【日本】ニップン、サイバー攻撃で基幹システム復旧できず。四半期決算の発表も延期

　ニップン（旧社名は日本製粉）は8月16日、7月7日未明から異例の規模のサイバー攻撃を受けた結果、8月5日に予定していた2022年3月期第１四半期報告書の公表を、11月15日まで延期すると発表した。関東財務局へ申請する。サイバーセキュリティ起因で、決算が発表できない事態に陥った。

　同社の発表によると、7月7日未明から同社システム子会社のニップンビジネスシステムで運用するグループの情報ネットワークが、大部分のサーバー及び一部の端末で、同時多発的にサイバー攻撃を受け、システム障害が発生。防衛のためサーバーへのアクセスを遮断したところ、サーバーに一切アクセスできなくなった。

　システム障害の対象は、「被害対象は当社単体の財務管理、販売管理といった主要な基幹システムサーバーやデータが保存されているファイルサーバーを含め広範囲に及び、グループネットワーク内で運用している国内グループ会社の販売管理システム（11 社利用）と財務会計システム（26 社利用）もその対象となり、その中には上場子会社であるオーケー食品工業株式会社も含まれて」いるという。ネットワーク上独立していた生産管理システム等には影響がなかった。

　被害の状況では、外部専門家の調査によると、「障害の対象となる情報システムのいずれにおいても、サーバーのボリュームもしくはサーバーの内部に格納された電子ファイルの大部分に暗号化が施されており、システムの起動そのものが不可能であること、サーバーの早期の復旧に有効な技術的手段が現状確認されていないこと、さらに、システムのデータバックアップを管理するサーバーにおいても同様の状況であり、データの復旧に有効な技術的手段も現状確認されていないことが報告され」たという。

　同社では、BCPの一環として、サーバーを分散配置していたが、同時攻撃を受けたことで、BCPの想定を上回った。サイバーセキュリティ対策としては、ファイアーウォールは外部のマネージドサービス会社に業務を委託。専門的立場から助言や設定見直しが必要な場合は提案を受ける仕組みが構築されていたが突破された。さらに、社外とのネットワーク接続においては、特権アカウントの使用制限や外部装置書き出しチェックなどのセキュリティ監視活動を行っていた。

　復旧までには「本件のようなこれほど広範囲に影響を及ぼす事案は例がなく、復旧、安全性の構築までには相応の時間と労力を要するとの報告も別途受けて」いるとした。

　決算業務については、同社単体と一部のグループ会社が利用している財務会計システムを別環境にて構築。9月上旬の利用開始を目指す。その後、データ取り込みや伝票入力作業を再開する。他の国内グループ会社の情報は、バックアップデータが被害を受けなかったことから、安全性確認の上、障害前の状態に戻し、8月中に決算処理を再開する。連結会計システムは新規導入する。会計情報に連動している販売管理システムも復旧作業が必要。

　入力作業では、必要なデータの中で容易に復元・収集できないものについては、各事業所に対して必要な資料の作成を依頼する。経理部門以外の部署からの応援人員を確保し、伝票入力作業でも外部人材を活用する。

　今後の見通しでは、10月中旬を目処に単体及びグループ会社単体の第1四半期決算を完了。連結財務諸表を作成するまでの期間はそこから1か月をかけ、四半期レビューでは、監査法人は完成を待たずに可能なところからレビューを進める。11月15日には、2022年3月期第1四半期連結財務諸表の作成及び会計監査人のレビューを完了し、報告書を提出する予定。それまでに同四半期の決算発表も行うという。

【参照ページ】2022年3月期第1四半期報告書の提出期限延長に関する承認申請書提出のお知らせ
【参照ページ】2022年3月期第1四半期連結決算発表の延期に関するお知らせ

株式会社ニューラル サステナビリティ研究所