銀のさら運営会社、ランサムウェア攻撃で最大約650万件の情報流出の可能性を公表

宅配3ブランドの顧客情報が流出の危機に

ライドオンエクスプレスホールディングスは2026年10月13日、外部サーバーへのサイバー攻撃を受け、「銀のさら」「釜寅」「すし上等」の公式ウェブサイトやアプリを通じて登録された個人情報が最大約650万件、流出した可能性があると発表した。対象となる可能性がある情報には、住所、電話番号、生年月日、パスワードのハッシュ値、注文履歴が含まれる。

同社は、攻撃者が情報を取得したとは確認していない。発表時点で調査担当者は流出を示す明確な証拠を発見しておらず、情報が外部に漏れたかどうかや、関係する情報の量も確定していない。650万件は影響を受けた可能性がある記録の最大数であり、盗まれたことが確認された記録数や、人数を示すものではない。

ライドオンエクスプレスホールディングスは、第3報で、サーバー運営会社からランサムウェア攻撃の報告を受け、その後、委託していたデータの取得や復旧が困難だと通知されたと説明した。3ブランドの公式ウェブサイトとスマートフォンアプリでの注文受付は停止したままで、再開時期は発表されていない。

同社は10月13日付の第2報でも情報流出の可能性を公表した。10月8日の第1報に続く発表となる。同社は顧客や取引先など関係者に謝罪し、流出の有無や範囲が調査で確定していないものの、影響を受けた可能性がある顧客に通知することを決めたと述べた。

今回の公表により、当初10月7日にサービス障害として発表された事案の影響範囲が広がった。顧客が家族や配送先の情報を入力していた場合、アカウント保有者以外の情報も対象となる可能性がある。一方、同社によるとクレジットカード情報は保有していないため、対象外だという。

事案の経緯

同社の説明によると、注文システムが停止する前から事案は始まっていた。ライドオンエクスプレスホールディングスは、10月5日以降に利用していたサーバーへの第三者による不正アクセスを検知し、攻撃経路や被害の可能性について調査を開始した。

10月7日早朝、一部サーバーでシステム障害が発生した。サーバー運営会社からランサムウェア攻撃の報告を受け、ライドオンエクスプレスホールディングスは同日中にシステムを停止し、緊急対策チームを設置した。同チームは情報流出の可能性を調査するとともに、顧客への被害拡大を防ぐ対策を検討し始めた。

• 2026年10月5日以降：不正アクセスを検知し、攻撃経路や被害の可能性について調査を開始。
• 10月7日：早朝に一部サーバーで障害が発生。運営会社からランサムウェア攻撃の報告を受け、ライドオンエクスプレスホールディングスはシステムを停止し、緊急対策チームを設置。
• 10月8日以降：電話注文、店舗での持ち帰り注文、「出前館」と「Uber Eats」経由の注文は利用可能。公式ウェブサイトのメニュー閲覧や店舗検索も利用できた。
• 10月13日：流出やその範囲が確定していないものの、最大約650万件の情報が流出した可能性を公表。

同社は、10月13日の公表は緊急対策チーム内での協議を経たものだと説明した。情報が盗まれたと確認されるまで待つのではなく、調査が継続中の段階で、影響を受けた可能性がある顧客に知らせることを決めた。

影響を受ける可能性がある情報

流出の可能性があるのは、3ブランドのいずれかの公式ウェブサイトやアプリに過去に情報を登録した人。同社の発表は、最近注文した人や現在利用中の顧客に対象を限定しておらず、対象となる最も古い登録時期も明らかにしていない。

対象となる可能性がある情報として、氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、「デリポイント」の会員IDが挙げられている。デリポイントは3ブランド共通のポイントサービス。

顧客が家族の氏名や誕生日を入力していた場合、それらの情報も影響を受ける可能性がある。配送先として入力された氏名、住所、電話番号も対象となり得る。そのため、アカウント保有者が情報を入力していれば、本人がアカウントを作成していなくても影響を受ける可能性がある。

