Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-keio運輸・物流最終確認 2026-10-13 10:00

京王電鉄グループへのランサムウェア攻撃（グループ営業系サーバー被害でホテル予約・小売決済・京王ポイントに障害、鉄道運行は影響なし）

公表日

京王電鉄株式会社 · 上場
調査中ランサムウェア不正アクセスサプライチェーン：起点

京王電鉄グループのサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、スーパーや百貨店でのカード決済、京王ポイント、ホテルや旅行の予約などが止まりました。電車の運行には影響はありませんでした。

いますぐできること

  • 京王ストアや京王百貨店などで京王ポイントが付かなかった買い物のレシートは、後からポイントを付けてもらうために保管しておく
  • 2026年9月25日17時以降に、団体乗車券・京王ライナー個室プラン・京王ロケーションサービスをフォームやメールで申し込んだ場合は、電話で申し込み直す
  • 京王グループを名乗るメールやSMSのリンクは開かず、公式サイトのお知らせで状況を確認する

何が起きたのか

2026年9月26日の未明、京王グループのサーバーへのランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃が確認されました。会社はネットワークを遮断し、警察に通報しました。電車を動かすシステムは別になっていたため、運行は通常どおりでした。一方で、京王ストアや京王百貨店の一部でクレジットカードや電子マネーが使えなくなり、京王ポイントの付与・利用も止まりました。京王プレッソインは新規予約を止め、京王観光のネット予約も止まりました。

なぜ起きたのか・なぜ広がったのか

どこから、どのように侵入されたかは、まだ公表されていません。報道によると、被害を受けたサーバーはグループのサーバーと京王プラザホテルのサーバーの2か所です。それでも影響が広がったのは、決済・ポイント・予約など、グループ各社の多くのサービスが共通の仕組みやネットワークでつながっていたためと考えられますが、会社はその仕組みを説明していません。

いまの状況2026-10-07 時点続報待ち

2026年10月7日時点で、定期券らくはや予約サービスは順次受付を再開しました。京王ポイントや、加盟店・取引先との精算の仕組みの一部は復旧の時期が決まっておらず、10月20日ごろに続報が出る予定です。9月末・10月末に期限が切れる予定だったポイントは、後日使えるようにするとしています。情報の漏えいは確認されていないとしていますが、侵入の経路や漏えいの有無の調査結果は、まだ発表されていません。

企業として考えたいこと

自社のグループ会社や部門のシステムは、どこでつながっているでしょうか。1か所を止めたときに、どのサービスまで一緒に止まるかを把握しておきましょう。

技術的な要約

京王電鉄は2026年9月26日未明、京王グループのサーバーへのランサムウェア攻撃を確認し、ネットワークを遮断して警察に通報、外部専門家と攻撃経路・被害範囲の調査を始めたと同日公表した。鉄道の運行システムは別系統で運行に支障はなかったが、京王ストア・キッチンコート・京王百貨店でのクレジットカード等の決済停止、京王ポイントの付与・利用停止、京王プレッソインの新規予約停止とセルフチェックイン機・Wi-Fi停止、京王観光のオンライン予約停止など、グループの営業系に広く障害が出た。報道によれば被害を受けたのはグループのサーバーと京王プラザホテルのサーバーの2カ所で、9月28日正午時点で身代金要求は確認していないという。情報漏えいは公表時点で確認されておらず、侵入経路・攻撃グループ・暗号化範囲は非公表で、犯行声明も確認されていない。10月7日時点で定期券らくはや予約サービスは順次受付を再開した一方、京王ポイントや加盟店向け精算関連システムの一部は復旧時期未定で、10月20日頃に続報予定とされている。

公開情報が限られている点について
京王電鉄の第1報（9/26）ページはWebFetchで繰り返しサーバーエラーとなり本文を直接確認できなかった（verified=false）。内容はグループ各社の同日告知（京王プラザホテル・京王プレッソインPDF）とpiyolog・INTERNET Watch・BleepingComputer等の引用で確認した。京王観光・京王バスの告知、日経・日経クロステック・読売は取得できず未確認。被害2サーバー・身代金要求未確認は日経クロステックの広報取材に依拠し、二次記事（ウェステリア、note）経由の確認にとどまる。発生から2週間で侵入経路・侵入日・攻撃者・暗号化範囲・漏えい有無・業績影響はいずれも非公表、犯行声明も確認できないため、dates.intrusion は null、mitre_attack は公表事実（ランサムウェアによる暗号化）から対応づけられる T1486 の1件のみ（Aの最低量2件に不足）。
侵入
—
被害発生
2026-09-26
検知
2026-09-26
第1報公表
2026-09-26
最新続報
2026-10-07
侵入 → 検知
—
侵入日が非公表
検知 → 公表
0日
データ（上限）
—
確定 —
波及先
—

