ライドオンエクスプレス（銀のさら）、委託先のランサムウェア被害で最大約650万件

事案の概要データ

図解：この事故の構造

何が起きたのか

ライドオンエクスプレスホールディングスは2026年10月7日に第一報を出し、10月13日の続報で、最大約650万件の個人情報が漏えいした可能性があることを公表しました。

原因は、サーバーの運営を委託していた会社がランサムウェア攻撃を受けたことです。同社自身のシステムが直接攻撃されたわけではありません。

宅配サービスが持つ情報の特性

宅配の注文データには、氏名・電話番号に加えて、必ず「配達先の住所」が含まれます。しかも、実際に届けた実績のある、確実に居住している住所です。

さらに注文履歴からは、世帯の人数（注文量）、生活パターン（注文の時間帯や曜日）まで推測できます。

こうした情報は、訪問型の詐欺や、宅配業者を装った不在通知SMSの材料として使われる可能性があります。対象となった方は、身に覚えのない宅配の連絡や訪問に注意してください。

「サーバーの運営を委託している」という状態

多くの企業は、自社でサーバーを持たず、運営を外部に任せています。保守の手間がなく、専門知識も不要になるためです。

しかし、そのサーバーにある顧客データの管理責任は委託元にあります。委託先がランサムウェアで暗号化されれば、自社のデータも巻き添えになります。

確認すべきは3点です。1つ目は、委託先がバックアップをどこに保管しているか（同じネットワーク上では意味がありません）。2つ目は、事故が起きたときに何時間以内に報告が来る契約になっているか。3つ目は、自社側にもデータの控えがあるかです。

2026年10月は、委託先経由の事案が特に多い月となりました。第一興商（委託先のパソコン1台・約872万件）、スカラコミュニケーションズ（証券・時計・保険）、IDCフロンティア（495者）、アルカディア（全国の自治体）、そして本件です。

時系列で見る経過

• 2026年10月上旬サーバー運営を委託していた会社がランサムウェア攻撃を受ける
• 2026年10月7日第一報を公表
• 2026年10月13日最大約650万件の個人情報が漏えいした可能性があると公表

中小企業が学ぶべきポイント

1. サーバー運営を委託していても、顧客データの管理責任は委託元にある。
2. 委託先のバックアップの保管場所を確認する。同じネットワーク上では意味がない。
3. 事故時の報告期限を契約に明記する（例：覚知から24時間以内）。
4. 自社側にもデータの控えを持つ。委託先が復旧できないこともある。
5. 配達先住所は「確実に人が住んでいる住所」。訪問型の詐欺の材料になりやすい。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope