ニップンのサイバー攻撃から学ぶランサムウェア対策

「バックアップさえ取っていれば、攻撃されても大丈夫」。

そう考えていないでしょうか。

2021年7月、食品を手がける株式会社ニップンが、サーバーの大部分を一斉に暗号化されるサイバー攻撃を受けました。

報道ではランサムウェア被害として扱われています。

ランサムウェアとは: 会社のデータを勝手に暗号化して使えなくし、「元に戻してほしければお金を払え」と要求する攻撃です。

なお、ニップン自身はこの言葉を使わず、お金の要求の有無も公表していません。

「大企業の話で、うちには関係ない」と感じるかもしれません。

この記事は、中小企業の経営者や、IT専門の担当者がいない会社の方に向けて書いています。

読み終わる頃には、何が起きたのか、なぜ決算が3か月止まったのか、自分の会社を今日から守る方法がわかります。

内容は、会社の公式発表や法定の報告書など、出どころを確認できる情報がもとです。

ニップンで起きたことを、数字で見るとこうなります。

ニップンのサイバー攻撃被害を数字で見る

• グループ 26社 が使う財務会計システムと、11社が使う販売管理システムが停止
• データの控え（バックアップ）を管理するサーバーも同時に被害を受け、復旧に有効な技術的手段が見つからないと報告された
• 四半期報告書の提出は、8月16日から 11月15日へ約3か月延期
• 翌年、会社は自社の管理の仕組み（内部統制）を「有効でない」と自ら訂正した

ニップンのサイバー攻撃で何が起きたのか

2021年7月7日の未明、ニップンのグループ会社が管理するネットワークで、大部分のサーバーと一部のパソコンが、同時に暗号化される攻撃を受けました。

会社は同じ日の午前中に、被害を食い止めるため全サーバーを停止し、社内外のネットワークを遮断しています。

被害は、お金の流れを管理する財務会計や、受注・売上を管理する販売管理といった中枢システムに及び、書類やデータをためるファイルサーバーも暗号化されました。

一方で、工場の生産管理システムの一部など、ネットワークから独立して置かれていたサーバーは無事でした。

ニップンは「正常な操業を続けており、これまで通りの供給を維持しております」と公表しています。

つまり、工場は動いているのに、会社の「帳簿」が丸ごと開けなくなったのです。

家にたとえると、帳簿や通帳をしまった金庫のカギを勝手に取り替えられ、控えのノートまで同じ金庫に入っていた、という状態です。

伝票のデータが取り出せず、決算の数字がまとめられなくなりました。

時系列で見る

同じような事案の流れは、サイバー攻撃の事例一覧でも確認できます。

犯人はどうやって入り込んだのか（公表されている範囲）

侵入経路は公表されていません。 どこから、どうやって入られたのかは、公表資料からは分からないままです。

分かっているのは、その背景にあった会社の課題です。

内部統制とは: 会社が業務やお金の流れを正しく管理できているかを、自ら点検する仕組みのことです。

ニップンが翌年に提出した内部統制報告書の訂正報告書には、根本原因の調査結果が書かれています。

指摘されたのは「サイバーセキュリティに係るシステムの技術的な脆弱性対応が十分にできていなかった」という点。

つまり、システムの弱点を直す対応が間に合っていなかった、ということです。

さらに同じ報告書は、背景にあった組織の課題を3つ挙げています。

• セキュリティに関する社内ルール（ポリシー）が十分に整っていなかった
• 誰が指示し、誰が責任を持つのかという体制があいまいだった
• 経営層の主導による管理体制や、人材・投資といった経営資源の確保が不十分だった

技術の穴だけでなく、経営の課題として総括されたのです。

なお、2020年12月に経済産業省がサイバーセキュリティ強化の注意喚起を出しており、ニップンはリスクを認識していたものの「その対応強化が遅れることとなりました」と自ら記載しています。

