ニチレイへのサイバー攻撃で出荷業務に影響｜中小企業が見直すべきホームページのセキュリティ対策
2026年7月13日、食品大手のニチレイグループで、不正アクセスによるシステム障害が発生しました。
ニチレイは緊急対策本部を立ち上げて調査を進め、7月15日、自社のサーバーがサイバー攻撃を受けていたことを公表しました。
顧客や取引先の個人情報、顧客データなどを守り、被害の拡大を防ぐため、ニチレイはグループで使用しているシステムを遮断。その影響で、冷蔵倉庫の入出庫業務と冷凍食品の出荷業務に支障が生じました。
外部のセキュリティ専門会社と安全対策を講じ、7月17日から順次、業務を再開する予定です。
今回のニュースが示しているのは、サイバー攻撃が単なるパソコン上のトラブルではないということです。
システムを使えなくなれば、商品の出荷、受注、問い合わせ対応など、会社の業務そのものが止まる可能性があります。
ニチレイで何が起きたのか、初心者向けに解説
今回の流れを簡単に整理すると、次のとおりです。
1．ニチレイのサーバーがサイバー攻撃を受けた
2．顧客情報などを守り、被害を広げないためにシステムを遮断した
3．システムを使用できなくなり、冷蔵倉庫の入出庫や冷凍食品の出荷業務に影響が出た
4．安全対策を講じたうえで、業務を順次再開することになった
重要なのは、倉庫に商品がなくなったから出荷できなくなったわけではないという点です。
一般的な物流業務では、商品の在庫数、保管場所、出荷先、出荷数量、配送予定などをシステムで管理しています。
商品が倉庫にあっても、システムが使えなければ、何を、いくつ、どこへ出荷するのかを正確に処理することが難しくなります。
また、攻撃を受けた状態でシステムを動かし続けると、被害がほかのサーバーへ広がったり、さらに情報を持ち出されたりする可能性があります。
そのため、安全確認が終わるまでシステムを遮断し、通常業務を止める判断が必要になる場合があります。
個人情報は流出したのか
2026年7月15日時点では、個人情報の流出が確定したとは発表されていません。
ただし、被害を受けたサーバーの一部に個人情報が保管されていたため、ニチレイは個人情報保護委員会へ、漏えいの可能性がある事案として報告しています。
正確には、個人情報が漏えいした可能性があるため、現在も調査を続けている段階です。
攻撃の詳しい手口は公表されていません
ニチレイは、被害の拡大を防ぐため、今回のサイバー攻撃の詳しい手口や侵入経路を公表していません。
したがって、ニチレイの事例を、ホームページやWordPressの問題が原因だったと断定することはできません。
ただし、今回の事例から分かるのは、インターネットにつながるシステムを適切に管理しなければ、情報の問題だけではなく、実際の業務停止につながる可能性があるということです。
会社のホームページも、公開して終わりではありません。継続的な更新と管理が必要なシステムの一つです。
小さな会社だから狙われない、とは限りません
「ニチレイのような大企業だから狙われたのであって、うちの会社には関係ない」
そのように考える経営者の方もいるかもしれません。
しかし、会社のホームページは、企業規模に関係なくインターネット上へ公開されています。
専任の担当者がいないことを理由に、何年も更新せずに放置してよいものではありません。
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、個人事業主や小規模事業者を含む中小企業を対象とし、バックアップやウェブサイトの安全な運用を基本的な対策に挙げています。
例えば、年商1,000万円から1億円程度で、専任のIT担当者を置いていない会社では、次のような状態になっていることがあります。
・ホームページの担当者が決まっていない
・制作会社との保守契約が終了している
・WordPressに何年もログインしていない
・プラグインの更新通知を放置している
・バックアップがあるか分からない
・問題が起きたときの連絡先が決まっていない
「WordPressの更新とは何ですか」
「プラグインを更新したことがありません」
という状態でホームページを公開し続けている会社は、一度、管理状況を確認した方がよいでしょう。
中小企業のホームページで起こり得る6つの被害
1．ホームページを改ざんされる
