銀のさら・釜寅・すし上等に不正アクセスによるサイバー攻撃、最大約650万件の個人情報漏えいの可能性―注文サイト・アプリ停止続く|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月13日更新日時: 2026年10月13日

ライドオンエクスプレスホールディングスは2026年10月13日、宅配寿司「銀のさら」、宅配御膳「釜寅」、宅配寿司「すし上等」の公式サイト・公式アプリに登録された個人情報について、最大約650万件が外部に漏えいした可能性があると発表しました。同日公表した第三報によると、登録者情報を保管するサーバーがサイバー攻撃を受け、氏名や住所、注文履歴、パスワードのハッシュ値などが影響対象となる可能性があります。

同社は10月5日以降に不審なアクセスを検知して調査を開始。7日早朝にはサーバー障害が発生し、サーバー運営会社からランサムウェア攻撃を受けたとの報告を受けました。公式サイト・アプリからの注文は停止しており、10月13日時点で再開の見通しは立っていません。

一方、同社は情報漏えいの明確な痕跡や、実際の漏えいの事実・範囲を特定したわけではないと説明しています。最大約650万件は漏えいが確定した件数ではなく、影響を受けた可能性がある情報の総件数です。

銀のさら・釜寅・すし上等へのサイバー攻撃のサマリー

2026年10月13日、ライドオンエクスプレスホールディングスが第三報を公表しました。
影響対象は「銀のさら」「釜寅」「すし上等」の公式サイト・公式アプリに過去に登録した情報です。
個人情報の漏えいの可能性がある最大規模は約650万件。実際の流出件数や対象人数を確定した数字ではありません。
氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員IDが対象項目です。
登録済みの家族の氏名・誕生日、届け先の氏名・住所・電話番号も影響を受けた可能性があります。
10月5日以降に第三者による不正アクセスを検知。7日早朝、サーバー運営会社からランサムウェア攻撃の報告を受けました。
10月13日時点で公式サイト・公式アプリからの注文は停止中。電話・店頭・出前館・Uber Eatsからの注文は利用できます。
クレジットカード情報は同社で保有しておらず、今回の漏えい対象には含まれません。
個人情報保護委員会と所轄警察署に報告済みで、対象となる可能性がある顧客へ順次連絡しています。

項目	10月13日第三報の内容
公表企業	株式会社ライドオンエクスプレスホールディングス
影響するブランド	銀のさら、釜寅、すし上等
公表日	2026年10月13日（第三報）
不正アクセス検知	2026年10月5日以降
システム障害	2026年10月7日早朝
関係する攻撃	サーバー運営会社からランサムウェア攻撃の報告
情報漏えいの可能性	最大約650万件（漏えい確定件数ではない）
対象となる可能性のある情報	氏名、住所、電話番号、メールアドレス、生年月日、性別、パスワードのハッシュ値、注文履歴、デリポイント会員IDなど
注文サービス	公式サイト・公式アプリの注文停止が継続
報告先	個人情報保護委員会、管轄警察署

10月5日から不正アクセスを検知、7日にサーバー障害が発生

同社は、利用するサーバーへの不審なアクセスを検知した際、攻撃経路や被害の有無を調べる体制を設けていると説明しています。10月5日以降に第三者による不正アクセスを検知し、調査を開始しました。

10月7日早朝に一部のサーバーでシステム障害が発生。同社はサーバー運営会社からランサムウェア攻撃を受けたとの発表・報告を受けてシステムを停止しました。さらに、当該運営会社に保管を委託していたデータについて、取り出しや復元が困難であると説明を受けたとしています。

同日、緊急対応チームを設置して情報漏えいの有無を調査。10月8日の第二報では、公式サイト・アプリの障害と代替注文方法を公表していました。10月9日には公式サイトのメニュー一覧と店舗検索を利用できるようにしています。