攻撃の分類

侵入口
不明
京王電鉄の公表は『2026年9月26日未明、京王グループのサーバーへのランサムウェア攻撃を確認』『外部専門家の協力を得て攻撃経路や被害の調査を進めている』とするのみで、侵入経路（VPN機器、リモートデスクトップ、認証情報など）は2026-10-10時点で非公表。報道・研究者による特定も確認できなかった。日経クロステック（9/28、広報への取材）によれば被害はグループのサーバーと京王プラザホテルのサーバーの2カ所で、どちらが先に攻撃されたかは不明。
脆弱性
CVE 非公表不明
悪用された脆弱性・製品の有無を含めて非公表。報道・研究者による特定も2026-10-10時点で確認できなかった。
攻撃者
特定・主張なし
ATT&CK
T1486 Data Encrypted for Impact

影響

業務停止
あり 鉄道運行は影響なし（運行系は別系統）。京王電鉄：お問合せフォームの登録内容を確認できず、団体乗車券・京王ライナー個室プラン・京王ロケーションサービスのフォーム／メール申込み（9/25 17時以降分）を確認できず電話受付に切替、定期券らくはや予約サービスが利用しにくい状態。京王プラザホテル：問い合わせ回答の遅延（営業は継続）。京王プレッソイン：9/26 23時に新規予約受付を停止、9/28時点でセルフチェックイン機・スマートTV・Wi-Fiを停止し対面フロントのみで手続き。京王ストア・キッチンコート：一部店舗でクレジットカード・電子マネー等の現金以外の決済が不可（報道ではQRコード決済も）、京王ポイントの付与・利用不可（マツモトキヨシの一部店舗を含む）、問い合わせメール確認不可。京王百貨店：9/26朝から一部売場でクレジットカード決済とポイント利用不可、友の会カウンターの手続き全般停止。京王観光：オンライン予約（旅箱）停止、店舗等の受付に遅延。京王バス：定期券発売窓口でクレジットカード不可。京王パスポートクラブ：一部加盟店でポイント加算・利用不可、各種ポイント加算の遅延、交通系電子マネー加盟店や取引先向け精算関連システムの一部が利用不可で精算額通知が遅れる可能性。
期間：2026-09-26未明から。定期券らくはや予約サービスは10/7頃に順次受付再開。京王ポイント・精算関連システムは10/7時点で復旧時期未定（10/20頃に進捗を案内予定）。全体の復旧完了は2026-10-10時点で未公表。
データ
調査中上限 —確定 —
京王電鉄・京王プラザホテル・京王プレッソイン・京王百貨店はいずれも『情報漏洩等の事実については現時点で確認できておりません』とし、事業上の機密情報や顧客情報を含め影響範囲を調査中。京王プラザホテルは顧客情報の流出を含めて調査中。件数・データ種別は非公表。海外の一部まとめサイトに『会員約6万人のメールアドレス漏えいのおそれ』との記載があるが、同時期の東京メトロ事案（約5.9万件のメールアドレス）との混同とみられ、京王の公式発表では確認できないため採用していない。
波及先
—
  • マツモトキヨシ（京王ストア関連の一部店舗）で京王ポイントの付与・利用が不可
  • 京王ポイント加盟店（京王沿線の約750店舗のポイントプログラム）の一部でポイント加算・利用が不可
  • 交通系電子マネー加盟店や取引先向けの精算関連システムの一部が利用不可で、精算額の通知が遅れる可能性（支払い自体は従来どおり）
  • 京王NEOBANKのキャッシュバック・ポイント加算、京王・三井住友信託マネークラブ等のポイント加算に遅延
金銭影響
—
サプライチェーン
京王グループのサーバー（営業系）への攻撃とネットワーク遮断により、ホテル・小売・百貨店・旅行・バス・ポイント事業などグループ各社の営業系システムに一斉に障害が波及した。グループ共通の京王ポイント（京王パスポートクラブ）を通じて、マツモトキヨシの一部店舗などグループ外の加盟店、交通系電子マネー加盟店・取引先向け精算にも影響が及んだ。鉄道の運行システムは別系統で影響を受けていない。京王観光・京王バス・京王パスポートクラブの告知は障害の原因に触れておらず、攻撃との関係は各社の文面上は明示されていない（パスポートクラブは『京王グループ内のシステム障害』と記載）。

