止まったのは、ほとんどが他人の荷物だった――ニチレイの障害が問う「代替できない委託先」

何が起きたのか――公表されている事実の把握

まず、本稿執筆時点（2026年7月16日18:00）で確認されている事実を時系列で整理する。

ニチレイは2026年7月13日、不正アクセスによるシステム障害が発生したと発表した（第1報）。同社広報によれば、障害を確認したのは同日午前6時50分ごろである。影響が出たのは、グループ会社で低温物流事業を営むニチレイロジグループのグループ各社が担う冷蔵倉庫の入出庫業務と、同じくグループ会社で冷凍・レトルト・ウェルネス食品事業を担うニチレイフーズの冷凍食品出荷業務。ニチレイは発生当日に緊急対策本部を設置し、個人情報や顧客データの保護を最優先として、グループで使用するシステムの遮断措置を講じた。障害の範囲は国内に限られる。

7月15日の第2報で、同社は調査の結果、サーバーがサイバー攻撃を受けたことを確認したと公表した。ただし攻撃の詳細は「さらなる被害拡大を防ぐため」として開示を差し控えており、ランサムウェア（データを暗号化して身代金を要求する攻撃）によるものかどうかは、報道機関の取材に対しても「調査中」と回答している。

また、当初「個人情報や顧客データが社外へ流出した事実は確認されていない」としていたが、被害を受けたサーバーの一部に個人情報が保管されていたことが判明し、「漏えいの可能性がある事案」として個人情報保護委員会に報告したことも明らかにした。業務は、外部のセキュリティ専門会社とともに安全対策を講じたうえで、7月17日から順次再開する予定である。一方で、障害発生前の状態への完全復旧の時期は示されていない。

したがって、本稿は「ニチレイがランサムウェア攻撃を受けた」という前提には立たない。確認されたのは「サイバー攻撃」までである。ここから述べるのは、公表された事実と、低温物流という業態の構造から導かれる論点である。

そのうえで、公開されている3つの数字を置いておきたい。まず、ニチレイロジグループは冷蔵倉庫の設備能力で国内最大手であり、その規模は約156万トン、国内シェアにして8.4％にあたる。低温物流を利用する顧客は年間で約5,000社。そしてグループ外の売上比率は92％である（出典：三井物産戦略研究所「低温物流業界レポート」）。

つまり、この倉庫に眠っているもののほとんどは、ニチレイ自身の荷物ではない。障害公表から2日の間に、欠品・配送遅延などの影響を公表・報告した取引先や関連組織は、各社発表と報道を合わせて少なくとも11にのぼる。日本ケンタッキー・フライド・チキンは全店舗での一部商品の品切れや営業時間短縮、臨時休業の可能性を公表し、くら寿司は関西地区の数十店舗で寿司ネタや冷凍食品の配送遅れ・未着を発表した。

イオンやヨークベニマルの店頭では欠品が生じ、日本生活協同組合連合会ではアイスや冷凍食品など約50品目に影響が出た。井村屋はアイス製品の納品を一時中止し、テーブルマークは委託エリアの一部で冷凍食品を出荷できなくなった。止まったのは1社の事業ではなく、数千社が共同で使っている1本のインフラである。技術の話に見えるが、実際にはサプライチェーンの構造の問題と捉えることができる。

一、倉庫は「出口」であると同時に「入口」

システム障害の報道は、決まって「出荷が止まる」と書く。だが冷蔵倉庫が止まるということは、入庫も止まるということだ。ここに、玉突きの起点がある。

出庫できなければ、庫内は空かない。庫腹（保管スペース）が空かなければ、次の荷物を受け入れられない。そして冷凍食品の工場や水産加工場は、マイナス25℃の製品置き場が満杯になった瞬間にラインを止めるしかない。冷凍品は、作ってから常温の廊下に積んでおくことができないからだ。

経営の言葉に置き換えると、こうなる。攻撃を受けていない会社の事業が、攻撃を受けた会社の障害によって止まる可能性がある。これにはすでに前例がある。2025年10月、アスクルがランサムウェア攻撃を受けて物流機能が停止した際、物流を委託していた無印良品（良品計画）やロフトのネットストアは、自社のシステムは無傷のまま、受注停止に追い込まれた。

今回のニチレイは、その構図をもう一段深刻にする。文具や日用品の物流であれば、時間と費用をかければ他社への切り替え余地がまだある。だが低温物流のボトルネックは、代替先を「探せば見つかる」ものではない。冷凍設備という物理的制約があり、しかも競合も同じ倉庫を使っている。

