この記事の要点は？

京王電鉄は2026年9月26日、グループのサーバーがランサムウェア攻撃を受け一部グループ会社の営業システムに支障が出た一方、鉄道の運行に支障はないと公表しました。東京地下鉄は9月27日、メトポ会員向けサービスへの不正アクセスで約59,000件のメールアドレスが閲覧または取得された可能性を公表。似て見える2件の違いと、どちらにも共通する「被害が止まった境界」の読み方を整理します。

2026年9月29日

電車は動いたのに、店のシステムは止まった — 京王と東京メトロ、同じ週の2つのサイバー被害を読み比べる

この記事は 2026年9月29日時点のニュースです。現在の提供状況とは異なる場合があります。誤りの訂正は随時行います。

ITニュース解説セキュリティランサムウェア 2026年9月

被害が及んだ範囲（赤）と、境界の向こう側で守られた範囲（緑）の対比

ひよこ

ペンギン先生、鉄道の会社で立て続けにサイバー被害のニュースが出てたよね？京王と東京メトロって見たんだけど、同じような事件が2回起きたってことなの？

ペンギン先生

いい疑問だね。ぱっと見は「鉄道会社がサイバー攻撃を受けた」で同じに見えるけど、中身はかなり違う2件なんだ。京王電鉄が2026年9月26日に公表したのはランサムウェアによる攻撃で、グループのサーバーがやられてシステム障害が起きたという話。東京地下鉄が9月27日に公表したのは、メトポ会員向けサービスへの不正アクセスで、メールアドレスが閲覧または取得された可能性があるという話だよ。約59,000件と書かれている。

ひよこ

「ランサムウェア」と「不正アクセス」って、どう違うの？どっちも悪い人が入ってくるイメージだけど…。

ペンギン先生

入ってくるところまでは似ているけど、起きる被害の向きが違うんだ。ランサムウェアはデータを暗号化したりして「使えなくする」方向。だから真っ先に出るのは業務が止まるという被害だね。一方、情報を盗む方向の不正アクセスは、システム自体は動いたままで「中身が持ち出される」ことが問題になる。実際、東京メトロの発表は運行への支障ではなくメールアドレスの件数の話になっているよね。ただし「止める側」と「盗む側」はきれいに分かれるわけじゃなくて、京王の発表も「情報漏洩の事実については現在確認できておりません」としたうえで調査を続けている。業務が止まったからといって、持ち出しの心配がないと決まったわけではないんだ。

ひよこ

京王のほう、電車はふつうに動いてたよね？システムがやられたのに電車が動くって、なんだか不思議な気がするの。

ペンギン先生

そこが今回いちばん考えさせられるところでね。京王の発表には「一部グループ会社の営業システムに支障が生じております」と書かれている一方で、「現時点では鉄道の運行には支障はありません」とはっきり書いてある。同じグループが攻撃を受けたのに、被害が片方でとどまっているわけだ。なぜそうなったのかまでは発表に書かれていないから断定はできないけれど、一般論としてこういう差が生まれる代表的な理由が、用途ごとにシステムの置き場所とつながりを分けておくネットワーク分離という考え方だよ。つながっていない相手には、攻撃はそのままでは届かないからね。

ひよこ

へえ！じゃあ分けておけば攻撃されても安心ってこと？

ペンギン先生

惜しい。分離は「被害をゼロにする仕組み」じゃなくて「被害が広がる範囲を区切る仕組み」なんだ。現に京王の営業システムのほうは止まってしまっている。それに京王は発表の中で「被害拡大防止のためのネットワーク遮断措置等を講じる」とも書いていて、これは事故が起きたあとに手で切り離した対応だよね。つまり実務では、あらかじめ分けてあることと、いざというとき切り離せることの両方が要る。片方だけだと、切りたくても構造的に切れなかったり、分けてあっても気づくのが遅れたりするんだ。

ひよこ

なるほど…。じゃあ東京メトロのほうは、何が漏れちゃったの？ 5万9000件って聞くとすごく多い気がして怖いよ。

ペンギン先生

件数だけ見るとびっくりするよね。ただ発表をよく読むと、対象がかなり限定されているんだ。不正アクセスを受けたのは「メールの送信不能により当社側で配信を停止しているメールアドレスが格納されたサーバー」だと書かれている。要するに、送っても届かなくなって配信を止めたアドレスをためておくサーバーだね。そして「当該サーバーにはメールアドレス以外の会員情報は含まれていないことを確認しており」とも明記されている。

ひよこ

あっ、それって京王の話と似てない？大事なものを別のところに置いてあったから、そこまでは取られなかったってことだよね？

ペンギン先生

よく気づいたね、そこが今回の2件をならべて読む価値がある理由だよ。京王のほうは営業システムと鉄道の運行のあいだで被害が止まり、東京メトロのほうはメールアドレスだけを置いたサーバーとそれ以外の会員情報のあいだで止まった。粒度はぜんぜん違うけど、どちらも「被害の範囲が、どこかに引かれていた境界で止まった」という同じ構図なんだ。何もかも1か所にまとめてあるほうが作るのは楽なんだけど、そのぶん事故のときに全部いっぺんに持っていかれる。分けるコストは、こういう日のために払っているものなんだよ。

