📡 Signal｜ライドオンエクスプレス、「銀のさら」など最大約650万件に漏えいの可能性

宅配寿司「銀のさら」を展開するライドオンエクスプレスホールディングス (東証プライム 6082) は10月13日、子会社が運営する「銀のさら・釜寅・すし上等」の公式サイトと公式アプリの登録者情報が、最大約650万件漏えいした可能性があると公表した。10月5日以降に外部サーバーへの不正アクセスを検知し、7日早朝からシステム障害が続いていた。

ライドオンエクスプレスHD：サイバー攻撃による個人情報漏えいの可能性に関するお詫びとお知らせ (第3報・2026年10月13日)ライドオンエクスプレスホールディングス

650万件は漏えいが確定した件数ではなく、対象になりうる総件数だ。それでも、国内で今月相次いで公表されている大型の漏えいに、食の宅配という日常の注文窓口が加わった。名前・住所・電話番号に注文履歴まで揃う登録情報は、偽メールや偽電話の材料になりやすい。

何が対象になりうるのか

同社の公表によると、対象は過去に公式サイト・公式アプリに情報を登録した人で、項目は次のとおりだ。

氏名、住所、電話番号、メールアドレス、性別、生年月日
注文履歴、デリポイント会員 ID
パスワード (ハッシュ化されており、そのままでは読み取れない形で保存)
家族の氏名・誕生日を入力していた場合はその情報、届け先の氏名・住所・電話番号を入力していた場合はその情報

クレジットカード情報は同社が保有していないため対象外とした。電話だけで注文した人、出前館や Uber Eats 経由で注文した人も対象外だ。同社は現時点で二次被害は確認されていないとしている。

委託先サーバーへのランサムウェア攻撃

同社のお知らせ (第3報) によると、不正アクセスを受けたのは同社が利用する外部のサーバーで、その運営会社からランサムウェア攻撃を受けたとの報告を受けて、同社はシステムを止めた。預けていたデータは取り出しや復元が難しいとの報告も受けている。運営会社の名前は明かしていない。

漏えいの明確な痕跡や範囲はまだ特定できていない。それでも同社は、対象になりうる人に案内したうえで公表すると13日に決めた。個人情報保護委員会と警察にはすでに報告している。東京証券取引所の適時開示では、この13日の発表は「第2報」にあたる (同社サイトのお知らせでは第3報)。

公式サイトと公式アプリからの注文は止まったままで、13日時点で再開の見通しは立っていない。電話注文、店頭のテイクアウト、出前館と Uber Eats は使える。業績への影響は精査中とし、重大な影響が分かれば開示するとした。

委託先から崩れる漏えいが続く

今月の国内の漏えいには、自社のシステムではなく委託先や外部のサービスが入口になった例が目立つ。カラオケの第一興商は、委託先のマルウェア感染で約872万件に漏えいのおそれがあると公表した (10月9日の記事)。規模で並ぶのは、最大約609万件に漏えいの可能性があるとした JR東日本とビューカードだ (同日の記事)。JPCERT/CC と IPA は、手口の類型と経営者向けの点検項目をまとめている (10月10日の記事)。

会員アプリを持つ企業にとって、外部サーバーに預けたデータは自社の帳簿の外にある。今回も、攻撃を受けたのは同社ではなく運営会社のサーバーで、同社は運営会社の報告を受けて動いた。どこに何を預けたかを把握していないと、止めることも数えることも遅れる。

登録者が今できること

同社は、パスワードの入力を求める不審なメールには返信せず、リンクも開かずに削除するよう呼びかけている。不審な電話にも注意が要る。注文履歴と住所が揃った情報は、「注文の確認」や「返金の案内」を装う連絡に使いやすい。同じパスワードを他のサービスで使っている人は、変えておくのが確実だ。

問い合わせ窓口 (0120-782-272) は11月15日まで毎日10時から20時、16日以降は平日の同じ時間に受け付ける。

次に見るもの

確認先は同社サイトのお知らせと、東証の適時開示だ。公式サイトとアプリの注文再開の時期、調査で漏えいの範囲が特定できるかどうか、業績への影響の開示の3点が、次の報で出てくる。件数が「最大」から確定値に変わるかどうかが、この件の重さを決める。

ことば

ランサムウェア — データを暗号化して使えなくし、元に戻すことと引き換えに身代金を求める不正なプログラム。最近はデータを盗み出したうえで公開すると脅す手口が多く、復旧できても漏えいの確認が別に必要になる。
適時開示 — 上場企業が投資判断に影響する出来事を、証券取引所を通じて速やかに公表する仕組み。漏えいやシステム障害は、業績への影響を含めて第1報・第2報と続けて開示されることが多い。

🔗 一次ソース