この「埋まらなさ」は、早くも数字の外側で表面化した。冷凍・冷蔵倉庫を運営する不動産開発の霞ヶ関キャピタルには、メーカーなどの荷主や物流会社から代替保管先を求める相談が相次いでいるという。冷凍庫の空きは、探してから見つかるものではない――障害公表からわずか2日で、その現実が確認された格好だ。

同じ理屈は、待たされる側にも及ぶ。着荷できずに庫前で待機した時間は、トラック運転者の拘束時間として計上される。運転者の稼働時間の上限は変わらないから、その分は翌日以降、別の荷主の配送枠から削られていく。サイバー攻撃の影響が、労務規制という経路を通って第三者に飛び火する構図である。なお、工場のライン停止やトラック拘束時間の玉突きは、低温物流の構造から導いた推論であり、今回の事案で発生が確認された事象ではない。

二、日持ちしないのは商品ではなく商機

経営が「うちが止まると誰が困るか」を考えるとき、視野はたいてい直接の取引先で止まる。だが低温物流の場合、本当に困るのは、その先だ。

倉庫に荷物を預けている食品メーカー。そのメーカーから仕入れる卸。卸から仕入れるスーパー、コンビニ、外食チェーン、給食事業者。そして店頭で商品を探す人。この連鎖のどこにも、ニチレイと直接の契約を持たない当事者が大量に含まれている。

ケンタッキーの店頭に並んだ客も、くら寿司の席に着いた客も、生協の宅配を待つ組合員も、ニチレイと契約関係はない。給食事業者では、冷凍食品の納品が滞り、弁当メニューの変更を迫られる可能性が報じられた。

象徴的なのはコープデリの告知である。ニチレイ以外のメーカーの食品やミールキットであっても、配送に同グループのシステムを使っている商品は同様に届かない可能性がある、と組合員に知らせた。自社の商品が、他社のシステム障害の影響で止まったのだ。

忘れられやすいのが、産地である。夏の水揚げも、収穫も、システム障害を待ってはくれない。冷凍倉庫とは、要するに「時間を止める装置」である。それが止まると、代わりに時間の方が動き出す。行き場を失った生鮮品の損失は、最も体力のない生産者に落ちやすい。

ここで、正確を期しておきたい。庫内の電源と冷凍設備が生きている限り、中の品は凍ったままであり、腐るわけではない。腐るのは「売り時」の方だ。土用の丑、お盆、給食の献立日、店頭の販促計画――冷凍品は日持ちしても、商機と予定は日持ちしない。これは食の安全の問題ではなく、食の到達の問題である。この区別を曖昧にしたまま語ると、いたずらに不安をあおることになる。

中小企業にとっては、この食品と商機の構図を自社の話として読むことができるだろう。自社の在庫が他社の倉庫に預けられているとき、その倉庫が止まれば、自社は健全なまま事業を止めることになる。攻撃されたのは自社ではない。それでも売れない。

三、冷凍食品には、治療や介護に接する領域がある

次の点が、実は最も見落とされている。

ニチレイフーズは、糖尿病食の開発で培った栄養コントロール技術を土台にした「気くばり御膳」や、噛む力・飲み込む力に配慮した「やわらか」シリーズといった製品群を持つ。こうした冷凍調理品は、高齢者施設や在宅介護の食卓で日常的に使われている。

なぜこれが重いのか。代替がききにくいからだ。

我が家の冷凍庫にも私の大好物ニチレイの炒飯が入っている。どんなに大好物でも、無ければ他社の炒飯で代替がきく。だが塩分やエネルギーを調整した食事、やわらかさに配慮した食事は、栄養価と物性が献立に紐づいて管理されている。ブランドを差し替えれば済む話ではない。現場で起こり得るのは「欠品」ではなく、「献立が組めない」ということだ。

しかも、購入経路まで細い。これらの製品群はスーパーの店頭にはほとんど流通しておらず、直販サイト「ニチレイフーズダイレクト」を軸とする通販経路に依存している。その直販サイトには、本稿執筆時点でもシステム障害の告知が掲示されている。新聞も、外食・給食と並べて「通販」への配送遅れを報じた。一般の冷凍食品なら、店頭で欠品しても隣の棚を探せばよい。だが通販に依存する療養食は、その経路が止まれば、探すべき隣の棚が存在しない。

食事は生活の一部であると同時に、療養の一部でもある。冷凍食品のサプライチェーンは、我々が思っているよりずっと、医療と介護の近くを走っている。「食品物流の障害」という言葉から連想される絵と、実際の射程は、かなり違う。

