要点
発表された事実
- ライドオンエクスプレスホールディングスは2026年10月13日、子会社ライドオンエクスプレスが運営する『銀のさら・釜寅・すし上等』の公式サイト・公式アプリに登録された情報を保管していたサーバーがサイバー攻撃を受け、個人情報が漏えいした可能性があると公表した（第3報、適時開示 第2報）。
- 10月5日以降に利用するサーバーへの第三者による不正アクセスを検知して調査を始めていたところ、10月7日早朝に一部のサーバーでシステム障害が発生した。サーバーの運営会社からサイバー攻撃（ランサムウェア攻撃）を受けた旨の発表と報告を受けてシステムを停止し、その後、同社に保管を委託していたデータは取り出しや復元が困難との発表と報告を受けた（第3報）。
- 漏えいの可能性があるのは最大約650万件で、項目は氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員ID。家族の氏名・誕生日やお届け先の氏名・住所・電話番号を入力していた場合は、それらも含まれうる（同）。
- 「個人情報漏えいの明確な痕跡ならびに漏えいの事実および範囲を特定するには至って」いないが、対象となる可能性のある利用者に案内し、公表することを決めた。件数は可能性のある総件数で、確定した件数ではない（同）。
- 出前館、Uber Eats、電話のみで注文した利用者は対象外。クレジットカード情報は保有していないため対象に含まれない（同）。
- 公式サイト・公式アプリからの注文は停止が続き、再開の見通しは立っていない。電話、店頭テイクアウト、出前館、Uber Eatsでは注文できる（同）。
- 【2026-10-30追記】ライドオンエクスプレスホールディングスは10月29日の取締役会で、2027年3月期の通期連結業績予想（前回予想は売上高233億2,300万円、営業利益7億5,300万円）を取り下げ、未定とした。公式サイト・アプリの受注経路の停止などが長引き、影響を合理的に見積もれないためで、復旧状況と受注動向を精査し、見積もれる段階で開示するとした（適時開示、日本経済新聞）。
わかったこと
- 【2026-10-30】業績への影響は、10月29日時点で合理的に見積もれず、通期業績予想を未定にした（適時開示）
わかっていないこと
- サーバーの運営会社の名前と、その会社が受けた攻撃の内容
- 10月5日以降に検知した不正アクセスと、10月7日のランサムウェア被害の関係
- 侵入経路（運営会社側の基盤か、ライドオン側のシステムや認証情報か）
- 情報が実際に持ち出されたかどうか（痕跡が見つからないのか、調べるための記録が失われたのか）
- パスワードのハッシュの方式（ソルトの有無、アルゴリズム）
- 公式サイト・公式アプリの再開時期と、データの復旧方法
- 業績への影響（精査中）（【2026-10-30追記】10月29日に通期予想を取り下げて未定とした。金額はまだ示されていない）
関係しそうな既知の手口
- （考察）10月7日未明に法人向けクラウドがランサムウェアで止まり、事業者側で預かりデータの取り出し・復元が困難とされた例として、IDCFクラウドの事案がある。日付や言い回しには重なる部分があるが、ライドオンは運営会社名を公表しておらず、同一の事案かどうかは確認できない。
概要
- 宅配すし「銀のさら」などの公式サイト・アプリの登録者情報を置いていた外部のサーバーが、運営会社へのランサムウェア攻撃で使えなくなった。
- ライドオンは漏えいの痕跡も範囲も特定できていないとしながら、最大約650万件を「漏えいの可能性」として公表し、対象者への案内を始める。
- 公式サイト・アプリからの注文は10月7日から止まったまま。預けたデータは取り出しや復元が困難と報告されている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-05（月）以降 | 利用するサーバーへの第三者による不正アクセスを検知し、攻撃経路や被害の有無の調査を開始（第3報） |
| 2026-10-06（火）21:00 | この時刻までの注文情報は当社で保管しており、予定どおり配達するとした。以降の注文は取得できていない可能性がある（第2報） |
| 2026-10-07（水）早朝 | 公式サイト・公式アプリが利用するサーバーに接続できない状態が判明。運営会社からも障害発生の報告（第2報）。運営会社からランサムウェア攻撃を受けた旨の発表・報告を受けてシステムを停止し、同日に緊急対応チームを設置（第3報） |
