京王電鉄のランサムウェア被害を、本社発表ではなくグループ各社の障害告知から読み直す。止まった機能を線で結ぶと見える共通基盤と、その共通基盤を作るベンダー側まで、次に確認すべき範囲を整理する。
9月26日未明、京王電鉄は「ランサムウェアによる攻撃の影響でシステム障害が発生している」と発表した。
公表された事実は少ない。
京王グループのサーバーに対するランサムウェア攻撃を確認したこと。一部グループ会社の営業システムに支障が出ていること。鉄道運行には支障がないこと。そして、被害拡大防止のためネットワークを遮断したことだ。
情報漏えいについては「現在確認できていない」としており、攻撃経路、侵入日時、暗号化されたサーバー、影響を受けた会社名、攻撃者についてはいずれも明らかにしていない。
9月29日時点でも、本体から攻撃経路や暗号化範囲を説明する第2報は出ていない。
これだけを読んでも、実際に何が起きたのかはほとんど分からない。
ただし、本社ではなくグループ会社側の障害を並べると、別の姿が見えてくる。
京王プレッソインでは、システム障害によって新規予約が停止した。
それだけではない。
チェックイン・チェックアウトに時間を要し、メールで届いた問い合わせを確認できない状態も発生している。障害発生前に受信していた問い合わせについても確認できないと説明している。
京王電鉄本体でも、9月28日に新たな告知が出た。
問い合わせフォームから送信された内容を社内で確認できない。
さらに団体乗車券、京王ライナー個室プラン、ロケーションサービスについても、フォームやメールで申し込まれた内容を確認できず、電話受付へ切り替えた。対象には9月25日17時以降に送信された申込みも含まれている。
つまり「Webフォームが表示できない」のではない。
表側では送信できても、内側からその内容を取り出せない。
ここは重要だ。
一方、京王ゴルフ練習場では、システムが復旧しないまま9月28日から営業を再開した。
ただし現金のみ。
練習場独自のICカード、クレジットカード、交通系ICは利用できない。
京王百貨店も9月28日、26日朝から一部売場でクレジットカード決済などが利用できず、ポイント利用もできないこと、さらに「友の会」カウンターの手続き全般が停止していることを公表した。ここでも、被害拡大防止のためネットワークを遮断していると説明している。
注目したいのは書き方だ。京王百貨店は障害の起点を「弊社グループ会社のシステム」と書いている。自社のシステムではなく、グループ会社側のシステムの障害で、自社の売場が止まっているということだ。
そして、さらに分かりやすいものがある。
京王パスポートクラブは9月26日、
「京王ポイントサービスにおけるシステム障害発生のお知らせとお詫び」
を掲載した。
9月28日の続報では、「一部店舗にて京王ポイントサービスがご利用いただけない」と説明している。さらに、9月末日で失効するポイントについては、後日再び使えるよう対応するとしている。
本社発表では「一部グループ会社の営業システム」としか書かれていなかったが、グループ会社側では具体的な機能名が出ている。
ここまでを並べてみる。
予約。
チェックイン。
問い合わせ。
団体乗車券の申込み。
クレジットカード決済。
店舗独自ICカード。
京王ポイント。
友の会。
ゴルフ場。
一見すると、全部違うシステムに見える。
しかし共通点がある。
どれも、その場だけで処理が完結する機能ではない。
顧客、予約、会員、残高、決済、申込みといった情報を、後ろにあるシステムへ問い合わせなければ動かない。
ここで、京王電鉄の第一報に戻る。
同社は「ランサムウェアでこれらすべてのシステムが暗号化された」とは発表していない。
書かれているのは、
「ただちに被害拡大防止のためのネットワーク遮断措置等を講じた」
ということだ。
そう考えると、今回見えている大量の障害には別の説明ができる。
例えば、ポイントDBそのものが暗号化されたからポイントが使えないのではなく、
店舗からポイント基盤へ到達する経路を切ったため使えない。
予約システムそのものが全部壊れたのではなく、
ホテル側から予約・顧客管理基盤へ到達できないため処理できない。
問い合わせフォームが壊れたのではなく、
インターネット側では受け付けても、社内側からそのデータを取り出せない。
ゴルフ場も同じだ。
ボールを出して客を入れることはできる。
だから現金なら営業できる。
しかしICカードや決済など、中央側への照会が必要になるものは使えない。
