日本交通へのマルウェア感染（ランサムウェア主張あり）による電話配車・ハイヤー予約の約3か月停止と保有ファイルの外部流出
公表日
タクシー大手の日本交通がサイバー攻撃を受け、電話でのタクシー配車やハイヤーのWeb予約などが約3か月止まりました。会社が持っていたファイルの一部が外部に流出したことも確認されています。
対象者は？
流出したファイルにどんな情報が含まれていたか、個人情報が含まれるかどうか、その件数は、まだ公表されていません。会社は、漏えいが確認された場合は該当する方に通知するとしています。
会社から個別の連絡があるまでは、公式のお知らせで続報を確認してください。専用の問い合わせ窓口（0120-009-098、平日9時〜17時）が設けられています。
いますぐできること
- 日本交通を名乗るメール・電話・SMSで、個人情報の確認や支払いを求められても応じない。気になるときは公式サイトの窓口に自分から問い合わせる
- 電話配車や陣痛タクシーの登録を使う予定がある方は、公式サイトで再開の状況を確認しておく
何が起きたのか
2026年7月11日の未明、日本交通の社内システムが外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。（悪いプログラム）に感染しました。会社は被害が広がらないようにシステムを止め、社内ネットワークを切り離しました。そのため、電話でのタクシー配車、ハイヤーのWeb受注と予約管理、出産前の妊婦さん向け「陣痛タクシー」のWeb登録などが使えなくなりました。タクシーの運行は続き、利用者にはアプリ「GO」や乗り場、流しのタクシーを使うよう案内されました。7月22日には流出した疑いのある情報がインターネット上で見つかり、8月19日に会社が持っていたファイルの一部が外部に流出したことが確認されました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたか、どんなマルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。だったかは、まだ公表されていません。犯行グループ「AiLock」は、日本交通から2.9TBのデータを取ったと主張していますが、会社はこれを認めておらず、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害だとも明言していません。システムを止めてから、安全を確かめて再開するまでに約3か月かかりました。
いまの状況2026-10-05 時点続報待ち
外部の専門機関による診断と再発防止策の確認を終えたとして、電話配車と陣痛タクシーのWeb登録を10月6日の午前11時に再開する予定と発表しました。ハイヤーのWeb受注・予約管理と一部の社内システムの復旧時期は示されていません。流出したファイルの中身、個人情報の有無と件数、侵入の経路、再発防止策の内容は、まだ発表されていません。
企業として考えたいこと
電話での受付や予約のシステムが3か月止まったら、自社はどの手段でお客様の注文を受け続けられるでしょうか。別のシステムで動く代わりの窓口はあるでしょうか。
技術的な要約
日本交通は2026年7月11日（土）未明、社内システムが外部からの不正アクセス（マルウェア感染）を受け、システム遮断などの緊急措置を取ったと7月13日に公表した。電話によるタクシー配車、ハイヤーWEB受注・予約管理システム、陣痛タクシーのWeb登録、一部社内システムが停止し、利用者にはタクシーアプリ『GO』での日本交通指定や乗り場・流し車両の利用を案内した。7月15日にランサムウェアグループAiLockがリークサイトに同社を掲載し、2.9TB（非圧縮）のデータ保有を主張したが、同社は攻撃者名もランサムウェアであることも公式には認めていない。同社は7月22日の第3報で流出の疑いのある情報をインターネット上で確認、8月19日の第4報で保有ファイルの一部の外部流出を確認したと公表したが、ファイルの内容・個人情報の有無・件数は2026-10-10時点で非公表。電話配車と陣痛タクシーWeb登録は外部専門機関の診断を経て10月6日11:00に再開予定とされ（発生から約3か月）、ハイヤーWEB受注の復旧時期は示されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は『外部からの不正アクセス（マルウェア感染）』とのみ記載（7/13）。