「出前館」「Uber Eats」または電話だけで注文した顧客は、公表された対象範囲に含まれない。ここで重要なのは「だけ」という点だ。過去に公式ウェブサイトやアプリにも情報を登録していた場合、これらの注文経路を利用していても対象外にはならない。

パスワードに関する注意点

ライドオンエクスプレスホールディングスは、影響を受ける可能性があるデータにパスワードのハッシュ値を挙げている。同社は、この情報は暗号化されており、保存された状態では読み取れないと説明している。パスワードのハッシュ値とは、通常の文字列として記録されたパスワードではなく、変換された形式の情報だ。

第2報に記載された正確な文言は、「パスワードは暗号化されており、そのままでは読み取りできない情報です。」だ。英語では「パスワードは暗号化されており、そのままでは読み取れません」という意味となる。

この違いにより、保存された値を攻撃者がすぐに利用することは難しくなるが、すべてのパスワードが安全だと確認されたわけではない。ハッシュ化の方法やパスワードの内容によっては、攻撃者が候補を試して一致するものを探す可能性がある。発表ではハッシュ化の方法やその他の技術的な保護策が明らかにされていないため、こうした試みに対する耐性を具体的に評価することはできない。

クレジットカード情報が対象外であることは、これとは別の点だ。同社は同情報を保有していないため、今回の流出可能性の対象に含まれないとしている。一方、連絡先や配送先住所、注文履歴に関するリスクがなくなるわけではなく、これらの情報を悪用すれば、不正なメッセージを本物らしく見せかけることができる。

現在利用できる注文方法

サービスが停止していても、注文方法がすべて利用できなくなったわけではない。ライドオンエクスプレスホールディングスによると、10月8日以降、顧客は電話注文、店舗での持ち帰り注文、「出前館」または「Uber Eats」経由の注文を利用できた。

公式ウェブサイトのメニュー閲覧と店舗検索も利用可能だった。ウェブサイトの注文機能は停止していたものの、商品を確認したり、店舗を探したりすることはできた。

公式スマートフォンアプリからの注文も利用できなかった。10月13日の発表時点で、同社は公式の注文経路2つの再開時期を見通せておらず、進展があれば発表するとした。つまり、メニューの閲覧や店舗検索はできるが、注文を完了するには現在も利用できる注文経路を使う必要がある。

注意喚起と専用問い合わせ窓口

ライドオンエクスプレスホールディングスは、個人情報の悪用による二次被害を確認していないとした。それでも、不審な電話やメール、特にパスワードを尋ねるものや、見慣れない件名、予期しない内容のメッセージには注意するよう顧客に呼びかけている。

同社は、不審なメールには返信したり、記載されたリンクをクリックしたりせず、削除するよう助言している。この注意喚起は情報流出によって起こり得る事態へのものだ。今回の事案に関連した特定の詐欺メッセージがすでに確認されたことを示すものではない。

同社は、顧客情報相談窓口を0120-782-272に開設した。公表された受付時間は、11月15日までは毎日午前10時から午後8時まで、11月16日以降は平日の午前10時から午後8時まで。

第2報には、別途、法人向けの問い合わせ先として、取締役兼常務執行役員の渡邊一正（Kazumasa Watanabe）氏と電話番号03-5444-3625が記載されている。顧客相談窓口とは異なる連絡先だ。

ライドオンエクスプレスホールディングスは、影響を受けた可能性がある顧客に対し、順次、謝罪と案内を送るとも述べた。通知の完了時期は示していない。過去の登録情報が今回の注意喚起の対象に含まれるか気になる人は、専用窓口に問い合わせることができる。

別のクラウド障害で495組織に影響

同じ時期に、IDCフロンティアの「IDCFクラウド」サービスでもランサムウェアによる事案が発生した。同社はソフトバンク傘下で、同サービスの基盤を運営している。障害は495の企業・団体に影響し、共用クラウドサービスの障害が、互いに独立した多くの事業にも支障を及ぼし得ることを示した。