念のために付け加える。本稿執筆時点で、介護・健康関連製品の供給停止が公式に発表された事実や、医療・介護現場への具体的な影響が生じたという公表はない。ここで述べているのは、低温物流が持つ社会的機能の射程であって、確認された被害の内容ではない。ただし、生協の宅配や給食事業といった「生活の側」への波及がすでに現実になっている以上、この射程は絵空事ではない。続報を注視したい。一刻も早い復旧を願うばかりである。

四、思考実験――もし在庫データが失われていたら

ここまでは、確認された事実と構造の話をしてきた。最後に一つだけ、今回起きたことではない最悪のシナリオを、思考実験として置いておきたい。断っておくが、ランサムウェアの関与は不明であり、ニチレイが障害発生から4日で業務再開の予定を公表できた事実は、在庫データが保全されていることの傍証と見てよい。下記は、あくまで「もし」の話である。

もし、倉庫管理システムのデータがバックアップごと失われていたら、何が起きるか。冷凍倉庫の在庫は、恐らくは見ればわかるようなものではない。マイナス25℃の庫内に積まれた段ボールは外見がほとんど同じで、中身・荷主・ロット・賞味期限は、すべてシステム上の紐付けとしてだけ存在する。バーコードを読んでも、照合するマスタが消えていれば、それはただの番号だ。つまりデータが失われた瞬間、物理的には無傷の156万トンが、「どこに、誰の、何が、いつから入っているのか、誰にも言えない箱の山」に変わる。

人手の棚卸しで戻せるかといえば、環境がそれも厳しいものとするだろう。マイナス25℃の庫内では作業員の連続作業時間が厳しく制限され、高層の自動倉庫に至っては、システムなしには人が荷に近づくことすらできない。最後の頼みは、紙の入出庫伝票と、荷主側の預け入れ記録との突き合わせである。皮肉なことに、デジタル化しきっていない部分が、復旧可能性の最後の砦になる。

ここから引き出すべき教訓は一つだ。ランサムウェアの怖さは、身代金や情報漏えいだけではなく、物理世界と情報の紐付けが失われることも考えなければならない。だからバックアップについては、「データが戻るか」では足りない。「戻ったデータと目の前の現物を、再び突き合わせられるか」まで問わなければならない。

経営が引き直すべき線

倉庫が出口でありながら入口であるという点、食品ではなく商機が腐るという点、そして代えのきかない医療・介護領域を担っている点。これら3つの角度と、1つの思考実験から見えてくるのは、次の1つのことだ。サイバー攻撃の影響範囲を「取引のある相手」だけで線引きすることはできない。

実際に困るのは、契約関係のない三次・四次の他人であり、ときにその他人が抱える利用者や患者である。そして逆に言えば、あなたの会社もまた、名前も知らない誰かの障害によって、明日止まり得る。

委託先管理という言葉は、これまで主に「情報を預けた先が漏らさないか」という文脈で語られてきた。だが今回の事案が示すのは、もう一つの委託先リスクである。すなわち、機能を預けた先が止まったとき、自社は動けるのか、という問いだ。情報漏えいは起きなくても、事業は止まる。セキュリティ対策の目的は情報漏えいの防止だけではない。事業を勝手に止められない、というのも重要なテーマである。

そこで、あなたが次の経営会議で問うべきことを3つ挙げたい。

第1に、自社の在庫や業務は、どの会社の設備の上に乗っているのか。倉庫、物流、決済、受発注。その会社の名前を、経営陣は言えるのか？

第2に、その会社が仮に2週間止まったとき、自社の事業は何日もつのか。代替先は紙に書かれているか。ここで重要なのは、「代替先の候補」ではなく「代替が物理的に可能か」である。今回、代替保管先を求める相談が特定の倉庫会社に殺到したことは、空き庫腹が平時から潤沢には存在しないことの証左でもある。同じことは、専用設備や特殊な業務システムを介した委託全般に当てはまる。しかも、多くのところは合理化・効率化を徹底的に行い一円でも安く提供できるように動いているので、いざという時に代替がきかないというのが実態だと考えられる。

第3に、自社が止まったとき、契約関係のない誰が困るのか。この問いに答えられる企業は、まだ少ないのではないか。だがサプライチェーンの中で自社の位置を正しく認識することは、責任範囲を広げるためではなく、自社の交渉力とリスクを正しく測るために必要である。

明日から見直せる小さな改善もある。主要な委託先が「止まったら何日もつか」という一行を、既存の取引先リストに書き足すことだ。書けない欄が残ったなら、それが最初に手をつけるべき場所である。