侵入経路・侵入日・感染端末/サーバー・マルウェア名は第4報（8/19）、一部サービス復旧のお知らせ（10/5）でも非公表。同社はランサムウェアとは明言しておらず、ランサムウェアの分類はAiLockのリークサイト掲載（攻撃者の主張）と報道に基づく。AiLock自体の初期侵入ベクトルも公開情報では確認されておらず、メール添付・リモートアクセスへの認証情報推測/流用などはRaaS一般の想定にとどまる（セキュリティ対策Labの解説）。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・機器・製品は2026-10-10時点で一切非公表。VPN機器等の境界機器の関与を示す公式・報道情報も確認できなかった。
- 攻撃者
- AiLock 被害組織は認めていない2026-07-15にAiLockがリークサイトへ『Nihon Kotsu Co., Ltd.』を掲載（ransomware.liveの発見時刻 09:50 UTC）。『2.9TB uncompressed data』の保有を主張し、公開予定は『Coming soon』、7/22 21:11時点でサンプル未公開（セキュリティ対策Lab）。『会社の代表者が連絡しなければ全データを近日公開する』旨の文言（DeXpose）。
- ATT&CK
影響
- 業務停止
- あり 7/11未明の検知後、被害拡大防止のため同社がシステムを遮断し社内ネットワークを隔離。その結果、電話によるタクシー配車、ハイヤーWEB受注・予約管理システム、一部社内システムが利用不可、陣痛タクシーのWebフォーム新規登録（東京23区・武蔵野市・三鷹市、立川、横浜、埼玉）を7/13 17:00から停止。タクシーの運行自体は継続し、別法人GO株式会社のアプリ『GO』経由の配車・乗り場・流し営業で代替。報道によればグループの車両規模はタクシー8,558台・ハイヤー2,000台超。10/2には愛のタクシーチケットが日本交通からのチケット受け渡し遅延で会員への請求が遅れる可能性を公表した（セキュリティ対策Lab）。期間：2026-07-11〜2026-10-06 11:00（電話配車・陣痛タクシーWeb登録の再開予定、約3か月）。ハイヤーWEB受注・予約管理システムと一部社内システムの復旧時期は10/5時点の公表になし
- データ
- 確定上限 —確定 —その他（内容非公表の保有ファイル）7/13第1報時点は『調査中・漏えいの事実は確認されていない』。7/22第3報で『流出した疑いのある情報をインターネット上で確認』、8/19第4報で『保有していたファイルの一部が外部に流出』と確定。ただし流出ファイルの内容、個人情報（顧客・乗務員・陣痛タクシー登録者等）の有無、件数・人数はいずれも非公表で、漏えいが確認されれば該当者に通知するとしている段階。攻撃者AiLockは2.9TB（非圧縮）の保有を主張しているが、同社はこの数字を確認していない。
- 波及先
- —
- 陣痛タクシー登録希望者（日本交通・日本交通立川・日本交通横浜・日本交通埼玉の4エリアでWeb登録不可）
- ハイヤー法人顧客（WEB受注・予約管理システム停止）
- 愛のタクシーチケット会員（チケット受け渡し遅延による請求遅延の可能性、10/2公表と報道）
- 金銭影響
- —
- サプライチェーン
- 委託先経由の侵入や他社への侵害波及は公表されていない。配車の代替として別法人GO株式会社のアプリ『GO』が稼働を続けており、配車チャネルの一部が別システムで動いていたことが業務継続に寄与した（両社のネットワーク構成は非公表）。
時系列
- 2026-07-11未明、社内システムへの外部からの不正アクセス（マルウェア感染）が発生。検知後、システム遮断・社内ネットワーク隔離などの緊急措置1
- 2026-07-13
- 2026-07-13 17:00
- 2026-07-15
- 2026-07-22 15:00
- 2026-07-22AiLockのリークサイトは『2.9TB uncompressed data』を主張、公開は『Coming soon』で21:11時点サンプル未公開（セキュリティ対策Lab確認）10
- 2026-08-19 11:00
- 2026-10-02愛のタクシーチケットが、日本交通からのチケット受け渡し遅延により会員への請求が遅れる可能性を公表（報道）16
- 2026-10-05 10:00
- 2026-10-06 11:00
技術解説
