「銀のさら」最大650万件漏えいか 委託先ランサム被害で預けたデータ取り出せず 点検すべき4項目：セキュリティニュースアラート

宅配すし「銀のさら」などの登録者情報最大約650万件が漏えいした可能性がある。保管を委託していたサーバの運営会社がランサムウェア攻撃を受け、データの取り出しも困難だという。委託先事業者が攻撃されたとき、IT部門は何を確かめておくべきか。

[ITmedia]

　宅配すし「銀のさら」などを展開するライドオンエクスプレスホールディングスは2026年10月13日、「銀のさら」「釜寅」「すし上等」の公式サイトと公式アプリの登録者情報を保管していたサーバがサイバー攻撃を受け、個人情報が漏えいした可能性があると発表した。確定ではないものの、漏えいの可能性がある件数は最大で約650万件に上るとしている。

　同社によると、10月5日以降、同社が利用するサーバへの第三者による不正アクセスを検知し、調査を始めた。10月7日早朝には一部のサーバでシステム障害が発生した。同社はサーバの運営会社からランサムウェア攻撃を受けたとの報告を受け、システムを停止した。その後、運営会社に保管を委託していたデータについて、取り出しや復元が困難だとの報告も受けたという。

　公式サイトと公式アプリからの注文は停止しており、10月13日時点で再開の見通しは立っていない。ランサムウェア攻撃を受けたと発表したのは、同社がデータの保管を委託していたサーバの運営会社だ。

　自社が同様の事態に陥らないために、IT部門は何を確かめておくべきか。

委託先の被害、自社が確かめるべき項目は？

　まず今回の発表内容を確認する。漏えいの可能性があるのは、氏名や住所、電話番号などの登録情報と注文履歴だ。パスワードのハッシュ値も対象に含まれる。家族情報や配送先住所を入力していた場合は、それらの情報も対象に含まれる。クレジットカード情報は同社が保有していないため、対象外だ。同社は個人情報保護委員会と管轄の警察署に報告しており、現時点で不正利用による二次被害は確認されていないとしている。

　ライドオンエクスプレスホールディングスの事案と、「ITmedia エンタープライズ」が報じてきたランサムウェア被害の事例や調査を照らし合わせると、点検すべき主な項目として、次の4つが挙げられる。

1. バックアップ：　実際に復元できるかを確かめているか
2. 認証：　委託先のアカウントも含めて多要素認証を適用しているか
3. 検知：　侵入の予兆や防御策の無効化に気付けるか
4. 業務継続：　システムが停止した後も業務を続ける手順があるか

　1つ目はバックアップだ。ライドオンエクスプレスホールディングスは、保管を委託していたデータの取り出しや復元が困難との報告を受けた。調査会社のガートナージャパンは2025年11月、バックアップそのものが攻撃対象になる点を挙げ、復旧能力を定期的に確かめる運用を含めてバックアップ戦略を見直すよう求めた（「ランサム被害の8割超が復旧失敗　浮き彫りになったバックアップ運用の欠陥」）。

　2つ目は認証だ。通販事業を手掛けるアスクルが公開した報告書では、例外的に多要素認証を適用していなかった業務委託先の管理者アカウントのIDとパスワードが漏えいし、不正利用されたことが確認されている（「守ったつもりが、守れていなかった　アスクルのランサム被害報告書の衝撃」）。

　3つ目は侵入の検知だ。ライドオンエクスプレスホールディングスも10月5日以降に不正アクセスを検知して調査を始めていたが、10月7日早朝にはシステム障害が発生した。アスクルの事案では、攻撃者がEDR（Endpoint Detection and Response）などのセキュリティ対策ソフトを無効化した上で、侵入範囲を広げていた。地方独立行政法人岡山県精神科医療センターでは、初期侵入の前から「Active Directory」サーバに原因不明の障害が起きていたことが調査報告書に記されている（「どこを読んでも学ぶとこしかない　岡山県の病院のランサム被害報告書を徹底解説」）。

　4つ目はシステム停止後の業務継続だ。ライドオンエクスプレスホールディングスは10月8日以降、電話と店頭、「出前館」「Uber Eats」での注文の受け付けを継続している。警察庁が2025年9月に公開した「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（注1）によると、ランサムウェア被害に遭った企業・団体へのアンケートで、サイバー攻撃を想定したBCP（事業継続計画）を整備済みの組織は6％だった。

（注1）「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（警察庁）

　神戸大学の森井昌克氏（名誉教授）は、「ランサムウェア対策“優等生”企業でなぜ被害拡大？　想定外を招いた『勘違い』」の記事で、BCPを定めるだけでなく、現場が計画に沿って動けるように訓練を重ねる必要があると指摘している。

　ライドオンエクスプレスホールディングスは再発防止策として、情報セキュリティ体制の強化に取り組むとしている。今回の事案は、データを外部に預けている限り、委託先の被害が自社の業務停止に直結し得ることを示した。4つの項目は、自社のシステムだけでなく、委託先との契約や運用にも当てはめて点検しておきたい。