時系列

  1. 2026-09-25 17:00
    この時刻以降に受け付けた団体乗車券・京王ライナー個室プラン・京王ロケーションサービスのフォーム／メール申込みが、後に確認できない状態となる（京王電鉄 9/28告知で電話での再申込みを依頼）3
  2. 2026-09-26
    未明、京王グループのサーバーへのランサムウェア攻撃を確認（報道では午前5時〜6時台）。被害拡大防止のためネットワークを遮断、警察へ通報し外部専門家と調査開始11525
  3. 2026-09-26 09:10
    京王プレッソインが第一報。チェックイン・チェックアウトに時間を要すると案内67
  4. 2026-09-26
    京王電鉄・京王プラザホテルが『ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び』を公表（鉄道運行に支障なし、情報漏えいは現時点で未確認）。京王観光・京王バス・京王パスポートクラブも障害を告知。京王百貨店では同日朝から一部売場でカード決済・ポイント利用が停止1591516
  5. 2026-09-26 23:00
    京王プレッソインが第二報で新規予約の受付を当面停止、メール問い合わせも不可と案内6
  6. 2026-09-27
    京王ストアが障害を公表（京王ストア・キッチンコートの一部店舗でキャッシュレス決済不可、京王ポイント付与・利用不可、復旧時期未定）815
  7. 2026-09-28
    京王電鉄がお問合せフォームの障害と団体乗車券等の申込みへの影響を告知。京王百貨店がグループのシステム障害を公表。京王パスポートクラブが9月末失効ポイントを後日利用可能にすると告知23910
  8. 2026-09-28 12:00
    京王広報が、被害はグループのサーバーと京王プラザホテルのサーバーの2カ所で、身代金要求は確認していないと説明（日経クロステック報道）2227
  9. 2026-09-28 15:00
    京王プレッソインが告知を更新。セルフチェックイン機・スマートTV・Wi-Fiを停止し、手続きは対面フロントのみと案内6
  10. 2026-09-28
    BleepingComputerが報道。時点でランサムウェアグループによる犯行声明はないと伝える1718
  11. 2026-10-07
    京王電鉄が定期券らくはや予約サービスの順次受付再開を告知。京王パスポートクラブが、加盟店・取引先向け精算関連システムの一部利用不可と各種ポイント加算の遅延、10月末失効ポイントの救済を告知し、10/20頃に進捗を案内すると予告4111227

技術解説

被害の構造：運行系は無傷、営業系の共通基盤が止まった 事実

京王電鉄は公表時から『鉄道の運行に支障はない』とし、報道でも運行系サーバーは別系統と説明されている。一方で止まったのは、グループ各社の営業系システムだった。京王ストア・キッチンコート・京王百貨店ではクレジットカードや電子マネーなど現金以外の決済が一部店舗で使えなくなり、京王ポイントは付与・利用とも停止した。京王プレッソインでは予約システムが使えず新規予約を止め、セルフチェックイン機・スマートTV・Wi-Fiまで停止して対面フロントのみの運用に切り替えた。京王電鉄自身もお問合せフォームや団体乗車券などの申込み内容を確認できず、電話受付に切り替えている。広報の説明（日経クロステック）では被害サーバーはグループのサーバーと京王プラザホテルのサーバーの2カ所にとどまるが、ネットワーク遮断の影響で、決済・ポイント・予約・問い合わせといった顧客接点が業種をまたいで一斉に止まった。

公表の評価：初報は速いが、グループ各社の文面と情報量がそろわない 事実

京王電鉄は攻撃を確認した当日（9/26）に『ランサムウェア攻撃』と明記して公表し、京王プラザホテル・京王プレッソインも同日に同趣旨の告知を出した。初報で攻撃種別を明示した点は早い。一方、京王観光・京王バス・京王パスポートクラブの告知は原因に触れず『システム障害』とのみ記し、京王百貨店も『グループ会社のシステムで障害』という表現にとどまる。影響は各社のサイトに分散し、全体像はpiyologなど第三者の整理で初めて一覧できる状態だった。被害サーバーの数や身代金要求の有無は広報が報道機関に口頭で説明した内容しかなく、侵入経路・暗号化の範囲・バックアップの状態・データ持ち出しの有無はいずれも10/10時点で非公表。10/7のパスポートクラブ告知で精算関連システムの未復旧が明らかになるなど、影響の詳細は各社の個別告知から少しずつ判明している。

