RansomHouseとは？ニチレイを狙った身代金要求集団の正体

2026年7月、大手の低温物流・冷凍食品企業であるニチレイがサイバー攻撃を受け、全国の冷蔵倉庫と冷凍食品の出荷が広く止まりました。約1週間後、闇のリークサイト上で「RansomHouse（ランサムハウス）」を名乗る集団が自らの関与を主張したことで、事態は単なるシステムトラブルから、組織的なサイバー犯罪集団による恐喝事件へと姿を変えました。この記事では、私自身が一次情報や専門機関のレポートを読み込んで整理した内容をもとに、RansomHouseとは何者なのか、そしてなぜニチレイが狙われたのかを、暮らし目線でまとめていきます。

ニチレイで何が起きたのか、時系列で振り返る

まずは今回の出来事を、公式発表に沿って整理しておきましょう。

発覚から全体遮断まで

2026年7月13日午前、ニチレイの社内システムで障害が検知されました。同社は同日中に「システム障害発生について（第1報）」を公表し、被害拡大の防止を最優先にグループ全体のネットワークを遮断する対応を取りました。この結果、冷蔵倉庫の入出庫業務と冷凍食品の出荷業務が停止しています。

第2報で判明した被害の実態

7月15日に出された第2報では、外部のセキュリティ専門会社と連携した調査の結果、当初の表現が「サイバー攻撃を受けた事実を確認した」という内容へと改められました。同時に、被害範囲のサーバー群には顧客や取引先に関わる情報も保管されていたことが分かり、所管の委員会への報告手続きも進められています。7月16日にはTDnetでの適時開示も実施され、上場企業としての情報公開の枠組みに沿って対応が進められました。私はここで、混乱の渦中でも決算発表を8月7日に予定通り実施すると明言していた点に、企業としての対応の丁寧さを感じました。

一部業務再開と犯行声明

7月17日の第3報では、受発注を一部制限しながら冷蔵倉庫への搬入・出荷業務を順次再開したことが公表されました。現場では手書きの伝票処理で対応した拠点もあったと報じられています。そして7月21〜22日ごろ、RansomHouseがダークウェブのリークサイトで犯行を主張し、データ流出を防ぐための交渉に応じるよう求めました。

私も試算してみた：物流停止が広がった規模を数字で見る

なぜ1社のシステム障害が、これほど広範囲に波及したのか。私も報道内容をもとに、影響の広がりを数字として整理し直してみました。

集計してみた：影響が及んだ業態と日数

まず日数を計算してみると、障害検知の7月13日から一部業務再開の7月17日までは17−13＝4日、ダークウェブでの犯行声明が出た7月21日までは21−13＝8日でした。次に報道されている範囲で影響を受けたとされる業態を数えてみると、外食（KFCジャパンなど）、回転寿司（くら寿司）、お弁当チェーン（ほっともっと・やよい軒）、小売（イオン、ドン・キホーテ）、宅配（コープデリ、パルシステム）、学校給食と、6業態にまたがっていました。さらに学校給食だけを見ても仙台・秋田・札幌・茨城の4地域が影響を受けており、6業態×複数地域という広がり方を数字にしてみると、1社の障害としては異例のスケールだったことが分かります。1社の物流停止がこれだけ多方面に波及するのは、ニチレイが「コールドチェーン」と呼ばれる低温物流網の中核を担い、数千社がこれに依存する構造になっていたためです。

一般的に、在庫を持たず必要な分だけを配送する「ジャストインタイム」方式の食品流通では、物流のハブとなる企業が止まると、そこに連なる取引先が同時に影響を受けます。攻撃者から見れば、こうした「単一障害点(SPOF)」を止めることは、その先にある数千社の事業を同時に人質に取るのと同じ意味を持つと考えられます。

なぜネットワーク遮断が「物理的な」物流停止に直結したのか

興味深いのは、サイバー攻撃を受けたのは情報システム側であるにもかかわらず、実際の倉庫の荷物までまったく動かせなくなった点です。倉庫管理システム(WMS)が、どの荷物をどこへ運ぶかという指示をリアルタイムで出しており、無人搬送車や作業員はその指示なしに動けません。被害拡大を防ぐためのネットワーク遮断は、そのままWMSからの指示を止めることになり、結果として倉庫の運用そのものが物理的に凍結してしまったのです。情報システム(IT)と現場の制御システム(OT)が密接に結びついている今の物流の姿が、被害の広がり方によく表れていると感じました。

RansomHouseとは何者なのか

ここからは、犯行声明を出したRansomHouseというグループそのものについて整理していきます。

起源と、自らを正当化する独特の思想

RansomHouseの起源は、2021年9月にロシア語圏のハッカーフォーラムで「Babuk（Babyk）」というランサムウェアのソースコードが流出した事件にさかのぼるとされています。このコードを土台に派生したグループのひとつがRansomHouseだと考えられています。特徴的なのは、自分たちを悪質な犯罪者ではなく「脆弱性を指摘するプロの調停者」「善良なハッカー」だと位置づけている点です。セキュリティ対策を怠った企業を「罰している」と主張し、要求する金銭を「セキュリティ監査の代金」と呼ぶなど、自らの行為を正当化する独自の言い分を持っています。

