2026年7月21日、ニチレイへのサイバー攻撃について、新たな動きが確認されました。
ランサムウェア犯罪グループ”RansomHouse（ランサムハウス）”が、自らのリークサイト上でニチレイへの犯行を主張したのです。
現時点では、この犯行声明は攻撃者側による一方的な主張であり、ニチレイがRansomHouseの関与を公式に認めたものではありません。
しかし、リークサイトの内容を分析すると、攻撃者がどのような手順で被害企業へ圧力を掛け、交渉を進めていくのか、その一端が見えてきました。
発覚から犯行声明まで──攻撃者と防御側が交差した8日間
今回のニチレイ事案では、攻撃そのものよりも**「発覚から犯行声明まで」**の流れが非常に興味深いものとなっています。
2026年7月13日
ニチレイは、物流システムに障害が発生したことを公表しました。
この時点では、システム障害の背後にサイバー攻撃が存在する可能性が浮上した段階であり、防御側は影響範囲の把握とシステムの隔離、原因調査を開始したものと考えられます。
同日付で、RansomHouseのリークサイトにはAction Date：2026年7月13日と表示されています。
攻撃者がこの日を「作戦の節目」と認識していたことがうかがえますが、この日付が暗号化や侵害完了、あるいは交渉開始を意味するのかについては、現時点では断定できません。
7月15日～16日
ニチレイは、不正アクセスによるサイバー攻撃であることを公表するとともに、個人情報漏えいの可能性についても明らかにしました。
一方で、防御側は被害拡大を防ぐため、関連システムを停止・隔離しながら復旧作業を進めていきます。
ここは、攻撃者が侵入後に自由に活動していた段階から、防御側が主導権を取り戻そうとする局面へ移行した重要な転換点と見ることができます。
7月17日以降
物流システムは段階的な復旧が始まりました。
一方で、RansomHouse側からは直ちにデータ公開は行われず、交渉期間が設けられていたものと推測されます。
この期間は、企業側が復旧と調査を進める一方、攻撃者は交渉の行方を見極めていた可能性があります。
7月21日
発覚から約8日後、RansomHouseはリークサイト上でニチレイへの犯行を主張しました。
サイトには専用ページが設けられ、
- Status：EVIDENCE
- Action：Encrypted
- Action Date：2026年7月13日
が表示されるとともに、ニチレイ経営陣へ向けたメッセージが掲載されました。
この時点でも、Full Data Dumpは公開されておらず、Evidence Packのみが確認されています。
RansomHouseとは何者なのか
今回、ニチレイへのサイバー攻撃について犯行を主張したのは、**RansomHouse（ランサムハウス）**と名乗るサイバー犯罪グループです。
RansomHouseは2021年頃から活動が確認されているランサムウェア犯罪グループで、企業ネットワークへ侵入し、機密情報を窃取したうえで、リークサイトを利用して被害企業へ圧力を掛ける手法で知られています。
近年では、データ窃取だけでなく暗号化を伴う攻撃も確認されており、多重脅迫（Double Extortion）型のランサムウェアグループとして認識されています。
今回も、ニチレイ専用のページがリークサイト上に作成され、
- Status：EVIDENCE
- Action：Encrypted
- Action Date：2026年7月13日
が表示されていました。
さらに、ニチレイ経営陣へ向けた英文メッセージも掲載され、攻撃者との交渉を促す内容となっています。
「Evidence Pack」という特徴的な公開手法
今回、ネット探検ラボが注目したのは、RansomHouseが採用しているEvidence Packという公開方式です。
Evidence Packを開くと、「Index of /」というディレクトリ一覧が表示され、攻撃者が窃取したと主張するファイルの一部を閲覧できる状態となっていました。
これは、単にデータを公開することが目的ではなく、
「実際に情報を取得している」
ことを被害企業へ示し、交渉を有利に進めるための心理的圧力として機能していると考えられます。
他の被害企業との比較から見えてきたこと
ネット探検ラボでは、RansomHouseによる他の被害企業についても継続的に観察しています。
その結果、Full Data Dumpが公開されている事例では、
/proof//full/
というディレクトリ構造が確認されました。
一方、現時点のニチレイではEvidence Packのみが公開されており、/proof/や/full/は確認されていません。
現時点で確認した範囲では、Full Data Dumpが公開されていない企業では/proof/ディレクトリも確認されておらず、RansomHouseが
Evidence → Proof → Full Data Dump
という段階的な公開・交渉モデルを採用している可能性が考えられます。
もっとも、これは複数事例の比較から得られた現時点での分析・仮説であり、今後も継続的な観察によって検証していく必要があります。
被害企業へのメッセージが意味するもの
RansomHouseはリークサイト上で、ニチレイ経営陣へ向けた英文メッセージも掲載しています。
メッセージの内容は、「企業からの連絡を待っている」「機密情報やプロジェクト資料が公開される前に交渉に応じるよう求める」といった趣旨で構成されており、被害企業に対して交渉を促す内容となっています。
もちろん、そこに書かれている内容は攻撃者側の一方的な主張であり、事実として受け取ることはできません。
しかし、このメッセージからは、RansomHouseが単にデータを公開するだけではなく、リークサイトそのものを被害企業との交渉の場として運用していることが読み取れます。
ネット探検ラボでは、こうしたメッセージも攻撃者の「交渉戦術」の一部として位置付けています。
サイバー攻撃は、システムへの侵入だけで終わるものではありません。
侵入後、被害企業にどのような心理的圧力を掛け、交渉へ持ち込もうとしているのか。その一連のプロセスを理解することも、防御側にとって重要な教訓になると考えています。
コメント