ニチレイを襲ったハッカー集団「RansomHouse」の正体とその手口

セキュリティ

2026年7月、冷凍食品と冷蔵倉庫の物流が数日間にわたって止まりました。

ニチレイが受けたサイバー攻撃です。グループ各社の冷蔵倉庫の入出庫業務と、冷凍食品の出荷業務に影響が出ました。取引のある企業は約5,000社。報道ではケンタッキーフライドチキン、イオン、くら寿司、江崎グリコといった名前が挙がっています。一社のシステム障害が、日本中の食卓の手前まで届いた格好です。

そして7月20日ごろ、ダークウェブ上のリークサイトに「RansomHouse（ランサムハウス）」を名乗る集団がニチレイの名前を掲載しました。

この記事では、この集団の正体と、実際に使われた手口を整理します。ただ、そこで終わりにはしません。手口をたどっていくと、中小企業にとって他人事ではない事実に行き当たるからです。そこまでお付き合いください。

はじめにお断り

以下でご紹介する攻撃者側の情報は、いずれも攻撃者自身がリークサイト上で主張している内容です。ニチレイはRansomHouseの関与も、ランサムウェアが使われたことも、データが盗まれたことも、公式には確認していません。攻撃者の主張には誇張や虚偽が含まれる可能性があります。本記事もその前提で書いています。

何が起きたのか

まず事実関係を整理します。

日付 出来事
2026年7月13日 ニチレイが不正アクセスによるシステム障害を確認
2026年7月17日 ニチレイが公表、業務を再開
7月20日ごろ RansomHouseがリークサイトにニチレイを掲載
2026年7月22日 共同通信・ITmediaなどが報道

リークサイトには攻撃日（Action date）として7月13日が記され、ステータスは「Encrypted（暗号化済み）」「EVIDENCE（証拠あり）」。さらに、パスワードなしでダウンロードできる「証拠パック」が置かれていました。

ここで一つ、見落としてほしくない点があります。

ニチレイは、攻撃者がリークサイトに掲載するより先に、自分で公表しています。 7月13日に確認して、7月17日に公表。攻撃者の掲載はその後です。

これが後半で効いてきますので、頭の隅に置いておいてください。

正体：RansomHouseとは何者か

「我々は仲介者だ」と名乗って現れた集団

RansomHouseが確認されたのは2021年の年末です。最初の被害者とされているのは、カナダ・サスカチュワン州の酒類賭博公社（SLGA）。2021年11月に侵入され、12月25日に身代金要求を受け取って発覚しました。

彼らが登場したときの自己紹介が、少し変わっています。自らのサイトでこう名乗ったのです。

我々はプロの仲介者コミュニティである。いかなる侵害とも無関係であり、ランサムウェアを製造も使用もしない

そして、こうも書いていました。

悪いのは脆弱性を見つけた者ではなく、セキュリティをまともに手当てしなかった者だ

要するに「自分たちは攻撃者ではなく、被害企業と侵入者の間を取り持つ仲介役にすぎない。そもそも悪いのは対策を怠った企業のほうだ」という理屈です。

ただ、この名乗りは長続きしませんでした。2022年11月、コロンビアの大手医療グループへの攻撃で、彼らは実際にデータを暗号化しています。「ランサムウェアは使わない」という自称は、自分たちの手で破られました。

この集団を理解するうえで、まずここが出発点になります。彼らの自己申告は、そのままでは信用できません。

彼らは「攻撃する組織」ではない

もう少し踏み込むと、RansomHouseの実態は、いわゆるハッカー集団のイメージとは少し違います。

侵入する能力を、外から買っています。 2024年8月、米国のCISA・FBI・DC3が連名で出した注意喚起（AA24-241A）に、はっきり書かれています。イランに関係するとされる「初期アクセスブローカー」（企業ネットワークへの侵入経路を売買する専門業者）が、RansomHouseに対して侵入経路を売り、身代金の一部を受け取っていた、と。

つまりこの文書の中で、RansomHouseは侵入経路の「買い手」として登場します。

暗号化ツールも自前ではありません。彼らが使う「Mario」は、2021年に流出した別のランサムウェアのソースコードを改造したものです。

彼ら自身の説明によれば、プラットフォームを使うのは「クラブのメンバー」であり、メンバーはそれぞれ自前のツールで攻撃を行うとされています。

整理するとこうなります。

役割 誰がやっているか
侵入 外部のブローカー、または「メンバー」
攻撃ツール 流出コードの改造、メンバーの自前ツール
リークサイトの運営・交渉・広報 RansomHouse本体

