概要
ニチレイグループは2026年7月13日（月）にサイバー攻撃によるシステム障害を検知し、72時間後の7月17日（木）には業務の段階的再開を果たしました。本記事では、この72時間の対応ステップをMicrosoft 365/Azure環境に対応させながら、各フェーズでどのMicrosoftセキュリティツールが機能するかを解説します。「ツールを持っているだけでは不十分」という現実も踏まえ、情シス担当者が今日から準備できる内容にまとめています。
目次
- ニチレイの72時間タイムライン
- フェーズ1: 検知・初期対応（0〜6時間）
- フェーズ2: 封じ込め（6〜24時間）
- フェーズ3: 調査・証拠保全（24〜72時間）
- フェーズ4: 復旧（72時間以降）
- Microsoft環境でも見落とされがちなポイント
- 今すぐ確認すべき設定チェックリスト（Microsoft環境向け）
- まとめ
- 出典
1. ニチレイの72時間タイムライン
ニチレイが公表した3回のプレスリリースから、対応のタイムラインを整理します。
| 時間軸 | 日付 | ニチレイの対応 |
|---|---|---|
| 0時間 | 7月13日（月） | 不正アクセスによるシステム障害を検知・公表。発生当日に緊急対策本部を設置。個人情報・顧客データ保護を最優先に、グループ全体のシステムを遮断。 |
| 〜48時間 | 7月13〜15日 | 外部のセキュリティ専門会社と連携し調査を進める。サイバー攻撃を受けたことを確認。被害サーバの一部に個人情報が保管されていたことが判明し、個人情報保護委員会へ報告（漏洩の可能性がある事案として）。 |
| 48〜96時間 | 7月15〜17日 | 外部専門会社による安全確認のうえ、7月17日より冷蔵倉庫入出庫業務・冷凍食品出荷業務を順次再開（受発注は一部制限あり）。来週中の全拠点通常稼働を目指す。 |
このタイムラインは、インシデント対応の基本フレームワーク「検知 → 封じ込め → 調査 → 復旧」に概ね沿っています。以降では各フェーズをMicrosoft環境での対応に置き換えて解説します。
2. フェーズ1: 検知・初期対応（0〜6時間）
ニチレイの対応
不正アクセスを検知した当日に緊急対策本部を設置。最優先事項として個人情報・顧客データの保護を決定し、初動の方向性を固めました。
Microsoft環境での対応
Microsoft Defender XDR（エクステンデッド検知・対応）
Defender XDR は、エンドポイント・メール・クラウドアプリ・IDにわたる不審なアクティビティをリアルタイムで相関分析し、インシデントキューとして一元管理します。異なるソースからのアラートが自動的に1件のインシデントに統合されるため、「どこで何が起きているか」を素早く把握できます。
ニチレイの対応との対応関係: 緊急対策本部設置の前段として、「何が起きているか」を把握する段階に相当します。
Microsoft Sentinel（SIEM/SOAR）
Microsoft Sentinel は、Azure Monitorログ・Microsoft 365ログ・サードパーティツールのログを集約し、AIによる異常検知と自動アラートを提供します。不審な通信パターンや過去のベースラインから外れた行動を検知し、対応チームへ通知します。
注意点: Sentinel は設定しただけでは機能しません。どのデータソースを接続し、どのアラートルールを有効にするかの初期設定が必要です。
Entra ID サインインログ
Entra ID のサインインログでは、地理的異常（日本以外からの突然のサインイン）・通常外の時間帯のアクセス・複数の失敗ログインなどを確認できます。Microsoft 365管理センターまたはEntra管理センターから即座にフィルタリング可能です。
3. フェーズ2: 封じ込め（6〜24時間）
ニチレイの対応
「お客さまおよび取引先の皆さまの個人情報や顧客データなどの保護を最優先」とし、グループ全体で使用しているシステムの遮断措置を実施。これにより冷蔵倉庫の入出庫業務・冷凍食品出荷業務に影響が生じましたが、被害拡大防止を優先しました。
Microsoft環境での対応
Entra ID 条件付きアクセス（Conditional Access）
条件付きアクセスポリシーを使用すると、リスクの高いユーザーやリスクの高いサインイン（Microsoftが機械学習で評価）に対してアクセスをブロックしたり、MFAを追加要求したりできます。インシデント発生時には、影響が疑われるユーザーグループのアクセスを一時的に全ブロックすることも可能です。