攻撃者が誰かは公表されておらず、この記事でも断定しません。

どれくらいの被害が出たのか

いちばん重かったのは、データの控えまで同時に失われたことです。

外部専門家の調査では、サーバーの大部分が暗号化されて起動できず、バックアップを管理するサーバーも同じ状態で、「データの復旧に有効な技術的手段も現状確認されていない」と報告されました。

被害の範囲は次のとおりです。

• 財務管理・販売管理など、会社の中心となるシステムのサーバーとファイルサーバーの広い範囲
• グループ26社が使う財務会計システムと、11社が使う販売管理システム
• 上場子会社のオーケー食品工業も決算発表を延期
• 企業情報・個人情報の一部が流出した可能性を公表（件数は非公表。報道ベース）

参考: 決算への影響は第1四半期だけで終わらず、年末には第3四半期の報告書も提出延長になっています（報道ベース）。

ニップンの対応から学べること

ニップンは、対策を何もしていなかった会社ではありません。

ウイルス対策ソフトや不正侵入の検知システム、管理者アカウントの使用制限などを行っていたと自ら公表しており、財務報告のデータシステム自体は守られて「財務データの改ざんはなかった」とも評価しています。

バックアップについても、災害に備えてデータセンターを分散させ、控えを保管していました。

それでも会社自身の評価では、「一度の攻撃でサーバーの大半が同時攻撃を受けた」ことで、想定していた事態を大きく上回ったとしています。

それでも、防げなかったのです。

ここから学べることを、3つに絞ります。

• 控えは同じ場所に置かない。 本体と同じネットワークにあると一緒に暗号化される。切り離した場所にも控えを持ち、実際に戻せるか試しておく
• 道具だけでは足りない。 ニップンが翌年自ら「有効でない」と訂正したのは、ルール・体制・投資という経営の側の備えだった
• 管理業務が止まると影響は数か月続く。 生産・供給は続いたが、決算という業務が約3か月止まった

自分の会社を守るために、今できること

侵入経路が公表されていない事案なので、「この機器を直せば安心」という答えはありません。

それでも、ニップンの事例から自社に引きつけて確認できることはあります。

今日の3問

保守会社やIT担当者に、次の3点を聞いてください。

決まった相手がいない場合は、パソコンやサーバーを購入・設置した業者で構いません。

• バックアップの控えは、普段のサーバーやネットワークから切り離した場所にもあるか。実際に戻す練習をしたことがあるか
• サーバーやソフトの修正プログラム（更新）は、誰がいつ当てたか、記録で分かるようになっているか
• すべてのサーバーが同時に止まったとき、どの業務がどれくらい止まるか、書き出したことがあるか

あわせて、後日ゆっくり確認したい項目です。

• セキュリティの社内ルールが文書になっているか
• 緊急時に「誰が判断し、誰が対応するか」が決まっているか
• 管理者アカウントの使用が制限されているか
• 社外から社内につなぐ仕組み（VPNやリモート接続の機器）を一覧にしてあるか
• セキュリティにかける予算を、経営として毎年見直しているか

答えられない項目が1つでもあれば、今週中に保守会社へ点検を依頼してください。

自分でまず見るなら、無料のセキュリティチェックで現状を確かめられます。

専門業者に頼む場合の脆弱性診断の費用感も参考にしてください。

参考にすべき一次情報・公的資料

まず読むならこの1本:

• 株式会社ニップン「内部統制報告書の訂正報告書」（第197期）（PDF）— 根本原因の分析と再発防止策がまとまった法定開示

さらに詳しく:

• 株式会社ニップン「2022年3月期第1四半期連結決算発表の延期に関するお知らせ」（PDF）
• 株式会社ニップン「2022年3月期第1四半期報告書の提出期限延長に関する承認申請書提出のお知らせ」（PDF）
• piyolog「BCP想定を上回ったニップンへのサイバー攻撃についてまとめてみた」
• 日経クロステック「ニップンのシステム障害で情報流出の可能性、決算発表も延期」