要点
発表された事実
-
京王電鉄は2026年9月26日、グループのサーバーへのランサムウェア攻撃を同日未明に確認し、一部グループ会社の営業システムに支障が出ていると公表した。鉄道の運行に支障はない（お知らせとお詫び）。
-
10月16日の第2報で、攻撃を行ったと名乗る組織が、グループが保有する情報の一部を公開したと主張していることを確認したと公表した。外部専門家の支援を受けて事実関係を確認中で、個人情報漏洩の事実が確認されたら速やかに対処するとしている（第2報）。
-
報道によると、名乗ったのはランサムウェア集団「Qilin（キリン）」で、内部資料とされる画像も掲載した。同社への金銭的な要求は確認できていないという（朝日新聞、TBS NEWS DIG）。
-
【2026-10-22追記】京王電鉄は10月21日の第3報で、攻撃を行ったと名乗る組織がグループから窃取したと主張する情報が公開されたとの報告を、外部専門家から受けたと公表した。公開された情報の内容や影響範囲は調査中だが、個人情報漏洩の可能性もあるとみて個人情報保護委員会へ報告した。今後の調査結果を踏まえ、影響を受けた人には個別に通知するとしている（第3報）。
-
【2026-11-13夕追記】京王電鉄は11月11日、2027年3月期半期報告書の提出期限延長について承認を受けたと適時開示した。提出期限は11月16日から12月16日になり、10月30日に延期を公表していた第2四半期（中間期）の決算発表は12月4日を予定している。この開示では、延期の理由や個人情報流出の調査状況には触れていない（京王電鉄 適時開示（Japan IR掲載PDF））。
わかっていないこと
- Qilinが公開したと主張するデータが本物か、どの会社のどんな情報か
- 顧客・従業員などの個人情報が流出したか（【2026-10-22追記】第3報で、窃取したと主張する情報が公開されたとの報告を受け、漏洩の可能性もあるとして個人情報保護委員会へ報告したが、内容と影響範囲は調査中）
- 侵入経路と、暗号化されたシステムの範囲
- 各グループ会社のシステムの復旧状況
概要
- 京王電鉄グループのサーバーが9月26日にランサムウェア攻撃を受け、京王ストアの決済やホテルの予約などに障害が出た。鉄道は止まっていない。
- 10月16日、ランサムウェア集団「Qilin」がグループの情報の一部を公開したと主張し、京王電鉄もこの主張を確認したと発表した。
- データが本物か、個人情報が含まれるかは調査中で、会社はまだ流出を認めていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-26（土）未明 | グループのサーバーへのランサムウェア攻撃を確認。警察に通報し、ネットワーク遮断などの措置。同日公表（京王電鉄） |
| 2026-09-26（土） | 京王プラザホテルが、ホテルのサーバーがランサムウェア攻撃を受け問い合わせへの回答が遅れる場合があると案内。京王プレッソインは新規予約の受付を当面停止、京王バスは定期券発売窓口でクレジットカードが使えなくなったと告知（ITmedia） |
| 2026-09-27（日） | 京王ストアが、一部店舗でクレジットカード・電子マネーの決済やポイントの付与・利用ができない障害を公表（同） |
| 2026-10-16（金） | 第2報。攻撃を行ったと名乗る組織が、グループ保有の情報の一部を公開したと主張していることを確認（京王電鉄）。報道で組織名は「Qilin」とされた（朝日新聞、TBS NEWS DIG） |
| 2026-10-21（水） | 第3報。窃取したと主張する情報が公開されたとの報告を外部専門家から受け、個人情報漏洩の可能性もあるとみて個人情報保護委員会へ報告（第3報） |
| 2026-11-11（水） | 半期報告書の提出期限延長の承認を受けたと適時開示。期限は11月16日から12月16日に延び、10月30日に延期を公表していた中間期の決算発表は12月4日の予定（京王電鉄 適時開示（Japan IR掲載PDF）） |
発表内容の整理
事実（京王電鉄の発表）
| 項目 | 内容 |
|---|---|
| 攻撃 | ランサムウェア攻撃（2026年9月26日未明に確認） |
| 攻撃を受けたもの | 当社グループのサーバー |
| 影響 | 一部グループ会社の営業システムに支障。鉄道の運行に支障なし |
| 初動 | 警察への通報、被害拡大防止のためのネットワーク遮断など |
| 第2報（10/16） | 攻撃を名乗る組織が、グループ保有の情報の一部を公開したと主張していることを確認 |