ただし、このポリシーは事前に設計・テストされていなければ、緊急時に安全に適用できません。平時の設定が重要です。
Microsoft Defender for Endpoint（デバイス分離機能）
Defender for Endpoint には、感染が疑われる端末をネットワークから即座に切り離す「デバイス分離」機能があります。管理コンソールから1クリックで対象デバイスをネットワーク遮断でき、ニチレイが実施したような「システム遮断措置」をデバイス単位で実行できます。
Microsoft Purview（データ保護・DLP）
Microsoft Purview のデータ損失防止（DLP）ポリシーを使用すると、機密データがメールや外部ストレージに流出しようとするタイミングでブロックできます。インシデント発生後は、アクティビティエクスプローラーで誰が何のデータに触れたかを確認し、流出経路の特定に役立てます。
4. フェーズ3: 調査・証拠保全（24〜72時間）
ニチレイの対応
外部のセキュリティ専門会社と連携し、サイバー攻撃を受けたことを確認。被害サーバの特定・個人情報の保管状況の確認を進め、個人情報保護委員会へ報告しました。攻撃の詳細については「さらなる被害の拡大を防ぐため」として非公開とされています。
Microsoft環境での対応
Microsoft Sentinel ログ分析（KQLクエリ）
Sentinelに蓄積されたログを KQL（Kusto Query Language） で検索することで、攻撃者の侵入経路・横断移動の痕跡・データアクセスの証跡を特定できます。「最初に侵害されたアカウントはどれか」「いつからアクセスされていたか」「どのファイルに触れたか」を時系列で再構成できます。
重要: KQLによるログ分析が機能するのは、ログがあらかじめ収集・保存されていた場合のみです。Microsoft 365の監査ログは、デフォルトでは保存期間が90日（E3ライセンス相当）または180日（E5ライセンス相当）に設定されており、それ以前のログは取得できません。
Microsoft Defender for Identity
Active DirectoryおよびEntra IDへの横断移動（ラテラルムーブメント）やPass-the-Hash攻撃などを検知・可視化します。攻撃者がどのアカウントを乗っ取り、どのサーバに侵入したかの「攻撃パス」を把握するために使用します。
Microsoft Purview 監査ログ
Microsoft Purviewの統合監査ログでは、「誰がいつ何にアクセスしたか」をExchange・SharePoint・OneDrive・Teams・Entra IDにわたって横断的に検索できます。個人情報保護委員会への報告資料として、アクセス証跡を正確に取得するために活用できます。
5. フェーズ4: 復旧（72時間以降）
ニチレイの対応
7月17日より、冷蔵倉庫全拠点の入出庫業務および冷凍食品出荷業務を順次再開。外部のセキュリティ専門会社による安全確認を経て段階的に業務を復旧しています。原因および影響範囲については調査が継続しています。
Microsoft環境での対応
Azure Backup / Azure Site Recovery
Azure Backupは、仮想マシン・データベース・ファイル共有などの定期バックアップを自動取得します。Azure Site Recoveryは、感染前のクリーンなスナップショットにシステムをロールバックするために使用します。
重要: バックアップが攻撃者によって暗号化・削除されるケースも増えています。不変バックアップ（Immutable backup） の設定や、バックアップデータへのアクセス制御が重要です。
Microsoft Intune（デバイス管理）
Intuneからデバイスのコンプライアンス状態（OSパッチ適用状況・セキュリティポリシーへの準拠状況）を一覧確認できます。感染が疑われるデバイスに対してリモートワイプを実行し、クリーンなイメージで再展開することが可能です。
Microsoft Secure Score（セキュリティスコア）
インシデント後にMicrosoft Secure Scoreを確認することで、現在のセキュリティ設定の評価と改善推奨項目を得られます。スコアが低い項目（MFAの未適用・管理者アカウントの過剰な権限付与など）が、次のインシデントの入口になるリスクがあります。
6. Microsoft環境でも見落とされがちなポイント
Microsoftのセキュリティツールを導入していても、以下の設定が不十分だと、いざという時に機能しません。
ログの保存期間設定