ダークウェブの交渉ポータルに見る巧妙さ

被害企業ごとに追跡困難な匿名のTorリンクを用意し、一対一の交渉部屋を設ける、データ公開までの残り時間を示すカウントダウンタイマーを設置する、英語と中国語に対応したインターフェースを備えるなど、RansomHouseの交渉手法は非常に洗練されています。過去の事例では、初期の要求額256万ドルから交渉の末に125万ドルへ減額に応じたケースが報告されています。私も気になって割引率を計算してみたのですが、(256−125)÷256×100≈51.2%と、実に半分近くまで応じていたことになります。それだけ「確実に何かを回収したい」という攻撃者側の思惑がうかがえます。さらに支払い後にはゼロトラスト導入や多要素認証の適用といった「セキュリティアドバイス」まで提供したケースが報告されており、まるでプロのコンサルタントのような振る舞いを見せることもあります。

攻撃の手口を整理する：侵入経路から「暗号化しない恐喝」への変化まで

ニチレイは被害拡大防止の観点から詳しい侵入経路を公表していませんが、RansomHouseの既知の手口から、一般的な攻撃の全体像を整理できます。

侵入から暗号化までの流れ

公表されている情報を整理すると、初期アクセスの段階では境界防御機器の脆弱性やリモートデスクトップへの不正ログインが使われることが多く、侵入後はMimikatzのようなツールで管理者権限を奪い、バックアップサーバーを狙って復旧を妨害する動きが見られます。データはアーカイブ化されたうえで外部に持ち出され、その後、仮想化環境を狙った専用ツールが展開されます。特徴的なのが、仮想化基盤「VMware ESXi」を狙う「MrAgent」と「Mario」という2つの独自ツールです。MrAgentはハイパーバイザー上で動く多数の仮想マシンを自動的に検出して一斉にシャットダウンさせ、その後Marioという暗号化ツールが仮想ディスクファイルを暗号化します。1つの基盤を突破するだけで多数のサーバーを一気に使用不能にできるため、被害組織への打撃が大きくなりやすい仕組みです。近年ではこの暗号化方式が単純なものから複雑な多層的手法へとアップグレードされているとの分析もあり、対策側にとっても厄介さが増しています。

なぜ「暗号化しない」手口が広がったのか

近年、システムを暗号化せずにデータを盗むだけで金銭を要求する「暗号化しない恐喝」という手口が一部の攻撃グループの間で広がっています。暗号化ツールの開発コストがかからず、被害企業のシステムが動き続けるため公表されにくいという、攻撃者側の合理的な理由があるとされています。RansomHouseも活動初期には、自らを「暗号化を行わない純粋なデータ恐喝集団」と位置づけていました。しかし現在では、Marioなどの暗号化ツールを併用し、データ窃取と暗号化の両方で圧力をかける「二重恐喝」へと手口を変化させています。単なるデータ窃取だけでは交渉の圧力が不十分だと判断されたのかもしれません。

アスクル事例に見る、委託先管理という教訓

国内では2025年10月に公表されたアスクルの事例でも、RansomHouseは実際の攻撃発動までの4か月以上、多要素認証が設定されていなかった委託先アカウントを起点に社内に潜伏していたことが分かっており、委託先を含めた認証管理の重要性が改めて浮き彫りになりました。しかもこのときはオンライン上のバックアップまで暗号化されてしまい、復旧が長期化したと報告されています。この構造は、スマートフォンの認証や見覚えのない通知に注意する、という私たちの日常の防犯意識にも通じる部分があると感じています。関連する仕組みについては、以前整理した記事もあわせてご覧ください。

→ LINE安否確認はなぜ表示される？171との違いと詐欺の見分け方

サプライチェーンという視点から見た今回の教訓

海外の食品業界でも繰り返されてきたリスク

食品・物流業界へのサイバー攻撃は今回が初めてではありません。2021年には世界最大級の食肉加工企業JBSがランサムウェア攻撃を受け1,100万ドルの身代金を支払い、2023年には青果大手ドールが北米工場の稼働停止に追い込まれ直接損失1,050万ドルを計上しました。2026年には米国の食品卸大手シスコが「暗号化しない恐喝」の標的となり、身代金の支払い期限を過ぎたことで約270万件のデータが公開されています。さらに2017年には、菓子大手モンデリーズがワイパー型マルウェア「NotPetya」の被害に遭い、1億5,000万ドル以上の損害を出したうえ、保険会社との間で「戦争行為」免責をめぐる訴訟にまで発展しました。業種は違えど「在庫を持たず、止まると困る」という構造を持つ企業が繰り返し標的にされてきたことがわかります。

こうした「1社の停止が業界全体に波及するリスク」は、今回取り上げたニチレイの件に限らず、他の業界にも共通する構造だと感じます。似たような視点で整理した記事もありますので、興味のある方はこちらもどうぞ。