なぜ決済まで止まったのか（推測） 解釈

被害サーバーは2カ所とされるのに、小売の決済、ポイント、ホテル予約、旅行予約、バスの定期券窓口まで同時に止まった。考えられるのは、①京王ポイントの付与・利用や決済の承認がグループ共通のサーバーやネットワークを経由する設計で、そこを遮断すると各社のPOS・予約システムがポイント連携やカード決済を処理できなくなった、②暗号化の被害がないシステムも、被害範囲の確定まで予防的にネットワークから切り離された、という2点である。京王ストアで楽天ポイントは使えたのに京王ポイントとクレジットカード等が使えなかった点は、外部サービスに直接つながる経路は生き、グループ基盤を経由する経路が止まったことを示唆する。いずれも公式には説明されておらず、構成は推測である。鉄道運行系が別系統で守られたことは評価できるが、営業系の内側では、事業会社ごとの分離が十分でなかった可能性がある。

長期化の兆候：ポイント・精算は2週間たっても未復旧 解釈

発生から約2週間後の10/7時点で、定期券らくはや予約サービスは順次受付を再開した。一方、京王パスポートクラブは、各種ポイント加算の遅延に加え、交通系電子マネー加盟店や取引先向けの精算関連システムの一部が利用できないと告知した。9月末・10月末に失効予定のポイントは後日あらためて使えるよう対応するとし、京王ライナー利用キャンセルに伴う過剰減算の修正も当初予定（10/15前後）から遅れる見込みである。復旧の見通しは10/20頃に案内するとしている。顧客から見える決済やチェックインの代替運用が先に整う一方、ポイント台帳や加盟店精算のようなバックオフィスのデータ整合性回復には時間がかかるという、ランサムウェア被害に典型的な経過をたどっている（推測を含む）。

対応

封じ込め
9/26未明の攻撃確認後、被害拡大防止のためネットワークを遮断（京王プラザホテルは外部ネットワークを遮断）。警察へ通報し、外部専門家の協力を得て攻撃経路と被害範囲を調査中。業務は代替運用に切り替え：団体乗車券等の申込みを電話受付に、プレッソインは新規予約停止と対面フロントのみの手続きに、京王ストアは一部店舗で現金のみの対応に、京王ポイントは後日付与のためレシート保管を依頼、失効予定ポイントは後日利用可能にする。10/7頃に定期券らくはや予約サービスを順次再開。
公表の仕方
9/26に京王電鉄・京王プラザホテル・京王プレッソインがランサムウェア攻撃を明記して第1報。グループ各社（京王観光・京王バス・京王パスポートクラブ・京王ストア・京王百貨店）は9/26〜28に個別にサービス影響を告知し、一部は原因に触れていない。被害サーバー数（2カ所）と身代金要求未確認は報道機関への広報説明のみ。侵入経路・攻撃者・暗号化範囲・漏えいの有無の続報は2026-10-10時点でなし。
当局対応
  • 警察：9/26に通報・相談（京王電鉄・京王プラザホテル公表）
  • 個人情報保護委員会への報告の有無：非公表