| 2026-10-07（水） | 公式サイト・公式アプリが「システムの不具合」で利用できないと告知（第1報） |
| 2026-10-08（木） | 第2報。障害は外部サーバーの運営会社に起因するものと考えているとし、情報漏えいの有無は調査中とした。同日以降の注文は電話・店頭・出前館・Uber Eatsで受け付け（第2報）。同日、親会社が適時開示（第1報）を公表（適時開示 第2報） |
| 2026-10-09（金） | 公式サイトに「メニュー一覧」と「店舗検索」を公開（第2報の追記） |
| 時期不明 | 運営会社から、保管を委託していたデータは取り出しや復元が困難との発表・報告を受けた（第3報） |
| 2026-10-13（火） | 第3報と適時開示（第2報）。最大約650万件の漏えいの可能性を公表。個人情報保護委員会と管轄警察署へ報告（第3報） |
| 2026-10-29（木） | 2027年3月期の通期連結業績予想を取り下げ、未定に。公式サイト・アプリの注文停止が長引き、影響を見積もれないため（適時開示） |
発表内容の整理
事実（第3報・適時開示 第2報）
| 項目 | 内容 |
|---|---|
| 対象サービス | 『銀のさら・釜寅・すし上等』公式サイト・公式アプリ |
| 対象者 | 過去に公式サイト・公式アプリに情報を登録した人。家族の氏名・誕生日、お届け先の氏名・住所・電話番号を入力していた場合はその情報も |
| 件数 | 最大約650万件（漏えいの可能性がある総件数。確定件数ではない） |
| 項目 | 氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員ID |
| 対象外 | 出前館・Uber Eats・電話のみの注文者。クレジットカード情報（保有していない） |
| 漏えいの確認状況 | 明確な痕跡、漏えいの事実、範囲はいずれも特定に至っていない |
| 原因 | 登録者情報を保管していたサーバーの運営会社がランサムウェア攻撃を受けた（運営会社名は非公表） |
| データ | 保管を委託していたデータは取り出しや復元が困難との報告 |
| 報告 | 個人情報保護委員会、管轄警察署 |
| 二次被害 | 現時点で確認されていない |
| サービス | 公式サイト・アプリからの注文は停止中。再開の見通しは立っていない |
| 問い合わせ | ライドオンエクスプレス お客様情報相談窓口 0120-782-272（11月15日までは全日10:00〜20:00、16日以降は平日10:00〜20:00） |
考察
この発表の特徴は、漏えいを確認したから公表したのではなく、確認できないまま「可能性」として公表した点にある。ランサムウェアの被害では、暗号化の前に情報を持ち出す手口が広く知られている。一方で、データそのものが取り出しや復元が困難な状態になっているなら、通信記録やアクセスログといった、持ち出しの有無を調べるための材料も同じように失われているかもしれない（考察）。痕跡が「ない」のか「調べられない」のかは発表からは区別できないが、どちらであっても、利用者側では漏えいしたものとして備えておくのが無難だ。
時系列にも引っかかる点がある。第3報は、10月5日以降に「当社が利用するサーバーへの第三者による不正アクセスを検知」していたと書いている。障害が起きた10月7日より2日早い。この不正アクセスが運営会社への攻撃の前触れだったのか、別のものだったのかは書かれていない（考察）。運営会社に起因する障害と考えているという10月8日の第2報の見方と、自社でも事前に不正アクセスを検知していたという第3報の記述が、どうつながるのかは続報で確かめたい。
対象の広さも見ておきたい。登録者本人だけでなく、家族の氏名と誕生日、お届け先の氏名・住所・電話番号も含まれうる。贈り物の配達先として住所を入力された人は、自分で登録していなくても対象になる（考察）。注文履歴は、いつ、どこに、何人分の食事を頼んだかを示すので、家族構成や行事の時期を推し量る材料にもなる。
関係しそうな既知の手口
事実（既知の事例）
- IDCフロンティアは10月7日、法人向けクラウド「IDCFクラウド」の東日本リージョン1で同日午前3時40分頃から障害が起き、第三者のランサムウェア攻撃によるものと判明したと公表した。10月8日の第3報では、対象の4ゾーンに保管された顧客データは「取り出しや復元が困難な見通し」としている（IDCFクラウドの記事）。