| 第3報（10/21）【2026-10-22追記】 | 窃取したと主張する情報が公開されたとの報告を外部専門家から受けた。内容と影響範囲は調査中。個人情報漏洩の可能性もあるとみて個人情報保護委員会へ報告し、影響を受けた人には個別に通知する方針 |
| 個人情報 | 流出の事実は確認できていない。確認された場合は速やかに対処 |
| 体制 | グループ全体で対策本部を設置。警察や外部専門家と連携して経路と被害を調査 |
事実（報道）
- 朝日新聞によると、顧客情報が外部に流出したかや、Qilinが公開したと主張するデータが本物かは「現在、調査をしている」（同社広報）とし、同社への金銭的な要求などは確認できていないという（朝日新聞）。
- 9月の時点では、京王ストア（決済・ポイント）、京王プラザホテル（問い合わせ対応）、京王プレッソイン（新規予約停止）、京王バス（定期券窓口のカード決済）に影響が出ていた（ITmedia）。
考察
攻撃の確認から犯行声明の確認までは約3週間だ。第1報の時点で同社は「機密事項やお客様に関する情報などの流出を含めた影響範囲」を調べるとしており、暗号化だけでなくデータの持ち出しも想定していたことがうかがえる（考察）。
リークサイトでの「公開」は、攻撃者の主張にすぎない場合もある。公開されたものが本物でも、どの会社のどんな情報かで影響は大きく違う。ホテル予約や小売のポイントの仕組みまで障害が及んでいたことから、もし顧客データが含まれていれば対象は広くなりうるが、今のところ会社は流出を確認していない（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- Qilinは2025年10月、アサヒグループホールディングスへのサイバー攻撃について犯行声明を出し、リークサイトでの情報公開を主張した（ロイター、ITmedia）。
- 国内では、池上通信機もファイルの暗号化に続いてリークサイトで情報を公開された（記事）。
考察
- 二重恐喝の流れ：暗号化で業務を止め、そのうえで盗んだデータの公開を予告・実行して支払いを迫る。今回、同社が金銭要求を「確認できていない」としているのは、要求の連絡がまだ届いていないか、リークサイトでの公開そのものが圧力として使われている、のどちらかと考えられる。
- 公開の「主張」と流出の「確認」は別物：企業がフォレンジック調査で持ち出しの痕跡を確かめるまで、公表は「主張を確認した」にとどまる。今回の第2報もその段階だ。
- 侵入経路は未公表：どこから入られたかは発表されておらず、同種の事例と同じ入口だったかは判断できない。
利用者・運用者がいまできること
事実（発表に基づく）
- 京王電鉄は、個人情報漏洩の事実が確認された場合には速やかに適切に対処するとしている（第2報）。現時点で利用者に特定の行動は求めていない。
考察（利用者向け）
- 京王グループの店舗・ホテル・バスなどを名乗る「お詫び」「返金」「再登録」のメールやSMSが届いても、リンクは開かず、公式サイトで確認する。
- 流出した情報がリークサイトで公開されたかどうかを、自分で確かめに行く必要はない。公式発表を待つほうが安全だ。
考察（運用者向け）
- グループ会社がサーバーやネットワークを共有していると、1社の侵害がグループ全体の業務停止につながる。会社ごとの分離と、バックアップをネットワークから切り離して保管することを点検したい。
- 犯行声明が出たときの確認手順（公開データの入手と真偽の確認、法執行機関との連携、公表文の準備）を事前に決めておく。
参考リンク
- ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び（京王電鉄、2026-09-26）
- ランサムウェア攻撃によるシステム障害に関するお知らせ 第２報（京王電鉄、2026-10-16）
- 「京王電鉄の情報を公開」ランサム集団キリンが主張 9月に攻撃被害（朝日新聞、2026-10-16）
- 京王電鉄Gへのランサムウェア攻撃でハッカー集団「Qilin」が声明（TBS NEWS DIG、2026-10-16）
- 京王グループにランサム攻撃、京王ストアの決済やホテル予約などに影響……鉄道は影響なし（ITmedia NEWS、2026-09-28）
- アサヒＧＨＤへのサイバー攻撃、ランサムウエア集団「Qilin」が犯行声明（ロイター、2025-10-07）
- サイバー攻撃被害のアサヒ、流出疑いの情報がネット上に（ITmedia NEWS、2025-10-08）
- ランサムウェア攻撃によるシステム障害に関するお知らせ 第３報（京王電鉄、2026-10-21）