日付	公表・対応内容
10月5日以降	同社が不正アクセスを検知し、攻撃経路と被害の有無を調査
10月7日早朝	一部サーバーに障害。運営会社からランサムウェア攻撃の報告を受け、システム停止と緊急対応チーム設置
10月8日	第二報を公表。電話・店頭・外部サービスによる注文受付を案内
10月9日	公式サイトでメニュー一覧・店舗検索の提供を再開
10月13日	第三報で、最大約650万件の個人情報に漏えいの可能性があると公表。対象者への通知を開始

今回の第三報ではサーバー運営会社の名称は明示されていません。10月7日にはIDCフロンティアの「IDCFクラウド」でもランサムウェア攻撃による障害が公表されていますが、公表時期の一致だけで同一の被害と断定することはできません。また、ライドオンエクスプレスHDが10月5日以降に検知した不正アクセスと、7日に運営会社が報告した攻撃についても、同一の侵入経路・攻撃者によるものとまでは公表していません。

漏えいの可能性は最大約650万件、家族や届け先の情報も対象

第三報によると、漏えいの可能性がある情報には、登録者本人の基本情報だけでなく、注文履歴も含まれます。宅配サービスの利用履歴は、氏名・住所・電話番号などと組み合わさることで、利用者を装った不審な連絡に使われるおそれがあります。

また、会員が家族の氏名と誕生日を入力していた場合はその情報が、届け先を別途登録していた場合は届け先の氏名・住所・電話番号が、それぞれ漏えいの可能性がある情報に含まれます。会員本人以外の情報が登録されている点も調査対象です。

パスワードについては、同社が「ハッシュ値」を影響項目として挙げ、元のパスワードをそのまま読み取れる情報ではないと説明しています。ハッシュ値は平文パスワードとは異なりますが、方式や強度によっては推測・照合による解析のリスクが残ります。同じパスワードを他サービスでも使用している利用者は、公式の案内を確認し、使い回しを解消することが対策となります。

今回の対象は、過去に3ブランドの公式サイト・公式アプリへ情報を登録した利用者です。会社の発表では、出前館、Uber Eats、電話での注文のみを利用した顧客は対象外とされています。これらのサービスからの注文情報まで漏えいしたと示すものではありません。

公式サイト・アプリからの注文は停止、電話や店頭は受付継続

10月13日時点で停止しているのは、3ブランドの公式サイトおよび公式アプリからの注文機能です。公式サイトのメニュー一覧・店舗検索は利用でき、注文は電話、店頭テイクアウト、出前館、Uber Eatsで受け付けています。

また、10月8日の第二報では、10月6日21時までに受け付けた注文情報は同社が保管しており、予定どおり配達すると説明していました。一方、それ以降に注文した場合、障害により店舗が注文情報を取得できていない可能性があるため、該当する利用者に店舗への直接確認を求めています。

同社は今回の件について、個人情報保護委員会および管轄警察署への報告を実施しました。実際の個人情報の不正利用による二次被害は、10月13日の発表時点では確認されていません。顧客には不審な電話や、パスワード入力を促すメールへの注意を呼びかけています。

問い合わせ窓口は「ライドオンエクスプレスお客様情報相談窓口」（0120-782-272）。受付は11月15日まで全日10時〜20時、11月16日以降は平日10時〜20時です。

委託先サーバーへの攻撃に備えて確認したいデータ管理と復旧体制

今回の発表では、障害を受けたサーバーに顧客の登録情報が保管され、運営会社からデータの取り出し・復元が困難と伝えられたことが明らかになっています。外部クラウドや委託先に個人情報を預ける事業者では、バックアップの保管先が障害を受けた環境と分離されているか、必要な時点のデータを別環境へ復元できるかを確認する必要があります。

顧客情報を扱う企業の情シス・セキュリティ担当者は、委託先から受け取るインシデント情報に加え、本人通知の対象となる情報項目、漏えい可能性と確定事実の区別、顧客への代替サービス案内を整理することができます。今回は電話や店舗を通じた注文受付が継続しており、システム障害時の業務継続経路が利用者への影響を左右した事例にもなっています。