公表内容の構造：業務影響は具体的、技術情報はほぼゼロ 事実
日本交通の公式発表は計5本（7/13お詫びとご報告・7/13入力フォーム停止・7/22第3報・8/19第4報・10/5一部復旧）で、停止したサービス名と代替手段、問い合わせ窓口（0120-009-098）は明示されている。一方で、侵入経路、侵入日、マルウェア名・ランサムウェアか否か、暗号化の有無、感染範囲（サーバー台数・端末数）、流出ファイルの内容と件数、個人情報保護委員会や警察への報告状況はいずれも記載がない。なお7/22付が『第3報』と題されており、7/13の2本が実質的に第1報・第2報に当たる（INTERNET Watchは7/13のお詫びとご報告を第2報と整理）。10/5の復旧告知でも漏えい調査の新たな結果は示されず、復旧と漏えい調査が別の時間軸で進んでいる。
攻撃者の主張と公式発表のギャップ 事実
同社は7/13時点で『漏えいの事実は確認されていない』としたが、7/15にAiLockがリークサイトで犯行を主張し、7/22の第3報で同社自身が流出疑い情報をネット上で確認、8/19に保有ファイルの一部流出を確定させた。AiLockは2.9TB（非圧縮）を主張しているが、同社は攻撃者名・データ量とも認めていない。AiLockは2025年3月にZscaler ThreatLabzが発見したとされるRaaSで、ChaCha20とNTRUEncryptのハイブリッド暗号、拡張子『.AiLock』、72時間以内の応答要求、支払わなければ個人情報保護当局や競合他社に通報すると脅す手口が報告されている（セキュリティ対策Lab）。ただし本件で暗号化が行われたか、同手口が使われたかは公表されていない。
なぜ電話配車の再開に約3か月かかったか（推測） 解釈
タクシー運行そのものは止まらず、アプリ『GO』経由の配車が代替手段として機能した。GO株式会社は日本交通とは別法人であり、配車プラットフォームが別系統で動いていたことが『運行継続・電話配車停止』という影響の非対称を生んだと考えられる（構成は非公表、推測）。電話配車はコールセンター（CTI/PBX）と配車システム・車載端末連携から成り、社内ネットワークに深く結合しているため、ネットワーク全体を遮断・隔離した後は安全性確認なしに再接続できない。10/5告知が『外部専門機関によるセキュリティ診断と再発防止策の検証』を再開条件として挙げていることから、再構築・再診断を経た段階的再開と読める。高齢者や陣痛タクシー利用者などアプリを使わない層への影響が長期化した点は、BCPで代替チャネルの利用者層まで考慮する必要を示す。
『流出確定・中身不明』が続くリスク 解釈
8/19に流出を確定させながら、10/10時点で内容・件数・対象者が示されていない。タクシー事業者は陣痛タクシー登録者（氏名・住所・電話・出産予定日など）、ハイヤー法人顧客の予約・乗降履歴、乗務員の人事情報などを保有しうるため、利用者側は自分が対象かどうかを判断できず、なりすましSMSや不審電話への警戒を続けるしかない状態にある（保有データの種類は推測）。同社は不審メール・リンクへの注意喚起を当初から行っているが、AiLockが当局通報を恐喝手段にするとされる点も踏まえると、調査完了を待たず『どのシステムのファイルか』だけでも段階的に開示する方が、二次被害防止と信頼維持の両面で有利だった可能性がある。
対応
- 封じ込め
- 7/11未明の検知後、システム遮断・社内ネットワーク隔離などの緊急措置。外部セキュリティ専門機関と連携し影響範囲特定・原因究明・ログ解析を実施。陣痛タクシーWebフォームを停止し二次被害防止。10/5時点で外部専門機関のセキュリティ診断と再発防止策の検証を完了したとして、電話配車と陣痛タクシーWeb登録を10/6 11:00に再開予定。再発防止策の具体的内容は非公表。
- 公表の仕方
- 7/13に第1報（お詫びとご報告、入力フォーム停止）、7/22第3報（流出疑い情報をネット上で確認）、8/19第4報（保有ファイルの一部流出を確認）、10/5一部サービス復旧を公表。同一ページの更新履歴で続報を追える形式。攻撃者名・ランサムウェアであること・侵入経路・流出内容は非公表。専用窓口0120-009-098（平日9:00〜17:00）を設置。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 全面遮断後、電話配車の再開まで約3か月を要した | 配車・コールセンター（CTI/PBX）・予約管理を社内ネットワークから分離したセグメント／別テナントに置き、侵害時に『業務系だけ遮断・顧客接点系は継続』できるよう事前にファイアウォールルールの隔離プロファイルを用意。オフラインの再構築手順（ゴールデンイメージ、構成コード、IaC）を年1回復元演習する |