こう考えると、これまで別々に見えていた障害が一本につながる。
現時点で私が最も疑っているのは、一つの巨大な顧客DBがすべてを動かしている、という単純な構造ではない。
むしろ、
グループ各社が利用する業務系ネットワーク、認証、会員・顧客、ポイントなどの共通領域について、侵害範囲が確定できないため広く遮断した
という状態だ。
もちろん、これは外形からの推測だ。
実際にどのサーバーが暗号化されたのか、Active Directoryなどの認証基盤まで侵害されたのか、それとも一部の業務サーバーだけなのかは公表されていない。
しかし少なくとも、「ホテルの予約システム」「百貨店の決済システム」「ゴルフ場のICカード」が偶然同時に別々に壊れた、と考えるよりは、一つのネットワーク境界や共通基盤を止めた結果と見る方が、現在の公表内容を説明しやすい。
京王は以前から、グループ内のサービスをつなぐ方向へ進んできた。
2023年10月には、京王アプリと連携する共通ID「京王ID」を開始している。
京王IDは京王電鉄自身が、
ひとつのアカウントで様々なサービスを利用できる
会員サービスとして説明している。京王トレインポイントの利用にも京王IDが必要だ。
さらに京王アプリでは、京王パスポートカードを紐付けると、スマートフォンを京王ポイントカードとして利用できる。
京王IDまたは既存の京王ポイントWebサービスIDでログインし、ポイント残高や履歴も確認できる。
そして2026年4月には統合がさらに進んだ。
京王ポイントWebサービスへ京王IDでもログインできるようになり、京王IDと京王パスポートカードを紐付けるキャンペーンまで実施されている。
つまり京王は、
鉄道。
ポイント。
百貨店。
スーパー。
アプリ。
チケット。
これらを別々の顧客として扱うのではなく、一人の顧客としてつなぐ方向に進んでいる。
これは当然のDXだ。
利便性も上がるし、グループ横断で顧客を理解できる。
京王自身も統合報告書で、京王アプリと京王IDを「お客様とのデジタル接点」と位置付け、IDとのシームレスな連動と、そこから得られるデータを活用した新サービスを進める方針を示していた。
ただし、セキュリティの側から見ると別の意味も持つ。
つなぐほど、止まった時の影響も横へ広がる。
今回起きていることは、その構造が初めて実事故として外から見えたものかもしれない。
ここからは、さらに慎重に見る必要がある。
今回、京王IDの公開DNSやメール設定を調べると、keio-id.jp のDMARCレポート送信先として、アイテック阪急阪神のドメインが設定されていることを確認できる。
これだけで、同社が京王IDを開発・運用しているとは断定できない。
DMARCレポートの受信先は、メール運用やセキュリティ監視だけを委託している場合もある。
ただ、両社の関係が全くないわけではない。
アイテック阪急阪神は、京王百貨店の「京王ネットショッピング」に自社ECプラットフォーム「HIT-MALL」を導入した実績を公開している（2016年から）。
しかも提供範囲はECシステムだけではない。
サーバー・インフラ、コンテンツ制作、運用管理、物流、プロモーションまで含む。
京王百貨店側も、同社について「当社の仕組みや運用にも深く入り込んでくれている」と説明している。
実際、今回の外形調査でも、京王百貨店のECサイトはHIT-MALLで動いていることを確認できた。
（外形調査では個別のホスト名も確認できるが、事案対応中のため用途のみ記載する。）
ここで注目したいのは、個別製品よりもベンダー側の戦略だ。
アイテック阪急阪神は、阪急阪神グループの共通ID「HH cross ID」に関わっている。
HH cross IDは、鉄道、ホテル、商業施設、住宅、宝塚歌劇など、阪急阪神グループの多数のサービスを一つのIDで利用する仕組みだ。
そしてアイテック阪急阪神の現在の中期経営計画を見ると、非常に興味深い言葉が出てくる。
同社は2025～2030年度のDXソリューション戦略として、
「グループ共通ID基盤（認証基盤／分析基盤）の連携範囲拡大」
を掲げている。
その先には、
「グループ共通ID基盤および関連基盤の横展開」
と明記されている。
さらに「共通ログイン」「アプリ」「Webサービス」「会員サービス」を共通DX基盤につなぎ、それをグループ全体へ展開する絵まで掲載されている。
同社は採用情報でも、阪急阪神グループへの導入実績を生かし、グループ外へ幅広く展開すると説明している。
