ニチレイに「犯行声明」RansomHouseがリークサイト掲載と報道（7/22）｜業務再開後に始まる第2フェーズ、データ暴露恐喝への経営対応

結論：業務再開は「事案の終わり」ではなく、恐喝の第2フェーズの始まりである

2026年7月21日、ランサムウェア攻撃グループ「RansomHouse」がダークウェブ上のリークサイトに、ニチレイへの攻撃を主張する投稿（いわゆる犯行声明）を掲載したと、7月22日までにITmediaなど複数のメディアが報じました。ニチレイは7月13日に不正アクセスに起因するシステム障害を公表し、冷蔵倉庫の入出庫業務や冷凍食品の出荷業務が停止しましたが、7月17日から業務を順次再開していました。つまり今回の投稿は、「業務が戻り始めた直後」に出てきたものです。なお、この投稿の真正性や、実際にデータが持ち出されたかどうかは、本稿執筆時点で会社側から確認されていません。ニチレイは公表文で「個人情報や顧客データが社外へ流出した事実は確認されていない（調査継続中）」と説明しています。

経営者にとっての結論は一つです。ランサムウェア事案は「システムが復旧したら終わり」ではありません。RansomHouseは、システムを暗号化して身代金を取る古典的な手口よりも、窃取したと主張するデータを「暴露するぞ」と脅す恐喝（暴露型・二重恐喝）を主体とすると報じられているグループです。業務停止という第1フェーズが収束した後に、データ暴露恐喝という第2フェーズが始まる——これが現在のランサム被害の標準的な構造であり、今回の報道はその教科書的な進行に見えます。

そして第2フェーズで経営が判断を誤ると、被害は身代金の額ではなく「事業と信用」で桁違いに膨らみます。同じRansomHouseに2025年10月に攻撃されたと報じられたアスクルは、2026年7月3日発表の2026年5月期決算で約221億円(確定値221.5億円)の最終赤字（前期は90億円の黒字）を計上しました（日本経済新聞）。その中身は、身代金ではなく「売上機会の喪失136億円・粗利率低下64億円・物流費増89億円」という事業被害の積み上げです。本稿では、この第2フェーズに対して経営者が「何を」「どの順序で」判断すべきかを、チェックリストの形で整理します。

なお、当サイトでは既報としてニチレイのシステム障害と出荷停止から学ぶサプライチェーンBCPの設計を公開しています。既報は「出荷が止まったときに事業を守る仕組み（BCP・サプライチェーン設計）」を扱いました。本稿はその続報として、「復旧宣言の後に始まるデータ暴露恐喝に、経営としてどう対応するか」を扱います。

この記事を読むべき人

• 自社や取引先がランサムウェア被害に遭った場合、「復旧の後」に何が起きるかを把握しておきたい経営者・役員
• リークサイトに自社名が掲載された（あるいは掲載されたと第三者から連絡が来た）場合の初動を、事前に決めておきたい実務決裁者
• 個人情報保護委員会への報告義務・取引先通知・公表の順序を整理しておきたい管理部門責任者
• 情シスが0〜1名で、有事の司令塔を社内に持てない中堅・中小企業の経営層
• 「身代金を払うかどうか」を、感情ではなく判断枠組みで考えたい方

事実関係の整理：何がいつ起き、何がまだ確認されていないか

まず、確認されている事実と未確認の事項を分けて整理します。有事の意思決定では、この線引きそのものが最初の仕事になります。

報道によれば、リークサイトの投稿には「暗号化済み：2026年7月13日」といった記載や、「証拠」と称するデータへの言及、会社側に接触を促す脅迫文が含まれていたとされています。ただし、ここで経営者が押さえるべき点が3つあります。

第一に、犯行声明の真正性は自動的には信用できないということです。攻撃グループが実際には侵入していない企業の名前を掲載する、他の事案で得たデータを流用する、データ量を誇張する、といったケースは過去に報告されています。声明の存在は「検証すべき重大なシグナル」であって、「流出の証明」ではありません。

第二に、会社が「流出の事実は確認されていない」と言うことと、「流出がなかった」ことは別だということです。ニチレイの公表文は調査継続中であることを明記しており、これは誠実な表現です。フォレンジック調査で持ち出しの痕跡を特定するには時間がかかるのが普通で、「確認されていない」段階で断定的な安全宣言をしないのは、むしろ正しい対応と言えます。

第三に、攻撃者の主張は交渉圧力として設計されているということです。報じられた脅迫文には「IT部門がインシデントを隠蔽することを決めたようだ」といった、経営陣と現場の間に不信を挿し込む文言が含まれていたとされています。攻撃者の発信は事実の報告ではなく、支払いに誘導するための心理戦の一部として読む必要があります。