会社とは関係のない広告、偽の通販ページ、投資やギャンブルに関するページなどを設置される可能性があります。
別の危険なサイトへ自動的に転送されるよう書き換えられれば、顧客や取引先からの信用にも影響します。
2．お問い合わせ情報が漏れる
一般的なお問い合わせフォームでも、氏名、会社名、電話番号、メールアドレス、相談内容、見積もり内容、採用応募者の情報などを扱います。
「自社サイトには重要な情報がない」と思っていても、お客様が入力した情報は重要な個人情報です。
3．お問い合わせが届かなくなる
ホームページが表示されていても、お問い合わせフォームだけが正常に動いていないことがあります。
画面には「送信完了」と表示されていても、会社側にメールが届いていない場合もあります。
問い合わせ件数が多くない会社ほど、不具合の発見が遅れます。その間に、見積もり依頼、予約、採用応募などを失う可能性があります。
一件の問い合わせが重要な契約につながる会社にとって、フォームの停止は、単なる不具合ではなく売上機会の損失です。
4．会社のメールに影響が出る
ホームページとメールを同じサーバーや関連する環境で管理している場合、構成や被害範囲によっては、メールの運用にも影響が及ぶ可能性があります。
サーバーが迷惑メールの送信などに悪用されると、正常なメールまで相手に届きにくくなることがあります。
見積書、請求書、契約書などをメールでやり取りしている会社にとっては、通常業務への大きな支障になります。
5．検索結果や会社の信用に影響する
不正アクセスを受けたホームページの中に、偽の通販ページや外国語ページなどを作られることがあります。
会社名を検索したときに無関係なページが表示されたり、ブラウザに警告が出たりすれば、顧客や取引先に不安を与えます。
ホームページを修復しても、検索結果や信用がすぐに元へ戻るとは限りません。
6．復旧や再制作が必要になる
不正なファイルを一つ削除すれば、安全な状態へ戻るとは限りません。
侵入された場合は、変更されたファイル、不正な管理者アカウント、データベースの改ざん、不正プログラムの残存、再侵入につながる弱点などを確認する必要があります。
安全なバックアップがなければ、ホームページの一部または全体を作り直さなければならない場合もあります。
年商1,000万円から1億円程度の会社にとって、急な復旧費用や再制作費用、ホームページ停止中の機会損失は、決して小さな負担ではありません。
IPAは、ウェブサーバーのアクセスログから攻撃の痕跡を検出するツールを提供しており、ウェブサイトが実際に攻撃対象となり得ることを示しています。また、WordPress用プラグインの脆弱性が悪用され、第三者に悪意のあるファイルを設置される可能性についても注意喚起しています。
WordPressの定期更新とは何か
WordPressは、ホームページを作成・管理するためのシステムです。
スマートフォンに例えると、iPhoneのiOSやAndroidのような基本システムに近いものです。
WordPressでは、主に次の目的で新しいバージョンが公開されます。
・不具合の修正
・機能の改善
・新しい利用環境への対応
・セキュリティ上の弱点の修正
WordPress公式も、WordPress本体、使用しているプラグイン、テーマを最新の状態に保つことを、重要なセキュリティ対策として案内しています。
古い状態のまま使い続けると、すでに修正版が公開されている問題を残したまま、ホームページを公開し続けることになる場合があります。
プラグインの更新とは何か
プラグインとは、WordPressに機能を追加するための部品です。
スマートフォンに追加するアプリのようなものだと考えると分かりやすいでしょう。
例えば、次のような機能にプラグインが使われています。
・お問い合わせフォーム
・予約機能
・画像の表示
・アクセス解析
・検索対策
・バックアップ
・セキュリティ対策
プラグインにも、不具合やセキュリティ上の弱点が見つかることがあります。
使用していないプラグインを放置したり、更新が止まった古いプラグインを使い続けたりすることも、ホームページの管理上の問題になります。
更新ボタンを押すだけでよいのか
多くのWordPressサイトでは、管理画面から更新できます。
ただし、ホームページの構成、使用しているテーマやプラグイン、サーバー環境によっては、更新後に表示や機能へ不具合が起きる場合があります。
