流の構造から解説した記事。
【続報】ニチレイ不正アクセス、KFC・くら寿司・井村屋など影響拡大─17日から物流順次再開へ（内部）
サイバー攻撃の確認と個人情報漏えいの可能性、影響が十数社に広がった局面を追った続報。
ASKUL ランサムウェア被害「1.1TB データ窃取」──国際的ハッカー集団の犯行声明と影響（内部）
ニチレイと同じランサムハウスがアスクルで犯行声明を出した事案。復旧まで約3カ月を要した比較対象。
【編集部後記】
成功した対応ほど、早く物語になります。今回も「盤石の備えが勝った」という筋書きが、驚くほどの速さで共有されました。それは、たぶん間違ってはいません。ニチレイの備えは、現に働いたのですから。
ただ、その備えが具体的に何だったのかは、まだ誰も確かめていません。イミュータブルバックアップという言葉だけが先に広まり、当のニチレイはまだ何も語っていない。教訓にするなら、中身が分かってからのほうが、たしかな教訓になります。
8月7日、ニチレイは決算を出します。「盤石の備え」の正体が、そこで少し見えるかもしれません。
【用語解説】
イミュータブルバックアップ
一度書き込んだデータを一定期間、変更も削除もできない形式で保存するバックアップである。攻撃者がバックアップまで暗号化・破壊しようとしても書き換えられないため、ランサムウェア対策として有効とされる。ニチレイが採用していたかどうかは公表されておらず、外部の推測にとどまる。
オフラインバックアップ
本番のネットワークから物理的または論理的に切り離して保管するバックアップを指す。ネットワーク経由の攻撃が到達しにくいため、被害の波及を免れやすい。
ディザスタリカバリ（DR）
災害やシステム障害に備え、本番拠点とは別の場所に代替システムを用意しておく仕組みである。平時から切り替え訓練を行うことで、有事に短時間で業務を移せる。
ランサムウェア
データの暗号化や端末のロックを行い、復旧と引き換えに身代金を要求するマルウェアである。攻撃者はしばしば、暗号化の前にバックアップを破壊して復旧を妨げる。近年は窃取したデータの公開を脅迫材料に加える手口も広がっている。
二重脅迫（二重恐喝）
データを暗号化して業務を止めるだけでなく、事前に盗んだデータを公開すると脅し、二重に金銭を要求する手口である。バックアップから復旧できても、情報流出の脅威は残る。ランサムハウスもこの手口を用いるとされる。
フォレンジック
端末やネットワークに残された記録を解析し、侵入経路や被害範囲を特定する調査手法である。全容解明には相応の時間を要するため、発表内容が調査の進行に伴って更新されることがある。
【参考リンク】
プレスリリース2026年（株式会社ニチレイ）（外部）
今回の障害に関する第1報から第4報までが掲載されている公式一覧。当事者がどこまで開示しているかを確認できる。
システム障害の発生について（株式会社ニチレイ IR）（外部）
業績への影響は判明次第開示するとし、第1四半期決算を8月7日に予定する旨を記したIRリリース。答え合わせの時期がわかる。
サイバー攻撃被害の再発防止策とガバナンス体制の強化について（アサヒGHD）（外部）
侵入経路や被害範囲、復旧の経緯を整理したアサヒの調査報告。バックアップが無事でも長期化した背景を確認できる。
S&J株式会社（外部）
三輪信雄氏が代表取締役社長を務めるサイバーセキュリティ専業企業。今回、犯行声明を確認した企業として報道で言及されている。
【参考記事】
サイバー被害のニチレイ、バックアップで早期再開 システム復旧成功（日本経済新聞）（外部）
ニチレイがバックアップから復旧し週内に通常稼働へ戻る見込みと報じた記事。本記事が扱う「なぜ守れたのか」の起点。
ニチレイはなぜ沈黙するのか ランサムウェアの可能性を読み解く（森井昌克）（外部）
7月17日時点の公表内容をもとに、情報非開示の合理性と二重脅迫型ランサムウェアの特徴を分析した専門家見解。
ニチレイ物流システムが全面復旧、なぜ10日でサイバー攻撃から復旧できたのか？（ビジネス+IT）（外部）
イミュータブルバックアップやDR拠点、現場のアナログ継続力を早期復旧の要因として分析した記事。手立ての推測の代表例。
ニチレイも事業停止 ランサム復旧「3日」「50日」「73日」の分岐点（＠IT）（外部）
医療・港湾・物流の事例から、復旧期間を分ける要因を比較分析。ニチレイの速さを相対化する補助線になる。
ニチレイがバックアップからシステム復旧に成功→早期復旧に疑問の声（Togetter）（外部）
「バックアップは真っ先に破壊されるはず」というSNS上の疑問をまとめたもの。報道後の反応の広がりを伝える。
アサヒ サイバー攻撃の時系列まとめ 発生から復旧完了までの全経緯（株式会社一創）（外部）
アサヒの製造3日再開から全商品出荷再開（2026年4月7日）までを時系列で整理。半年を要した経緯を確認できる。
アスクル、全商品購入可能に ランサム被害から全面復旧（Impress Watch）（外部）
アスクルが2026年1月20〜21日に全面復旧したと報じた記事。約3カ月を要した比較対象として用いる。