RansomHouseとはどのようなグループか

RansomHouseは、システムの暗号化よりも、窃取したと主張するデータの暴露を交渉材料とする恐喝を主体とすると報じられている攻撃グループです。2025年10月には事務用品通販大手アスクルへの攻撃を主張し、約1.1TBのデータ窃取を主張したと報じられています（セキュリティ対策Lab）。暗号化被害が軽微でも、「データを持っている」という主張だけで恐喝が成立するのがこの型の特徴で、バックアップからの復旧だけでは事案が終わらない理由がここにあります。

二重恐喝の構造：フェーズで理解する

ランサム事案を「障害発生→復旧」という一本の線で捉えていると、今回のような展開に不意を突かれます。実際の構造は次のようなフェーズの連なりです。

重要なのは、フェーズ3の「復旧」とフェーズ4の「声明」の間に時間差があることです。今回の報道が事実であれば、ニチレイのケースでは障害公表から約8日、業務再開開始から約4日でリークサイト掲載が観測されたことになります。復旧のめどが立って社内が安堵し、対策本部を縮小したタイミングで第2フェーズが始まる——この時間差こそが、経営にとって最も危険な罠です。復旧宣言と同時に対応体制を解散せず、「声明が出る前提」で少なくとも数週間から数カ月は監視と意思決定体制を維持することが、構造から導かれる第一の教訓です。

アスクルの決算に学ぶ：被害の本体は身代金ではなく「事業停止と信用」

「身代金を払わなければ済む話ではないのか」という感覚は、被害の実額を見ると変わります。RansomHouseに攻撃されたと報じられたアスクルの2026年5月期決算（2026年7月3日発表）は、上場企業がランサム被害の実額を開示した貴重な事例です。

（出所：日本経済新聞、共同通信、セキュリティ対策Labの決算分析）

この分解から読み取るべきことは3つあります。

第一に、最大の被害項目は「止まったこと」そのものだという点です。売上喪失136億円と物流費増89億円は、いずれも「システムが使えない期間の長さ」に比例して膨らむ費目です。身代金の支払い有無や金額（アスクルの事案では未公表です）とは関係なく、復旧までの日数が損失額をほぼ決めています。

第二に、復旧後にも損失が続くという点です。粗利率低下64億円の中身は「復旧後に顧客基盤を取り戻すための大規模販促」と報じられています。つまり、システムが直った後も、失った顧客と信用を買い戻すコストが決算を圧迫し続けます。データ暴露に至った場合、この「信用の買い戻しコスト」はさらに大きくなると考えるのが自然です。

第三に、売上規模約4,000億円の企業でこの金額だということは、売上10〜100億円の中堅・中小企業では、同じ比率の被害が資金繰りに直結するという点です。大企業は221億円の赤字を計上しても翌期に黒字回復を見込めますが、手元流動性の薄い企業では、数週間の出荷停止と数千万円規模の対応費用だけで資金ショートの現実味が出てきます。被害の本体が事業停止である以上、対策の本丸も「侵入されない」だけでなく「止まった後にどれだけ早く、正しく動けるか」に置く必要があります。

リークサイト掲載を受けた経営の初動チェックリスト

では、自社（あるいは重要な取引先）の名前がリークサイトに掲載された、または掲載されたと外部から指摘された場合、経営は何をどの順序で判断すべきか。GXOが推奨する判断枠組みを、チェックリストとして示します。

Step 1：真正性の検証（最初の24〜48時間）

• 掲載情報の保全：リークサイトの掲載内容（スクリーンショット、掲載日時、主張されているデータ量・種類）を、専門事業者経由で安全に取得・保全する。役員や社員が興味本位でダークウェブに直接アクセスすることは、マルウェア感染や二次流出のリスクがあるため禁止する。
• 「証拠」の照合:攻撃者が提示するサンプルデータが、本当に自社のものか、いつ時点のものか、どのシステム由来かをフォレンジック担当と照合する。他社事案の流用や誇張の可能性を排除しない。
• 侵入痕跡との突合:フェーズ1〜2で特定した侵入経路・痕跡と、攻撃者の主張（暗号化日時など）が整合するかを確認する。整合すれば真正性の心証は上がるが、それでも「主張されているデータ全量が窃取された」ことの証明にはならない。
• 社内情報統制：検証中の情報が未整理のまま社内外に漏れると、憶測ベースの報道や取引先の混乱を招く。この時点で広報・法務・経営の情報統制ラインを一本化する。

Step 2：法定報告・通知の起動（真正性検証と並行して）

ここは「検証が終わってから」ではなく、並行して動かす必要があります。個人情報保護法上、不正アクセスなど不正の目的によるおそれがある個人データの漏えい等（そのおそれを含む）は、個人情報保護委員会への報告義務の対象です。速報は発覚からおおむね3〜5日以内、確報は不正目的による場合60日以内が期限とされ、本人への通知義務も生じ得ます。「流出が確定していないから報告しない」は誤りで、「おそれ」の段階で速報義務が生じ得る建付けであることを、経営者自身が理解しておく必要があります。