- 時事通信の配信記事は、同じ10月13日にJR東海が通販サイトの会員情報約1万5000件の漏えいの可能性を公表し、委託先のIDCフロンティアへの不正アクセスが原因と説明したと報じた。同じ記事はライドオンについて、利用するサーバーへの不正アクセスが検知されたと書くにとどめている（nippon.com（時事通信））。
考察
- 同じ事案かどうかは決められない：障害が「10月7日早朝」、預けたデータが「取り出しや復元が困難」という点は、IDCFクラウドの発表と重なる。ただしライドオンは運営会社の名前を出しておらず、報道でも結びつけられていない。10月5日以降に不正アクセスを検知していたという記述は、IDCFが公表した障害の発生時刻（10月7日午前3時40分頃）より前の出来事でもある。本記事では別の事案として扱い、運営会社が特定されれば追記する。
- 預け先が止まると、自社では何もわからない：外部のサーバーにデータを置く構成では、障害の原因、暗号化の範囲、持ち出しの有無を調べる手段の多くが運営会社側にある。ライドオンが「発表および報告を受けました」と繰り返し書いているのは、判断の材料を運営会社に頼っている状況を表している（考察）。委託先に預けるデータについて、自社でも別にバックアップや記録を持っていたかどうかが、復旧の速さと調査の深さを左右する。
- パスワードのハッシュ値：ハッシュ値は元のパスワードそのものではないが、方式が古かったり、ソルトがなかったりすると、よく使われるパスワードは総当たりで割り出される。方式は公表されていない。
利用者・運用者がいまできること
事実（発表に基づく）
- 現時点で二次被害は確認されていないが、不審な電話に注意する。
- 件名や内容に心当たりがない、パスワードの入力を求めるなどの不審なメールは、返信やURLのクリックをせず削除する。
- 注文は電話、店頭テイクアウト、出前館、Uber Eatsで受け付けている。公式サイトのメニュー一覧と店舗検索は使える。
- 問い合わせはお客様情報相談窓口（0120-782-272）。
考察（利用者向け）
- 銀のさら・釜寅・すし上等の公式サイト・アプリで使っていたパスワードを、ほかのサービスでも使っているなら、そちらを変更する。
- 「注文内容の確認」「デリポイントの失効」「返金のご案内」など、注文履歴を知っているかのような連絡は、本物らしく見えても公式サイトや相談窓口で確かめる。
- 家族の誕生日を登録していた人や、贈り物の届け先に指定された人も対象になりうる。家族や届け先の相手にも、不審な連絡に注意するよう伝えておく。
考察（運用者向け）
- 会員情報を外部のサーバーやクラウドに置いている場合、運営会社が被害を受けたときに自社だけで取れる手段（別の場所のバックアップ、アクセスログの保全、データの一覧）を確認しておく。
- 委託先との契約で、障害やインシデントの発生時に、原因・影響範囲・持ち出しの有無の調査結果をいつまでに、どこまで共有してもらえるかを決めておく。
- 注文が受けられなくなったときの代わりの経路（電話、他社のデリバリーサービス）と、障害発生前後の注文の扱いを、利用者に案内する手順を用意しておく。
参考リンク
- サイバー攻撃による個人情報漏えいの可能性に関するお詫びとお知らせ 『銀のさら・釜寅・すし上等』公式サイト・公式アプリ停止のお知らせとお詫び（第3報）（ライドオンエクスプレスホールディングス、2026-10-13）
- 当社連結子会社におけるシステム障害発生に関するお知らせ（第２報）及びサイバー攻撃による個人情報漏えいの可能性に関するお詫びとお知らせ（同、適時開示、2026-10-13）
- 『銀のさら・釜寅・すし上等』公式サイト・公式アプリ停止のお知らせとお詫び（第２報）※追記あり（同、2026-10-08）
- 『銀のさら・釜寅・すし上等』公式サイト・公式アプリ停止のお知らせとお詫び（同、2026-10-07）
- 「銀のさら」運営会社、最大６５０万件漏えいか＝ＪＲ東海１万５０００件―不正アクセス（nippon.com／時事通信、2026-10-13）
- IDCFクラウド ― 東日本リージョン1がランサムウェア攻撃で停止、契約する495の企業・自治体に影響（本ノート）
- 連結業績予想の取り下げに関するお知らせ（ライドオンエクスプレスホールディングス、適時開示、2026-10-29、Japan IR掲載）
- 「銀のさら」運営会社、業績予想取り下げ 不正アクセスで注文停止（日本経済新聞、2026-10-29）