10月7日午前3時40分ごろ、基盤の一部である東日本リージョン1の一部仮想サーバーが停止した。仮想サーバーとは、共有の物理インフラ上で動作するコンピューター環境のこと。IDCフロンティアは、影響を受けたゾーンに保存されたデータの取得や復旧は困難だと説明した。

IDCフロンティアは、第三者による攻撃を検知したこと、またその攻撃がランサムウェアによるものだったことを確認した。影響を受けた東日本リージョン1は福島県白河市にある。同社によると、確認された影響は当時このリージョンに限られており、他の地域の安全性についても確認していた。

障害はウェブサイト以外にも及んだ。水産食品大手ニッスイの物流子会社は、全国17カ所すべての物流センターで商品の受け入れと出荷ができなくなったと発表した。茨城県の自治体や警察本部のウェブサイトにもアクセスできなくなった。

IDCフロンティアは、さらなる被害を防ぐために影響を受けたシステムを停止し、情報流出の有無を確認しているとした。ただし、ライドオンエクスプレスホールディングスはサーバー運営会社を特定していない。発生時期が近いことやデータ復旧に関する警告があったことだけでは、同社の事案がIDCFクラウド上で発生したとは確認できない。

確認されたことと未解決の問題

ライドオンエクスプレスホールディングスの説明で確認されているのは、不正アクセスの検知、サーバー障害、運営会社によるランサムウェア攻撃の報告、システムの停止、保存データの取得や復旧が困難なことだ。個人情報が実際に外部へ流出したかどうかは、依然として確認されていない。

データにアクセスできなくなることと、データが盗まれることは別の結果だ。ランサムウェアは正当な利用者がファイルやシステムにアクセスできない状態を引き起こすことがある一方、情報流出とはデータが権限のない第三者に渡ることを指す。一方の証拠があっても、もう一方があったことの証明にはならない。この違いがあるため、同社は重大なサービス障害を報告しながら、650万件の記録については流出の可能性があるとしている。

同社は、個人情報保護委員会と管轄の警察署に事案を報告したと説明した。また、情報セキュリティー体制を強化する方針を示したが、具体的な技術的変更や調査の完了時期、復旧日程は発表していない。

第2報では、緊急対策チームがシステムの復旧に取り組み、事業への影響を最小限に抑える対策を講じていると説明した。また、利用可能な注文経路を顧客に案内する体制を整え、通常の営業・サービスに戻るにはさらに時間がかかる見込みだとした。具体的な技術的セキュリティー対策については明らかにしていない。

未解決の問題は明確だ。情報が影響を受けた環境の外に持ち出されたのか、どの記録が関係しているのか、データを復旧できるのか、公式の注文受付はいつ再開するのか。発表では相談窓口の受付時間変更日は示されたものの、これらの問題の解決期限は明らかにされていない。

要点

• 「銀のさら」「釜寅」「すし上等」のウェブサイトやアプリを通じて登録された情報が、最大約650万件、影響を受けた可能性がある。
• 2026年10月13日時点で流出を示す明確な証拠は見つかっておらず、流出の有無や範囲は確認されていない。
• 対象となる可能性があるデータには、連絡先、生年月日、パスワードのハッシュ値、注文履歴、一部の家族や配送先の情報が含まれる。
• クレジットカード情報は対象外。電話、「出前館」または「Uber Eats」だけで注文した顧客は、公表された対象範囲に含まれない。
• 公式ウェブサイトとアプリでの注文受付は停止中だが、電話、店舗での持ち帰り、外部の宅配プラットフォームでの注文は可能。
• 顧客相談窓口は0120-782-272。公表された受付時間は午前10時から午後8時まで。
• 別のIDCフロンティアのクラウド事案は495組織に影響したが、ライドオンエクスプレスホールディングスはサーバー運営会社を公表していない。