• 個人情報保護委員会への速報要否を、弁護士と即日判断する（発覚日をいつと整理するかも法的論点になります）
• 取引先との契約上の通知義務（秘密保持契約・業務委託契約のインシデント通知条項）を棚卸しし、通知先リストを作る
• 上場企業・上場企業の重要サプライヤーであれば、適時開示・取引先の開示への影響も整理する

Step 3：交渉に応じるか否かの判断枠組み

身代金・口止め料の支払いは、多くの国の法執行機関が推奨していません。支払ってもデータ削除の保証はなく、「支払う企業」としてリスト化され再攻撃を招くと指摘されています。加えて、攻撃グループによっては制裁対象への資金提供に該当するリスクもあります。一方で、実務上は「交渉チャネルを開くこと」と「支払うこと」は別の判断です。経営が整理すべき問いは次の通りです。

• 主張されているデータに、暴露された場合に第三者（顧客・取引先・従業員）へ重大な実害が及ぶものが含まれるか
• 支払いによって得られるとされるもの（復号鍵・削除の約束）に、実効性はあるか——暴露型恐喝では復号鍵は論点ですらなく、「削除の約束」は検証不能である
• 支払いの法的リスク（制裁規制・利益供与の説明責任）と、株主・取引先への説明可能性
• 警察・弁護士・専門事業者の助言と、保険（サイバー保険）の適用条件

この枠組みで整理すると、暴露型恐喝では「支払っても暴露されない保証がない」という一点が決定的に重く、支払いが合理化されるケースは極めて限定的です。重要なのは、この判断を攻撃者が設定した時間圧力の中で初めて考えるのではなく、平時に方針として決めておくことです。

Step 4：公表と関係者対応の順序設計

公表の巧拙は、事後の信用に直結します。順序の原則は「実害が及び得る当事者への通知が先、一般公表はその設計とセットで」です。

1. 規制当局への法定報告（期限が最も明確なため最優先で着手)
2. 契約上の通知義務がある取引先への個別通知（リークサイト経由で取引先が先に知る事態を避ける）
3. 影響し得る本人（顧客・従業員）への通知と問い合わせ窓口の設置
4. 一般公表（確認された事実・調査中の事項・再発防止の方向性を分け、断定的な安全宣言をしない）

ニチレイの公表文が「流出した事実は確認されていない（調査継続中）」という表現を採っているのは、この原則に沿った書き方です。逆に最悪のパターンは、根拠が固まる前に「流出はありません」と断定し、後から撤回することです。

Step 5：外部専門家の使い分け

情シス0〜1名の企業が有事にまず混乱するのが、「誰に何を頼むのか」です。役割は明確に分かれます。

• 警察（都道府県警察のサイバー犯罪相談窓口）：犯罪被害の届出・捜査。攻撃者との接触方針についての助言も得られる。届出は保険適用や対外説明の前提になることも多い
• 弁護士:法定報告の要否判断、通知文・公表文の法的レビュー、契約上の責任整理、支払い判断の法的リスク評価
• フォレンジック事業者：侵入経路・影響範囲・持ち出し痕跡の技術調査。「何が取られたか」の事実認定はここが担う
• セキュリティ顧問（平時からの伴走者）：上記3者の間に立ち、経営の言葉と技術の言葉を翻訳し、意思決定を前に進める司令塔

有事に初めて探すと、この4者の調整だけで数日を失います。第2フェーズは時間との勝負であるため、少なくとも「有事に最初に電話する先」を平時に決めておくことが、実質的な初動速度を決めます。

声明が出る前に整えておくべき体制

今回の報道から自社に引き付けるべき教訓は、「リークサイトに名前が載ってから考えることを、載る前に決めておく」ことに尽きます。最低限、次の4点を文書化しておくことを推奨します。

• 連絡網と招集基準：誰が第一報を受け、どの条件で経営を招集するか。休日・夜間の連絡経路を含む（攻撃は連休前後を狙う傾向が繰り返し指摘されています）
• 意思決定権限の事前委任：システム遮断・出荷停止・公表・報告の各判断を、誰がどこまで即決できるか。社長が捕まらない4時間で被害が拡大する事態を防ぐ
• 公表テンプレートと通知先リスト：確認済み事実・調査中事項・問い合わせ窓口を埋めるだけで出せる公表文の骨子と、法定報告先・契約上の通知先の一覧
• 交渉方針の事前決定:身代金への基本方針（原則不払い、接触判断の手順、警察届出の方針）を、取締役会レベルで合意しておく