| 外部の別系統プラットフォーム（GO）が代替チャネルとして機能した | 主要な顧客接点ごとに『社内システムに依存しない代替手段』をBCPに列挙し、アプリを使わない利用者（高齢者、陣痛タクシー登録者等）向けの暫定受付（別回線・手書き台帳・外部コールセンター委託）の起動手順と判断者を決めておく |
| 侵入経路・マルウェアが特定・公表されず、同種企業が自社対策に活かせない | EDRの全端末・全サーバー配備と、認証ログ・VPN/リモートアクセス機器ログ・プロキシログを最低1年、侵害されにくい別環境（WORMストレージ/SIEM）に保管し、初期侵入点を特定できる状態を平時から作る |
| 流出確定後も内容・件数が長期間示されていない | システム別に保存している個人データの項目・件数・保存場所をデータインベントリとして維持し、流出ファイルのパスやリークサイトのファイル名一覧から『どのシステム由来か』を数日で突合できるようにする。突合結果は確定前でも段階的に開示する公表方針を定める |
| RaaSによる二重恐喝（データ窃取＋公開予告）で、暗号化がなくても流出が起きる | ファイルサーバー・NASからの大量読み出しと外部への大容量アップロード（rclone、MEGA、クラウドストレージ宛て通信等）をDLP/プロキシで検知・遮断し、アウトバウンド通信を許可リスト化する |
自組織などでの確認項目
- あなたの会社で基幹システムを全面遮断した場合、顧客が今日使っている窓口（電話、Web、アプリ）のうちどれが動き続け、どれが止まるか。止まる窓口の利用者層は誰か。
- 自社の顧客接点のうち、社内ネットワークに依存しない別系統（外部SaaS、他社プラットフォーム）で継続できるものはあるか。それを意図的に設計すべきか、依存先を増やすリスクとどう比べるか。
- 『保有ファイルの一部が流出した』と確定した時点で、中身が分からないまま何を、いつ、誰に伝えるべきか。あなたの会社なら突合にどれくらいかかるか。
- 攻撃者がリークサイトで主張する容量や内容を、自社の公表でどこまで言及・否定すべきか。
未解明点
- 初期侵入経路（VPN/リモートアクセス機器、フィッシング、認証情報流用等）と侵入日、攻撃者の滞在期間
- マルウェアの種類、暗号化の有無と範囲（AiLockの関与を同社が認めるか）
- 流出したファイルの内容、個人情報（顧客・陣痛タクシー登録者・乗務員・法人顧客）の有無と件数、AiLockの2.9TB主張との整合
- 個人情報保護委員会・警察への報告状況
- ハイヤーWEB受注・予約管理システムと一部社内システムの復旧時期、再発防止策の具体的内容
- 業績への影響（同社は非上場で開示義務が限定的）
出典
- 1日本交通2026-07-13公式本文確認済
- 2日本交通2026-07-13公式本文確認済
- 3日本交通2026-07-22公式本文確認済
- 4日本交通2026-08-19公式本文確認済
- 5日本交通2026-10-05公式本文確認済
- 6BleepingComputer2026-07-13報道本文確認済
- 7Security Affairs2026-07-14報道本文確認済
- 8Cybernews2026-07-14報道本文確認済
- 9セキュリティ対策Lab（ロケットボーイズ）2026-07-14報道本文確認済
- 10セキュリティ対策Lab（ロケットボーイズ）2026-07-23報道本文確認済
- 11ransomware.live2026-07-15研究者本文確認済
- 12DeXpose2026-07-15研究者本文確認済
- 13ScanNetSecurity2026-07-15報道本文確認済
- 14INTERNET Watch2026-08-19報道本文確認済
- 15ScanNetSecurity2026-09-04報道本文確認済
- 16セキュリティ対策Lab（ロケットボーイズ）2026-10-06報道本文確認済
- 17innovatopia2026-07報道本文確認済
- 18セキュリティ対策Lab（ロケットボーイズ）2026-07-16研究者本文確認済