京王電鉄にランサムウェア攻撃、攻撃者が情報の公開を主張

何が起きたのか

京王電鉄は2026年10月21日、ランサムウェア攻撃の第3報を出しました。ランサムウェアはデータを暗号化して使えなくするウイルスです。

攻撃を確認したのは9月26日の未明です。グループのサーバーが狙われ、一部のグループ会社の営業システムに支障が出ましたが、鉄道の運行に支障はないとしています。同社はネットワークを遮断し、警察に通報しました。外部の専門家の協力を得て、攻撃の経路と被害を調べています。

3回の発表で、公表された内容は次のように変わりました。

• 第1報（9月26日）：攻撃の確認とネットワークの遮断、警察への通報を伝えました。情報漏えいの事実は、この時点では確認されていないとしていました。
• 第2報（10月16日）：攻撃を行ったと名乗る組織が、グループが保有する情報の一部を公開したと主張していることを確認したと伝えました。個人情報漏えいの事実が確認された場合は、速やかに対処するとしていました。
• 第3報（10月21日）：その組織が窃取したと主張する情報が公開された、という報告を外部の専門家から受けたと伝えました。個人情報漏えいの可能性もあるとみて、個人情報保護委員会へ報告しています。

第2報は「主張を確認した」、第3報は「公開されたという報告を受けた」と、書き方が違います。どちらの段階でも、公開された内容を同社が確かめ終えたとは書かれていません。

漏れた情報

公開された情報の内容と影響の範囲は調査中です。件数も項目も公表されていません。第3報では、情報の内容を確かめる作業は外部の専門家の支援を受けながら進めているとしています。

会社の対応

同社はグループ全体の取り組みとして対策本部を置き、影響範囲の調査と復旧の対応を進めています。警察や外部の専門家と連携して、攻撃の経路や被害の調査も続けています。個人情報の漏えいの影響を受けた人には、今後の調査結果を踏まえて個別に通知するなどの対処をするとしています。

問い合わせ先は、同社の広報部です。

中小企業が学べること

この件で目を引くのは、攻撃者の主張を受けて公表が段階的に進んだことです。第2報の時点では漏えいの事実は確認できておらず、第3報でも内容は調査中です。それでも、個人情報が漏れた可能性があると見た段階で個人情報保護委員会へ報告しています。確認が終わるのを待たずに、可能性の段階で報告する流れは、自社の手順を作るときの参考になります。個人データが漏れたときの報告の期限は、個人データが漏れたときの報告 速報は3〜5日、確報は30日で扱っています。

攻撃者が情報の公開を主張すると、確認が終わる前に取引先や顧客から問い合わせが来ます。事故の前に、公開されたとされる情報の内容を誰がどの専門家と確かめるか、取引先や顧客へ誰がどの文面で説明するかを決めておきます。文面では、分かっていることと調査中のことを分けて書きます。グループ会社のシステムがつながっている場合は、切り離すかどうかを誰が判断するかも決めます。

攻撃を受けた直後は、外部の専門会社や弁護士を探す余裕がありません。連絡先は、事故の前に用意しておきます。初動の流れはランサムウェアに遭ったら 最初の1時間にすることにまとめています。