鉄道は動き、レジが止まった…京王ランサム攻撃が映す「多角化企業」のつなぎ目

●この記事のポイント
2026年9月26日、京王電鉄グループのサーバーがランサムウェア攻撃を受け、京王ストアのキャッシュレス決済や京王プレッソインの新規予約などが止まった。運行システムは別系統で、鉄道は平常どおり運行した。2026年上半期の被害が過去最多の123件となった警察庁統計も踏まえ、グループ共通基盤とネットワーク遮断がもたらす多角化企業の構造的リスクと対策を解説する。

　9月26日の未明、京王電鉄はグループのサーバーがランサムウェア攻撃を受けていることを確認した。日本経済新聞によれば、確認したのは午前5時台から6時台。同社はすぐにネットワークを遮断し、警察に通報したうえで、外部の専門家と調査に入っている。

　その週末も京王線はいつも通り走っていた。一方で沿線のスーパーではカードが通らず、ホテルは新規予約を止めた。「電車は無事なのに、なぜ買い物ができないのか」。利用者が抱いたこの素朴な疑問は、鉄道を軸に事業を広げてきた企業グループ全体に関わる問いでもある。

●目次

• 影響は流通、ホテル、旅行へ
• 鉄道が無事だったのは系統だから
• 裏返せば「つながっている」ところに影響が出た
• 京王だけの問題ではない
• 経営に突きつけられた3つの宿題
• 問われるのは「止まらないこと」より「止まり方」

影響は流通、ホテル、旅行へ

　まず、9月30日時点で公表されている事実を整理しておく。

　京王電鉄の発表では、一部グループ会社の営業システムに支障が出ている一方、鉄道の運行に支障はない。情報漏えいは現時点で確認されていないが、事業上の機密や顧客情報の流出も含めて影響範囲を調べている。身代金要求の有無について同社は「詳細は控える」としており、侵入経路や攻撃グループも明らかになっていない。

　各社の告知を並べると、影響の広さが見えてくる。京王ストアとキッチンコートの一部店舗ではクレジットカードや電子マネーなど現金以外の決済ができなくなり、マツモトキヨシの一部店舗を含めて京王ポイントの付与・利用が止まった。京王百貨店でも一部売場でカード決済やポイント利用ができず、友の会カウンターの手続きも止まっている。京王プレッソインは新規予約の受け付けを当面停止し、セルフチェックイン機や客室Wi-Fiも使えなくなった。京王観光はオンライン予約を止め、京王電鉄自身も問い合わせフォームや団体乗車券の申し込み内容を確認できない状態にある。いずれも復旧時期は示されていない。

　なお、京王観光、京王バス、京王パスポートクラブの告知は障害の原因に触れておらず、ランサムウェア攻撃との関係は公式には明示されていない。

鉄道が無事だったのは系統だから

　鉄道が止まらなかった理由について、読売新聞は運行システムのサーバーが別系統だと報じている。具体的な構成は公表されていないが、一般に鉄道の運行管理や信号保安を担う制御系（OT）は、会計や販売を担う情報系（IT）とは設計の前提からして違う。

「制御系は『異常時には必ず安全側に倒れる』ことと『外から触らせない』ことを前提に組まれています。社内の業務ネットワークとは物理的にも論理的にも切り分けるのが基本で、今回運行に影響が出なかったのは、その分離が機能した結果とみるのが自然でしょう。ただし、どこまで外部と切れているかは事業者によって違う。保守用の接続口が弱点になりうるのは、鉄道に限らず制御系に共通する課題です」（サイバーセキュリティコンサルタント・新實傑氏）

　鉄道は国の重要インフラ分野の一つに位置づけられ、国土交通省も鉄道事業者向けに情報セキュリティ確保のガイドラインを示してきた。運行が守られたのは運が良かったからではなく、長年積み上げてきた分離の結果と言っていい。

裏返せば「つながっている」ところに影響が出た

　では、なぜ小売やホテルでは影響が広がったのか。侵入経路が公表されていない段階で、どこから入られたかを論じるのは早い。ただ、影響の出方からは一つの構造が読み取れる。

　京王ポイントはスーパーでもドラッグストアでも使える。会員基盤、決済、予約、問い合わせ窓口――利便性を高め、運用コストを抑えるために共通化してきた仕組みほど、中心のサーバーが攻撃を受けると、複数の会社に同時に影響が出る。