なお、日本語の解説記事の中には彼らを「アフィリエイトを募集する体系的なRaaS（サービスとしてのランサムウェア）」と説明しているものがありますが、この点を裏づける一次資料は確認できていません。断定せずに読むのが安全です。

彼らが売っているのは「評判」

では、侵入もツールも外注しているとしたら、この集団は何を持っているのでしょうか。

公開する場と、「本当にやる」という評判です。

彼らが売っているのは、暗号化を解く鍵ではありません。「払えば本当に消す、払わなければ本当に出す」という信用です。一度でも「公開すると言って公開しなかった」ら、次に脅した企業に無視されます。

だからデータを公開しますし、パスワードなしでダウンロードできる「証拠パック」まで用意します。ハッタリではないと示すためです。

侵入する力もツールも外注できますが、リークサイトの信用だけは外注できません。 そこだけは自分で握る——それがこの集団の輪郭です。

小さく、長く、捕まらない

もう一つ特徴的なのが、規模と生存期間です。

活動開始から4年半で、リークサイトに掲載された被害者は200件弱。これは同業の中では決して多くありません。かつて世界最大とされたLockBitは、20か月で7,000件を超える攻撃に関与したとされています。

にもかかわらず、RansomHouseについては逮捕者も、起訴も、経済制裁の指定も、内部情報の流出も、4年半にわたって一件も出ていません。 代表者の実名も、国籍も、公には一切割れていない状態です。

派手に稼いだ組織ほど、捜査機関に狙われて崩れていきました。RansomHouseは逆を行っています。規模を追わず、細く長く続ける。 結果として、彼らは今も動いています。

そして、少ない件数で成果を上げるために、標的は選ばれていると考えられます。RansomHouseの名前を日本で最初に広めたのは2025年10月のアスクルへの攻撃でした。アスクル、そしてニチレイ。どちらも「止まると多くの企業が困る」会社です。 業務が1日止まるだけで取引先に連鎖する業種は、経営として「早く復旧させたい」という圧力が桁違いに大きくなります。攻撃者から見れば、交渉で有利になりやすい相手ということです。

ちなみに、セキュリティベンダーによって呼び名が違います。トレンドマイクロは「Water Balinsugu」、パロアルトネットワークスのUnit 42は「Jolly Scorpius」という独自の名前で追跡しています。他社の資料を読むときに混乱しないよう、覚えておくと便利です。

手口：アスクル事案が見せた「実際の入口」

ニチレイの侵入経路は公表されていません。同社は攻撃の詳細を明らかにしておらず、現時点で手口を語ることはできません。

ただ、同じRansomHouseが2025年10月に攻撃したアスクルについては、後に調査報告が公開されています。 ここに、この集団がどうやって企業に入るのかがはっきり出ています。

報告によれば、経緯はこうです。

  • 初期侵入は2025年6月5日。ランサムウェアが動いたのは10月19日。4か月以上、社内に潜んでいました
  • 侵入に使われたのは、業務委託先に渡されていた管理者アカウントのIDとパスワードでした
  • そしてその委託先は、多要素認証（MFA）が「例外的に」免除されていたとされています
  • 正規のアカウントでログインされたため異常として検知されず、一部のサーバーはEDR（端末の不審な挙動を監視する仕組み）の対象外でした
  • 最終的に、顧客情報約74万件の流出が確認されています。なお、身代金は支払われていません

この流れを見て、気づくことがあると思います。

ゼロデイ攻撃も、未知のマルウェアも出てきません。 使われたのは正規のIDとパスワードで、正規の手順でログインされています。

破られたのは、最新の防御技術ではありませんでした。運用の緩みです。

「この委託先は事情があってMFAを免除している」「このサーバーは古いのでEDRは入れていない」——どちらも、多くの現場で聞く話です。個々には理由があり、その時点では合理的な判断だったかもしれません。問題は、それが一覧として把握されていないこと、そして免除した理由が今も有効か誰も確認していないことにあります。

4か月という潜伏期間も重要です。侵入した瞬間に何かが起きるわけではありません。攻撃者は静かに社内を調べ、価値のある情報の在り処を把握してから動きます。気づいたときには、すでに何か月も前から見られているというのが現実です。

中小企業は「入口」として狙われる

ここまで読んで、こう思われた方が多いと思います。

「大企業の話でしょう。うちには関係ない」

ここが、この記事で一番お伝えしたいところです。

もう一度、アスクルの侵入経路を見てください。

侵入されたのはアスクルのシステムです。しかし鍵が置かれていたのは、委託先でした。

つまり——

攻撃者から見たとき、中小企業は「本丸」ではなく「鍵の置き場所」です。

大企業を直接攻めるより、その企業とつながっている小さな取引先を経由するほうが、はるかに簡単だからです。委託先には業務のために管理者権限が渡されていることがあり、しかもセキュリティ対策は本体より手薄なことが多い。「例外的にMFAを免除する」といった運用上の緩みも、社外の相手が絡むと発生しやすくなります。