ひよこ

でもメールアドレスだけなら、そんなに悪いことには使えないんじゃないの？名前もカード番号も入ってなかったんだよね？

ペンギン先生

それがね、メールアドレス単体でも、ある情報とセットになると価値が上がるんだ。今回でいうと「このアドレスは東京メトロのメトポ会員のものだ」という事実が一緒についてくる。すると攻撃側は、無差別にばらまく代わりに「東京メトロからのお知らせ」を装ったメールを、本当に会員の人だけに送れてしまう。だから東京メトロの発表も、対象の人へメールで連絡するとしたうえで「別途の手続きや外部サイトへの遷移をお願いすることはいたしません」「当社を装った不審なメールには十分お気を付けいただきますよう」とわざわざ書いているんだ。フィッシングへの注意喚起だね。案内の送信元も「メトロポイントクラブ事務局」の i.metpo@tokyometro.jp だと明記されているよ。

ひよこ

「手続きや外部サイトへの案内はしません」って先に宣言しておくのは、たしかにわかりやすいね。じゃあわたし側でできることってあるの？

ペンギン先生

いちばん効くのは、メールの中のリンクから入らないこと。心当たりのある会社からの通知でも、いったんそのメールを閉じて、自分がふだん使っているブックマークや検索から公式サイトを開いて確認する。この順番を守るだけで、装ったメールのほとんどは空振りに終わるよ。差出人のアドレスが正しく見えるかどうかだけで判断しないのも大事で、表示名も送信元表記も偽装できるからね。今回のように公式が「送信元はこれです」と書いてくれている場合も、その一致は参考のひとつであって、合格印ではないんだ。

ひよこ

わかった、リンクを踏む前にいったん止まるんだね。最後にひとつ、こういう会社の発表って、これからどんな気持ちで読めばいいの？

ペンギン先生

覚えておくと差がつくのは、公表文は「調査の結論」ではなく「その時点までにわかったこと」のスナップショットだ、ということ。京王も東京メトロも、どちらも調査を継続中だと書いている。東京メトロの発表は末尾に「現在も、影響範囲及び原因の詳細について調査を継続しております」と記しているし、京王の「情報漏洩の事実については現在確認できておりません」は、漏れていないという意味ではなく、まだ確認できていないという意味なんだ。だから件数や影響範囲は、あとから増えることも、逆に絞り込まれることもある。それと、京王の発表が「一部グループ会社の営業システム」としか書いていないように、公表文が具体的なシステム名を避けるのは珍しいことじゃない。調査中で断定できないし、攻撃側に手の内を教えることにもなるからね。書かれていることと同じくらい、何がまだ書かれていないかを見ると、続報が出たときに落ち着いて読めるようになるよ。

出典・確認した情報

京王電鉄 — ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び
発表日: 2026-09-26 ／確認日: 2026-09-29
- 発表日は2026年9月26日、発表者は京王電鉄株式会社。9月26日未明にグループのサーバーへの「ランサムウェアによる攻撃」を確認したとしている。
- 影響について「一部グループ会社の営業システムに支障が生じております」と記載し、具体的な社名・サービス名までは書かれていない。
- 「現時点では鉄道の運行には支障はありません」と明記している。
- 対応として「被害拡大防止のためのネットワーク遮断措置等を講じる」とともに、「警察への通報等を行ったうえで、ランサムウェアによる攻撃の経路や被害に関する調査を外部専門家の協力を得て進めております」としている。
- 情報漏えいについては「情報漏洩の事実については現在確認できておりません」としたうえで、引き続き調査を進めている状況だと記載している。
東京地下鉄 — メトポ会員向けサービスにおける不正アクセス事案の発生について（お詫び）
発表日: 2026-09-27 ／確認日: 2026-09-29
- 発表日は2026年9月27日、発表者は東京地下鉄株式会社。メトポ会員向けサービスで第三者による不正なアクセスが行われ、メールアドレスが「閲覧または取得された可能性がある」ことが判明したとしている（約59,000件）。
- 「現段階では、メトポ会員のお客様が登録されているメールアドレスのうち、メールの送信不能により当社側で配信を停止しているメールアドレスが格納されたサーバーに不正アクセスされたことを確認しております」と記載している。
- 「当該サーバーにはメールアドレス以外の会員情報は含まれていないことを確認しており、不正なアクセスをされた被疑箇所は特定し、不正アクセスを防止するための対策を実施しております」としている。
- 対象となる顧客にはメールで連絡するとしたうえで、「別途の手続きや外部サイトへの遷移をお願いすることはいたしませんので、当社を装った不審なメールには十分お気を付けいただきますよう」と注意喚起している。案内の送信元は「メトロポイントクラブ事務局<i.metpo@tokyometro.jp>」と明記されている。
- 末尾に「現在も、影響範囲及び原因の詳細について調査を継続しております」と記載されており、発表時点で調査は終わっていない。

電車は動いたのに、店のシステムは止まった — 京王と東京メトロ、同じ週の2つのサイバー被害を読み比べる

出典・確認した情報

関連コラム