　もう一つ見落とせないのが、被害の拡大を防ぐための「遮断」そのものが及ぼす影響だ。

「ランサムウェアの初動でネットワークを切るのは正しい判断です。ただ、切った瞬間に外部の決済網や予約サイトとの連携も止まる。暗号化された範囲と、遮断によって止めざるを得なかった範囲は、必ずしも一致しません。グループで基盤を共有していると、安全のための遮断が、本来は無事なはずの業務まで止めてしまう。平時から『どこを切れば何が止まるか』を把握できている企業は、まだ多くないのが実情です」（同）

　ITとOTの分離が守りの成功例だとすれば、IT同士の結び付きは、効率化の裏側でリスクが集まる場所でもある。

京王だけの問題ではない

　鉄道を中心に不動産、流通、ホテル、レジャーを束ね、沿線の価値を高める。これは日本の大手私鉄に共通するビジネスモデルで、共通ポイントや会員IDでグループ内の回遊を促す戦略も広く採られている。他社に同じ弱点があると決めつけることはできないが、構造が似ていれば、点検すべき論点も似てくる。

　統計もこのリスクを裏付けている。警察庁が9月10日に公表した資料によると、2026年上半期に報告されたランサムウェア被害は123件で、半期としては統計開始以来の最多となった。感染経路が判明した36件のうち18件はVPN機器、9件はリモートデスクトップ経由で、外部とつながる入り口が主な侵入口になっている。調査・復旧費用は、有効回答35件のうち21件が1000万円以上だった。

　被害が自社の外まで広がる例も記憶に新しい。2025年10月のアスクルのランサムウェア被害では、同社に物流を委託していた良品計画やロフトのネット通販まで停止に追い込まれた。

「攻撃者は企業グループの組織図を見て攻めてくるわけではありません。インターネットに露出した機器を機械的に探し、入れたところから内部に広がっていく。親会社の対策がどれだけ厚くても、子会社や委託先の機器一台、管理者アカウント一つが入り口になれば同じことです。グループ経営では、いちばん手薄な拠点の水準が全体の水準になると考えたほうがいい」（同）

経営に突きつけられた3つの宿題

　今回の件から、多角化企業が点検すべき論点は大きく三つある。

　一つ目は、「共通化」と「隔離」の両立だ。グループで基盤を共有する利点は大きく、元に戻す必要はない。ただしネットワークを区画に分け、ある会社や機能で異常が起きたときにその区画だけを切り離せる設計にしておく。遮断が全体の停止にならないようにする、という発想である。

　二つ目は、子会社や委託先まで含めた統制だ。VPN機器の棚卸し、パッチの適用、多要素認証といった基本対策が、グループの隅々まで同じ水準で回っているか。経済産業省は取引先の対策水準を星の数で示す「サプライチェーン強化に向けたセキュリティ対策評価制度」を2026年度末ごろに始める方針で、グループ内の基準づくりにも参考になる。

　三つ目は、システムが止まったときに現場がどう動くかだ。現金だけの会計、対面でのチェックイン、電話での申し込み受付。今回も各社は手作業に切り替えて営業を続けている。こうした代替手段を、何日間、どの規模で回せるのか。事前に決めてあるかどうかで、顧客への影響は大きく変わる。

問われるのは「止まらないこと」より「止まり方」

　現時点で、京王グループの復旧のめどや情報流出の有無はわかっていない。今後の調査で侵入経路が明らかになれば、論点はさらに具体的になるだろう。

　それでも、ここまでで言えることはある。本業の運行を守った分離の考え方は、グループのほかの事業にも応用できるはずだ。すべてを守り切るのは現実的ではない。どこかが止まったとき、どこで食い止められるか。サイバー攻撃が「起きるかどうか」ではなく「起きたときにどう止まるか」の問題になった今、その設計ができているかどうかが、グループ経営の力量として問われ始めている。

（文＝BUSINESS JOURNAL編集部、協力＝新實傑／サイバーセキュリティコンサルタント）

【主な参照データ・出典】
京王電鉄「ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び」（2026年9月26日）
京王ストア、京王百貨店、京王プレッソイン、京王観光ほか各社の障害告知（2026年9月26〜28日）
日本経済新聞「京王電鉄にランサム攻撃 鉄道に影響なしもホテルやスーパーに障害」（2026年9月27日）
読売新聞オンライン「京王電鉄グループにランサムウェア攻撃、ホテルや小売店で障害発生…鉄道運行は別系統で影響なし」（2026年9月27日）
piyolog「ランサムウェア攻撃による京王電鉄グループのシステム障害についてまとめてみた」（2026年9月30日）
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月10日）
日本経済新聞「アスクルのシステム障害、復旧見えず 無印良品とロフトはEC停止」（2025年10月）
経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度」制度構築方針（2026年3月27日）