これらは高額なツール投資ではなく、意思決定の設計の問題です。だからこそ、規模の小さい企業でも今週から着手できます。

よくある質問（FAQ）

Q1. 犯行声明が出たということは、データ流出は確定なのでしょうか。

いいえ。犯行声明はダークウェブ観測ベースの二次情報であり、真正性は個別に検証が必要です。攻撃グループが誇張や虚偽の掲載を行う例も報告されています。ニチレイの事案でも、本稿執筆時点で会社側はデータ流出の事実を確認していないと説明しており、「掲載された」ことと「流出した」ことは分けて扱う必要があります。

Q2. システムが復旧すれば、ランサムウェア事案は終わりと考えてよいですか。

考えないでください。暴露型・二重恐喝では、業務復旧後に「窃取データを公開するぞ」という第2フェーズの恐喝が始まります。今回の報道が示す通り、復旧の直後に犯行声明が出るのは典型的な進行です。復旧宣言後も対応体制を維持し、リークサイト監視・法定報告・公表準備を続ける必要があります。

Q3. 身代金を支払えば暴露は止められますか。

保証はありません。支払っても「削除の約束」は検証不能であり、支払った企業として再攻撃の標的になるリスクや、制裁規制上のリスクも指摘されています。支払い判断は攻撃者の時間圧力の中で行わず、警察・弁護士・専門家の助言を得た上で、平時に定めた方針に沿って判断すべきです。

Q4. 流出が確認できていない段階でも、個人情報保護委員会への報告は必要ですか。

必要になり得ます。不正アクセス等の不正目的によるおそれがある漏えい等は、「おそれ」の段階で報告対象となり得ます。個人情報保護委員会のルールでは速報はおおむね3〜5日以内、確報は不正目的の場合60日以内とされています。要否の判断は発覚日の整理を含めて法的論点になるため、弁護士と即日協議することを推奨します。

Q5. 被害額はどの程度を想定すべきですか。

事案によりますが、被害の本体は身代金ではなく事業停止です。アスクルの開示では、売上喪失136億円・粗利低下64億円・物流費増89億円で営業損益が約289億円押し下げられ、最終赤字は221.5億円でした。売上規模が小さい企業でも、停止日数に比例して同じ構造の損失が発生し、資金繰りへの影響はむしろ深刻になり得ます。

Q6. 中小企業でも狙われるのでしょうか。

はい。暴露型恐喝は「データを持っている」という主張だけで成立するため、大企業に限らず、取引先データや個人情報を持つあらゆる企業が対象になります。また、大手の取引網に入っている中小企業は、サプライチェーンの弱点として狙われる構造があります。

GXOに相談すべきタイミング

すべてのケースで外部支援が必要なわけではありません。ただ、次のいずれかに当てはまるなら、第三者を入れる価値があります。

• 自社や取引先の名前がリークサイトに掲載された、または不審な脅迫連絡を受けている——この段階では真正性検証と法定報告の並行処理が必要で、時間との勝負になります。インシデント対応の緊急相談を初動から使ってください。
• インシデントは起きていないが、「声明が出たら誰が何を判断するか」を文書で答えられない——連絡網・権限委任・公表テンプレ・交渉方針の整備は、セキュリティ顧問（リテイナー）の平時支援で構築できます。有事に最初に電話する先を持つこと自体が初動速度になります。
• 自社の侵入リスクがどこにあるか、そもそも把握できていない——第2フェーズの議論の前提として、セキュリティ診断・対策の全体像から現在地を確認することをおすすめします。
• 出荷停止時の事業継続の設計がまだであれば、既報のニチレイ事案から学ぶサプライチェーンBCPの設計と合わせて検討してください。

「今まさに脅迫を受けている」「掲載を指摘されたが真偽が分からない」という状況であれば、体制が未整備のままでも構いません。お問い合わせからご連絡いただければ、現状の整理と初動の優先順位づけからお手伝いします。

参考文献

• ニチレイ「不正アクセスによるシステム障害の発生について」
• ITmedia NEWS「ニチレイへの攻撃、ランサム集団『RansomHouse』が犯行声明 アスクルを攻撃したグループか」
• ITmedia NEWS「ニチレイ、システム障害の業務を順次再開 全面復旧は来週中めど」
• 食品新聞「ニチレイグループ システム障害で出荷影響 17日から順次再開へ」
• 日本経済新聞「アスクル26年5月期、221億円の最終赤字 サイバー攻撃で打撃」
• 共同通信「アスクル赤字221億円 26年5月期、サイバー攻撃」
• セキュリティ対策Lab「アスクル、最終損益が221億円の赤字 サイバー攻撃によるシステム停止が影響」
• セキュリティ対策Lab「ランサムウェアグループRansomHouseとは」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」