Microsoft 365の監査ログは、ライセンスによって保存期間が異なります。
| ライセンス | 監査ログ保存期間 |
|---|---|
| Microsoft 365 Business / E3 | 90日 |
| Microsoft 365 E5 / Microsoft 365 E5 Compliance | 最大1年（追加設定が必要） |
| Microsoft Purview Audit（Premium） | 最大10年（オプション） |
インシデント調査では「1か月前から攻撃が始まっていた」というケースも珍しくありません。保存期間が短いと、攻撃の全容解明が困難になります。
アラートの受信者設定と対応フローの事前定義
Defender XDRやSentinelでアラートを設定しても、受信者が設定されていない・見ていない・対応手順がないではアラートは無意味です。「誰が・何のアラートを受けたら・何をするか」を文書化し、演習で確認しておくことが必要です。
MFAの未適用アカウントの存在
Entra IDのサインインリスク機能も、MFAが設定されていないアカウントにはリスクベースのチャレンジが機能しません。特に管理者アカウントや特権ロールが割り当てられたアカウントへのMFA適用は、インシデント対応前の最優先事項です。
7. 今すぐ確認すべき設定チェックリスト（Microsoft環境向け）
以下の項目を情シス担当者が今すぐ確認することを推奨します。
- Microsoft Defender XDR のインシデントキューに担当者が割り当てられているか（未確認のアラートが放置されていないか）
- Entra ID の監査ログ・サインインログの保存期間を確認する（90日未満になっていないか）
- 管理者・特権アカウントすべてにMFAが適用されているか（Microsoft Entra 管理センター > ユーザー > 認証方法から確認）
- 条件付きアクセスポリシーが有効になっているか（ブレークグラスアカウントを除いて全ユーザーに適用されているか）
- Azure Backup の不変設定が有効になっているか（バックアップデータが攻撃されても削除できない状態か）
- Defender for Endpoint のデバイス分離機能が使用可能な状態か（デバイスが管理対象として登録されているか）
- インシデント発生時の連絡体制と対応手順が文書化されているか（緊急連絡先・対応フロー・エスカレーションラインの整備）
8. まとめ
ニチレイは、サイバー攻撃を検知した当日に緊急対策本部を設置し、システムを遮断、外部専門家と連携しながら72時間で業務再開を果たしました。この対応速度は、事前の準備体制があったからこそ実現できたものです。
Microsoft 365/Azure環境を持つ企業であれば、Defender XDR・Sentinel・Entra ID・Purviewといったツールが検知から復旧まで一連のプロセスを支援します。しかし、ツールを導入しているだけでは十分ではありません。
- ログを「取れている状態」にする（保存期間・データソース接続）
- アラートを「見る人・対応する手順」を決める
- MFAと条件付きアクセスを「全員に適用」する
この3点が整っていない状態では、高価なセキュリティツールも「持っているだけ」になります。ニチレイのインシデントを他山の石とせず、自社環境の設定を今一度確認してください。
9. 出典
- 当社グループでのシステム障害発生について（第1報）— 株式会社ニチレイ（2026年7月13日）
- 当社グループでのシステム障害発生について（第2報）— 株式会社ニチレイ（2026年7月15日）
- 当社グループでのシステム障害発生について（第3報）— 株式会社ニチレイ（2026年7月17日）
- Microsoft Defender XDR の概要 — Microsoft Learn
- Microsoft Sentinel とは — Microsoft Learn
- 条件付きアクセスとは — Microsoft Learn
- Microsoft Defender for Endpoint の概要 — Microsoft Learn
- Microsoft Purview の概要 — Microsoft Learn
- Microsoft Defender for Identity とは — Microsoft Learn
- Azure Backup サービスの概要 — Microsoft Learn
- Microsoft Intune とは — Microsoft Learn
- Microsoft セキュリティ スコア — Microsoft Learn