安全に更新するには、少なくとも次の作業が必要です。
・更新前のバックアップ
・WordPress本体、テーマ、プラグインの状態確認
・更新後の表示確認
・パソコンとスマートフォンでの確認
・お問い合わせフォームの送信テスト
・問題が起きた場合に元へ戻せる準備
WordPress公式も、更新前にウェブサイトのバックアップを取るよう案内しています。
SSLに対応していれば安全なのか
ホームページのアドレスが「https」で始まり、ブラウザに鍵のマークが表示されていても、それだけですべての攻撃を防げるわけではありません。
SSL、現在の名称ではTLSを利用したHTTPSは、ホームページと閲覧者の間で送受信される情報を暗号化する仕組みです。
通信を守る重要な対策ですが、古いWordPress、更新されていないプラグイン、弱いパスワード、不要な管理者アカウント、バックアップ不足などの問題を解決するものではありません。
自社のホームページは管理されていますか
次の質問に、すぐ答えられるでしょうか。
・最後にWordPressを更新した日はいつか
・プラグインの更新が残っていないか
・使用していないプラグインが残っていないか
・バックアップはどこに保存されているか
・お問い合わせフォームは正常に動いているか
・以前の制作会社や退職者のアカウントが残っていないか
・問題が起きたときの連絡先が決まっているか
一つでも分からない項目がある場合は、問題が起きる前にホームページの管理状況を確認することをおすすめします。
PR企画事務所がホームページの保守・更新をサポートします
PR企画事務所では、WordPressで制作されたホームページを中心に、保守、更新、ホームページに関する基本的なセキュリティ対策をサポートしています。
主な対応内容は次のとおりです。
・WordPress本体の定期更新
・プラグインやテーマの更新
・更新前のバックアップ
・更新後の表示確認
・お問い合わせフォームの動作確認
・不要なプラグインやアカウントの確認
・ログイン環境などの基本的なセキュリティ確認
・文章、写真、お知らせなどの更新
・不具合が発生した場合の初期確認
・ホームページを活用するための改善提案
対応できる範囲は、ホームページの構成、サーバー環境、現在のシステムの状態によって異なります。
また、どのような対策を行っても、サイバー攻撃のリスクを完全にゼロにすることはできません。
当事務所が対応するのは、主にWordPressとホームページの保守、更新、セキュリティ対策です。
社内ネットワーク、基幹システム、従業員のパソコンなどを含む、企業全体のサイバーセキュリティ対策とは対応範囲が異なります。
Zoomでの無料説明とホームページ簡易診断を実施しています
PR企画事務所では、Zoomによるホームページの保守、更新、セキュリティ対策の説明と、ホームページの簡易診断を無料で行っています。
次のような会社は、一度ご相談ください。
・WordPressかどうか分からない
・WordPressやプラグインを更新したことがない
・ホームページを制作した会社と連絡が取れない
・現在、誰が管理しているのか分からない
・バックアップがあるか分からない
・お問い合わせフォームを最近確認していない
・自社ホームページのセキュリティが心配
無料簡易診断では、公開されているホームページとヒアリング内容をもとに、現在の管理状況や注意すべき点を確認します。
管理画面やサーバー内部の詳細な確認が必要な場合は、確認範囲と方法を事前にご説明します。
なお、この簡易診断は、専門のセキュリティ会社が行う侵入テストや、本格的な脆弱性診断とは異なります。
ニチレイの事例が示しているのは、サイバー攻撃の影響が情報漏えいの可能性だけでは終わらないということです。
システムを使えなくなれば、出荷、受注、問い合わせ、顧客対応など、会社の業務そのものが止まる可能性があります。
ホームページを作ったまま放置している会社は、問題が起きてから復旧先を探すのではなく、何も起きていない今のうちに管理状況をご確認ください。
参考資料
・株式会社ニチレイ「当社グループでのシステム障害発生について」
・株式会社ニチレイ「当社グループでのシステム障害発生について（第2報）」
・IPA「ウェブサイトの攻撃兆候検出ツール iLogScanner」
・WordPress公式「Upgrading WordPress」