→ iPhone折りたたみはなぜ2026年9月？構造を整理

専門家は身代金の支払いをどう見ているか

セキュリティ会社S&Jの三輪信雄社長は、報道の中でRansomHouseについて「企業から顧客情報を盗み、脅迫する手口」の特徴を指摘しています。一般的にセキュリティ専門家は、身代金の支払いを推奨していません。理由は大きく2つあると私は理解しました。ひとつは、支払ったとしてもデータが完全に削除される保証はないこと。もうひとつは、一度支払いに応じた企業は「支払い実績のあるカモ」として、別の攻撃グループから再び狙われるリスクが高まってしまうことです。目先の交渉を有利に進めたつもりが、かえって次の標的になってしまうというのは、なんとも皮肉な構造だと感じました。

国内の統計が示す製造業・物流業への集中

警察庁の発表によれば、令和6年上半期のランサムウェア被害報告件数は114件にのぼり、業種別では製造業が全体の約4割を占めて最も多くなっています。JPCERT/CCの報告でも、身代金の要求額は平均350万ドルを超え、実際に支払われた額は平均約953万ドルに達するとされています。この2つの数字を割ってみると、953÷350≈2.7倍。要求段階の平均よりも、実際に支払われたケースの平均の方がかなり大きくなっており、サイバー犯罪がすでに一つのビジネスとして成立してしまっている実態がうかがえます。IPAの「情報セキュリティ10大脅威2025」でも、ランサムウェアとサプライチェーンの弱点を突いた攻撃は組織向け脅威の最上位に位置づけられており、工場のIIoTデバイスの約7割に既知の脆弱性が放置されているという調査結果も報告されています。

あわせて読みたい

• AWS障害はなぜPayPayを止めた？クレカ障害との違いとは
• ディープフェイク詐欺とは？声も顔も偽装される仕組みと対策
• 自衛隊も感染した容量偽装USB、なぜ流通する？Amazon混合在庫と地下経済の構造を整理

よくある質問

Q. RansomHouseとはどのような集団ですか？

2021年末ごろから活動しているとされるハッカー集団で、企業のシステムに侵入してデータを窃取し、公開しないことと引き換えに金銭を要求します。自らを「セキュリティ監査人」と称する独特の主張を持つのが特徴です。

Q. なぜニチレイが標的になったと考えられますか？

一般論としては、数千社が依存する物流の中核（単一障害点）であり、事業停止の許容度が低く身代金を支払う動機が強いと攻撃者に判断されやすい、という構造的な要因が考えられます。

Q. サイバー攻撃を受けたのはITシステムなのに、なぜ倉庫の荷物まで動かせなくなったのですか？

倉庫管理システム(WMS)が搬送機器や作業員への指示を出しており、ネットワーク遮断でその指示系統が途絶えたため、物理的な作業も止まってしまったためです。

Q. 「MrAgent」「Mario」とは何ですか？

RansomHouseが使うとされる専用ツールで、仮想化基盤(ESXi)上の仮想マシンを自動検出・シャットダウンし(MrAgent)、その後独自の暗号化ツール(Mario)でデータを暗号化する組み合わせです。

Q. 「暗号化しない恐喝」とはどんな手口ですか？

システムを暗号化せず、盗んだデータを公開すると脅して金銭を要求する手口です。攻撃者にとってコストが低く、被害企業のシステムが動き続けるため公表されにくいという特徴があります。

Q. 過去にRansomHouseが攻撃した国内企業はありますか？

2025年10月に公表されたアスクル株式会社の事例が知られています。実際の攻撃発動までの4か月以上、社内ネットワークに潜伏していたとされています。

Q. 海外の食品業界ではどんな被害がありましたか？

JBS(2021年)、Dole(2023年)、Sysco(2026年)、Mondelez(2017年)など、食品・食肉業界でも大規模なサイバー攻撃の被害が繰り返し報告されています。

Q. 国内でランサムウェア被害が多い業種はどこですか？

警察庁の発表によれば、製造業が被害報告件数全体の約4割を占め、最も多い業種となっています。

Q. 身代金は支払うべきなのでしょうか？

セキュリティ専門家は一般的に支払いを推奨していません。支払ってもデータ削除の保証はなく、支払い実績のある企業として再攻撃の標的にされるリスクが指摘されています。

Q. 企業はどのような対策を取るべきとされていますか？

委託先を含めた多要素認証の徹底、侵入を前提とした監視体制の構築、ネットワークから切り離されたバックアップの保持などが専門家によって指摘されています。

賢く・美しく・暮らしを整えるアイテムたち

ビサイユのトートバッグ

国際情勢が変化していくなかでも、日々の暮らしをしっかり回していきたいですよね。機能性とデザインを両立したビサイユのトートバッグは超軽量・撥水加工・スキミング防止ポケット付きで、ビジネスから週末のお出かけまで活躍します。

楽天で購入

一粒ルビーネックレス

複雑な世の中だからこそ、お守りみたいに身に付けたいアクセサリーがあると心強いですよね。英国製・18Kゴールドプレーティング×シルバー925の一粒ルビーネックレスは長く愛用できる一品です。

楽天で購入