「銀のさら」のライドオンエクスプレス、会員情報最大約650万件が漏えいの可能性
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不正アクセスの検知: 2026年10月5日以降 / システム障害: 10月7日早朝 / 漏えいの可能性の公表: 10月13日 |
| 対象組織・業界 | 株式会社ライドオンエクスプレス（東京都港区）／宅配寿司「銀のさら」、宅配御膳「釜寅」などのフードデリバリー事業。親会社はライドオンエクスプレスホールディングス（東証スタンダード・6082） |
| 攻撃手法 | サーバーの運営会社が受けたランサムウェア攻撃（侵入経路・運営会社名は非公表） |
| 対象システム | 「銀のさら」「釜寅」「すし上等」の公式サイト・公式アプリの登録情報を保管していた外部のサーバー |
| 漏えいのおそれ件数 | 最大 約650万件（漏えいが確定した件数ではない） |
| 対象情報 | 氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・デリポイント会員ID |
| 影響のない範囲 | コーポレートサイト・管理業務システム・電子メールシステムは通常どおり稼働（10月8日時点） |
| 情報源 | ライドオンエクスプレスホールディングス「第3報」（10月13日）・「第2報」（10月8日）・「第1報」（10月7日）、適時開示「第1報」（10月8日）・「第2報」（10月13日）、INTERNET Watch（10月13日） |
ライドオンエクスプレスホールディングスは2026年10月13日、子会社が使うサーバーがサイバー攻撃を受けたと公表しました。子会社のライドオンエクスプレスは、宅配寿司「銀のさら」などを運営しています。サーバーには、「銀のさら」「釜寅」「すし上等」の公式サイト・アプリの登録情報が保管されていました。
漏えいした可能性がある個人情報は、最大約650万件です。同社は、この件数は漏えいが確定した件数ではないと説明しています。現時点では漏えいの明確な痕跡は見つかっておらず、漏えいの事実と範囲も特定できていません。
対象は、過去に公式サイト・アプリに登録した人です。家族の氏名と誕生日、届け先の氏名・住所・電話番号を入力していた場合は、それらも含まれます。出前館・Uber Eats・電話だけで注文した人は対象外です。クレジットカード情報は、同社が保有していないため含まれません。
サーバーは外部の運営会社が管理していました。同社は運営会社の名前を明らかにしていません。一方で、コーポレートサイトと管理業務システム、電子メールシステムは通常どおり動いていると説明しています。
- 2026年10月5日以降: 子会社が利用するサーバーへの不正アクセスを検知し、攻撃経路などの調査を開始
- 10月7日早朝: 一部のサーバーで障害が発生。運営会社からランサムウェア攻撃を受けたと報告があり、同社はシステムを停止
- 10月7日: 緊急対応チームを設置。公式サイト・アプリが使えないと告知
- 10月8日: 外部サーバーの障害を公表し、適時開示。電話・店頭・出前館・Uber Eatsで注文の受け付けを続ける
- 10月9日: 公式サイトにメニュー一覧と店舗検索を公開
- 10月13日: 個人情報が漏えいした可能性を公表し、適時開示
同社によると、平常時からサーバーへの不正アクセスを検知する体制を整えていました。不審なアクセスを見つけたときは、侵入の有無にかかわらず調査しています。
障害の後、同社は運営会社と外部の専門家の支援を受けて調査を進めました。運営会社からは、預けていたデータの取り出しや復元が難しいと報告を受けています。公式サイト・アプリからの注文は、13日時点で再開の見通しが立っていません。
障害は注文の受け付けにも及びました。10月6日21時までの注文は同社が保管しており、予定どおり配達するとしています。一方、それ以降の注文は、サーバーにつながらず取得できていない可能性があります。同社は該当する人に、店舗へ直接確認するよう求めました。
同社は個人情報保護委員会と警察に報告しました。対象の可能性がある人には、順次お詫びと案内を送るとしています。二次被害は確認されていません。グループの業績への影響は精査中です。
1. 預けたデータの写しを自社でも持つ
Section titled “1. 預けたデータの写しを自社でも持つ”本件のように運営会社側で復元が難しくなると、預け先しか持たないデータは戻せません。再開に要る会員や注文のデータは、写しを自社でも持っておきます。あわせて、別の基盤で立て直す手順を決めておきます。預け先の復旧を待たずに、サービスを再開する道を残せます。
2. お詫びの案内で、自社の連絡手段を示す
Section titled “2. お詫びの案内で、自社の連絡手段を示す”本件の対象項目には、氏名・電話番号・メールアドレスに加えて注文履歴が含まれます。同社は、不審な電話やメールへの注意を呼びかけています。対象者への案内には、自社が連絡に使う名義と番号を具体的に書き、パスワードの入力を求めないことも明記します。案内と同じ時期に届く偽の連絡を、受け取った人が見分けやすくなります。
ヤグラの視点 — 預け先で起きた異常を誰が判断するか
Section titled “ヤグラの視点 — 預け先で起きた異常を誰が判断するか”本件で止まったのは、外部の運営会社に預けていた注文の基盤です。同社のコーポレートサイトや管理業務システム、メールは動き続けていました。同社は自社で不正アクセスを検知して調査を始めていましたが、サーバーの暗号化は運営会社からの報告で知っています。外部の基盤の内側は、利用する側の監視が届きにくい場所です。
そこで、預け先ごとに、自社で見ている範囲と運営会社に任せている範囲を書き出しておきます。そのうえで、運営会社が異常を見つけたときに、何をどの時間内に知らせるかを契約で決めておきます。報告を受けた後に、自社で停止を判断する担当者も決めておきます。
この取り決めがあれば、報告を受けた時点で自社が何を確かめるかが決まります。自社で見られるアクセスやログインの記録を1か所に集めておけば、報告と突き合わせて自社への広がりを確かめられます。（→ ヤグラ AI SOC）
- サーバー運営会社の名称と侵入経路
- 10月5日以降の不正アクセスと、10月7日の障害との関係
- 約650万件の情報が外部に流出したかどうか
- 公式サイト・アプリからの注文の再開時期と、業績への影響
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-14 | 第一報を公開 |