教訓と対策

教訓具体的な対策
運行系と営業系の分離は機能したが、営業系の内側では事業会社をまたいで一斉に停止したOT・基幹（運行）系とIT系の分離に加え、営業系の内側でも事業会社・機能ごとにネットワークセグメントとAD（Active Directory）の管理境界を分ける。共通基盤（ポイント・決済連携）へのアクセスはAPIゲートウェイ経由に限定し、1社が侵害されても他社を遮断せずに切り離せる構成にする。
グループ共通のポイント・決済連携基盤が止まると、小売・百貨店・加盟店の決済まで止まったPOS側にオフライン承認（上限額付きのストア・アンド・フォワード）とポイント後日付与のための取引ジャーナル保存を実装し、共通基盤停止時でもカード決済を継続できるか、年1回以上の切り離し訓練で検証する。外部の決済代行網への直結経路を準備しておく。
予防的なネットワーク遮断が、問い合わせフォームや申込みメールなど顧客との連絡手段まで奪った問い合わせフォーム・予約受付・告知ページは社内ネットワークから独立したSaaSや別クラウドに置き、緊急時の代替受付（電話番号・臨時フォーム）を事前に用意する。どのシステムを遮断すると何が止まるかの依存関係マップを作り、遮断の範囲を段階的に判断できるようにする。
暗号化の数日後もポイント台帳・加盟店精算の整合回復に時間がかかっているポイント・精算などの台帳系データは、変更不可（イミュータブル）なバックアップとトランザクションログを、別の認証基盤で守られた場所に保存する。RTO（目標復旧時間）とRPO（目標復旧時点）を業務ごとに決め、台帳を戻したあと停止期間中の取引を突き合わせる手順まで含めて復旧訓練を行う。
グループ各社の告知の文面と情報量がそろわず、利用者が全体像をつかみにくかったグループ横断のインシデント告知テンプレートと集約ページを事前に用意し、影響サービス・代替手段・復旧見込み・原因の記載方針を親会社の対策本部で統一する。各社は集約ページへリンクし、更新時刻を明記する。

自組織などでの確認項目

  1. あなたの会社で基幹系（製造・運行・物流など）と営業系・事務系の間に、実際に通信を止められる境界はあるか。その境界を越える例外通信（監視、データ連携、保守用リモート接続）はいくつあり、誰が把握しているか。
  2. 共通基盤（ID・ポイント・決済連携・ファイルサーバーなど）を遮断したとき、どの事業・どの顧客接点が何分で止まるか、依存関係を書き出せるか。
  3. ランサムウェアを検知した直後に『全面遮断』と『部分遮断』のどちらを選ぶか、判断基準と判断者は決まっているか。全面遮断した場合、顧客や取引先との連絡手段は何が残るか。
  4. グループ会社や委託先と同じ基盤を使っている場合、インシデント時の告知の文面・タイミング・窓口をどう統一するか。

未解明点

  • 侵入経路（VPN機器・リモートアクセス・認証情報など）、侵入時期、ランサムウェアの種類、攻撃グループ
  • 被害サーバー2カ所（グループのサーバー、京王プラザホテルのサーバー）の役割、攻撃された順序、グループ内での横展開の有無
  • データ持ち出しの有無と、顧客情報（京王パスポートクラブ会員、ホテル宿泊者、予約者など）・取引先情報への影響
  • 身代金要求の有無と対応方針（9/28正午時点で『確認していない』以降の情報なし）
  • 京王ポイント・精算関連システムの復旧時期と、停止期間中の取引データの整合回復の方法
  • 業績への影響額と、個人情報保護委員会への報告の有無

出典

  1. 1
  2. 2
    「お問合せフォーム」のシステム障害について
    京王電鉄2026-09-28公式本文確認済
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
    システム障害に関するお知らせとお詫び
    京王ストア2026-09-27公式本文確認済
  9. 9
  10. 10
    【システム障害対応】2026年9月有効期限のポイント失効について
    京王パスポートクラブ2026-09-28公式本文確認済
  11. 11
    【システム障害対応】2026年10月有効期限のポイント失効について
    京王パスポートクラブ2026-10-07公式本文確認済
  12. 12
    京王グループ内のシステム障害に関するお知らせとお詫び
    京王パスポートクラブ2026-10-07公式本文確認済
  13. 13
  14. 14
  15. 15
  16. 16
  17. 17
    Japan's Keio confirms ransomware attack disrupted business systems
    BleepingComputer2026-09-28報道本文確認済
  18. 18
    Japanese railway operator Keio hit by ransomware attack
    SC Media2026-09-29報道本文確認済
  19. 19
    京王電鉄にランサムウェア攻撃
    ScanNetSecurity2026-09-30報道本文確認済
  20. 20
  21. 21
    京王プラザホテルにランサムウェア攻撃 システムの一部に障害、ホテル営業は継続
    セキュリティ対策Lab（Rocket Boys）2026-09-28報道本文確認済
  22. 22
  23. 23
  24. 24
  25. 25
    京王ランサム攻撃が映す「多角化企業」のつなぎ目
    ビジネスジャーナル2026-10-02報道本文確認済
  26. 26
  27. 27
  28. 28
    京王電鉄にランサム攻撃（共同通信配信）
    OANDA証券（共同通信配信記事）2026-09-26報道本文確認済