大企業と取引がある。それだけで、あなたの会社には攻撃対象としての価値があります。

これは脅しではありません。立場の話です。自社が持っている情報の価値ではなく、自社が持っている「他社への接続」の価値で狙われる。この構図を知らないままだと、「うちには盗まれて困るものなんてない」という判断で対策を見送ってしまいます。

そして、もし自社が入口になってしまった場合、失うのは自社のデータだけではありません。取引先との関係そのものです。

入口にならないために、確認すべき4点

アスクルの事案が教えてくれるのは、破られたのが技術ではなく運用だったということです。裏を返せば、今日から確認できることばかりです。

① 「例外的に」MFAを免除しているアカウントの棚卸し

多要素認証は導入しているが、一部の相手には例外を認めている——これは珍しくありません。運用上の事情があって免除したまま、そのことを忘れているケースもあります。

免除リストを出してください。 それが今のリスク一覧です。

② EDRが入っていないサーバーの洗い出し

「導入済み」と「全台に行き渡っている」は違います。台数の少ない部門サーバー、検証用サーバー、古い基幹システムなどが対象外のまま残っていないか。

入れたつもりの一覧と、実際の配布状況を突き合わせてください。

③ ログは4か月さかのぼれるか

アスクルの潜伏期間は4か月以上でした。侵入に気づいたとき、4か月前の記録が残っていなければ、何をされたのか調べようがありません。

検知は失敗するものだと考えて、そのうえで追跡できる期間を設計しておく。ログの保持期間は、後から延ばしても過去には戻れません。

④ 報告経路と公表方針を、平時に決めておく

RansomHouseがニチレイをリークサイトに掲載した際、こんな趣旨の文面を添えていました。

我々は長い間あなた方を待っていた。だが貴社のIT部門は、社内で起きたインシデントを隠すことにしたようだ

注目してほしいのは、この文が経営陣に向けて書かれていることです。IT部門を名指しし、その頭越しに経営層へ届ける。「なぜ報告がなかったのか」と社内に不信を生ませ、判断を鈍らせる——そういう狙いが透けて見えます。

攻撃者がこう書くのは、多くの企業でインシデント情報が上に上がりにくいことを知っているからです。これは技術への攻撃ではなく、組織への攻撃です。

インシデントが起きたとき、誰に、何時間以内に、何を報告するのか。決まっていなければ、現場は必ず迷います。迷っている時間が、そのまま攻撃者に有利に働きます。

そして冒頭の話に戻ります。ニチレイは、攻撃者に掲載される前に自分で公表しました。

これは大きな違いです。先に公表していれば、その後の掲載は「既に知られていることの続報」になります。しかし後手に回れば、「隠していたことが暴かれた」という最悪の枠組みで報じられることになります。

公表するかどうか、いつ、誰の名前で——これを有事に議論し始めては間に合いません。平時に決めておくものです。

まとめ

RansomHouseという集団を追いかけると、彼らが特別に高度な技術を持った組織ではないことが見えてきます。侵入経路は買い、ツールは流用し、攻撃はメンバーに任せる。自前で握っているのは、公開する場と「本当にやる」という評判だけです。

手口も同じでした。アスクルで使われたのは未知の攻撃ではなく、委託先に渡されたIDとパスワードです。破られたのは、MFAの例外設定と、EDRの行き渡っていないサーバーでした。

そして、その入口になりうるのが取引先です。中小企業が狙われるのは、持っている情報が価値を持つからではなく、つながっている先が価値を持つからです。

対策として挙げた4点は、どれも地味です。免除リストの確認、EDRの配布状況、ログの保持期間、報告経路の整備。新しい製品を買う話は一つもありません。

けれど、実際に破られたのはそこでした。一番効く対策が、一番地味だというのは、この分野ではよくあることです。

まずは①の「MFAの例外リスト」だけでも出してみてください。おそらく、想像より多いはずです。

参考情報

この記事を書いた人

蔀 啓介（シトミ・ケイスケ）

株式会社SITOP 代表取締役

官公庁・自治体のITインフラ・サイバーセキュリティの大型案件に参画し、時にはエンジニア、時にはPMとして様々な案件を手がけている。Zscaler / Entra ID / Intune を活用したゼロトラスト設計を専門とし、設計から運用移行まで一気通貫で対応。

サイバーセキュリティに関するお困りごとやご不明な点は、SITOPまでご相談ください。

お問い合わせはこちら ▶

関連記事