ここで話が京王に戻る。
京王も、共通IDとポイントとアプリをつなげている。
アイテック阪急阪神も、共通ID・認証・分析基盤を作り、その仕組みを横展開する戦略を持つ。
そして同社には、少なくとも京王百貨店での開発・インフラ・運用実績がある。
京王IDの外形にも同社との接点が見える。
だから、今回確認すべき範囲は京王の社内だけとは限らない。
ここは誤解してはいけない。
現時点で、阪急阪神側に今回の京王事案と関連する障害が発生している証拠はない。
HH cross IDも通常のサービス案内を継続しており、今回の京王事案に関する障害告知も確認できていない。
また、京王IDとHH cross IDが同じシステム、同じAWSアカウント、同じテナント、同じソースコードで動いているという証拠もない。
同じSIerが作っていることと、同じ基盤を共有していることは全く違う。
だが、だから確認不要ということでもない。
今回の侵入経路次第で、話は大きく変わる。
例えば侵入経路が、
京王社員へのフィッシング。
京王社内端末から盗まれた認証情報。
京王固有のVPN装置。
京王固有のActive Directory。
このようなものなら、基本的には京王固有のインシデントだ。
しかし、もし原因が別の場所にあったらどうか。
共通ID製品の脆弱性。
複数顧客で利用している認証コンポーネント。
同じライブラリ。
同じコンテナイメージ。
同じIaCテンプレート。
同じリモート保守環境。
ベンダー側の管理アカウント。
CI/CD。
ソースコード管理環境。
開発者端末。
こうしたものが侵入口だった場合、影響範囲の考え方は全く変わる。
同じ仕組みを導入している他社側でも、同じ脆弱性や侵害痕跡がないか確認する必要がある。
サプライチェーン攻撃では、顧客一社を攻撃するよりも、その顧客を管理する開発会社や運用会社へ入った方が、攻撃者にとって効率がいい。
今回そうだったという証拠はない。
だが、ベンダー自身が「共通基盤を横展開する」ビジネスモデルを掲げている以上、事故調査では当然そこまで切り分ける必要がある。
京王の次の発表で見たいのは、ランサムウェアの名前ではない。
もっと構造的な情報だ。
侵入したのはいつか。
最初に侵害された端末やサーバーは何か。
認証基盤に侵害はあったのか。
暗号化されたものと、安全のために停止したものを分けるとどうなるのか。
ネットワーク遮断はどの境界で実施したのか。
京王ポイント、京王ID、予約、決済などの共通基盤に直接の侵害はあったのか。
そして、開発・保守を担当する外部ベンダーの環境に侵害はなかったのか。
さらにベンダー側にも確認したい。
同じソースコードやライブラリを他社へ展開していないか。
同じCI/CDや管理環境を複数顧客で共有していないか。
共通の運用アカウントやリモート接続経路がないか。
もし共通部分があるなら、阪急阪神を含めた他の導入先についても同じ侵害痕跡を確認したか。
ここまで確認できて、初めて「京王のランサムウェア事件」の境界が分かる。
今回の事案で興味深いのは、どのサーバーが暗号化されたかだけではない。
京王はこの数年、鉄道、ポイント、百貨店、スーパー、アプリなど、グループ内に散らばっていた顧客接点をつなごうとしてきた。
共通IDを作る。
ポイントをつなぐ。
アプリから使えるようにする。
顧客データを横断して活用する。
DXとしては正しい方向だ。
しかし、サービスをつなげれば、障害の境界も変わる。
今回、鉄道運行そのものは止まらなかった。
一方で、その周辺にあるホテル、ポイント、決済、申込み、店舗業務には広く影響が出た。
これは、京王グループのデジタル化がどこまで進んでいたかを、逆に障害が可視化したようにも見える。
本社の第一報だけを読めば、
「ランサムウェアで一部システム障害」
で終わる。
グループ会社を一社ずつ見ると、
どの機能が同じ場所につながっていたのか
が見え始める。
そしてさらに一歩外へ出ると、
その共通基盤を誰が作り、どのような形で他社へ横展開しているのか
という次の問いが出てくる。
今回の答え合わせで最も重要なのは、攻撃者の名前よりもここだと思う。
侵害されたのは京王固有の環境だったのか。 それとも、他社にも存在する共通の部品・開発環境・運用経路だったのか。
後者なら、これは京王だけを見て終わる事案ではない。
Aikido Community Japan
公開日: 2026/9/28
最終更新: 2026/9/29
セキュリティの最新情報をお届けします。