鉄道は動き、レジが止まった…京王ランサム攻撃が映す「多角化企業」のつなぎ目

●この記事のポイント
2026年9月26日、京王電鉄グループのサーバーがランサムウェア攻撃を受け、京王ストアのキャッシュレス決済や京王プレッソインの新規予約などが止まった。運行システムは別系統で、鉄道は平常どおり運行した。2026年上半期の被害が過去最多の123件となった警察庁統計も踏まえ、グループ共通基盤とネットワーク遮断がもたらす多角化企業の構造的リスクと対策を解説する。

　9月26日の未明、京王電鉄はグループのサーバーがランサムウェア攻撃を受けていることを確認した。日本経済新聞によれば、確認したのは午前5時台から6時台。同社はすぐにネットワークを遮断し、警察に通報したうえで、外部の専門家と調査に入っている。

　その週末も京王線はいつも通り走っていた。一方で沿線のスーパーではカードが通らず、ホテルは新規予約を止めた。「電車は無事なのに、なぜ買い物ができないのか」。利用者が抱いたこの素朴な疑問は、鉄道を軸に事業を広げてきた企業グループ全体に関わる問いでもある。

●目次

• 影響は流通、ホテル、旅行へ
• 鉄道が無事だったのは系統だから
• 裏返せば「つながっている」ところに影響が出た
• 京王だけの問題ではない
• 経営に突きつけられた3つの宿題
• 問われるのは「止まらないこと」より「止まり方」

影響は流通、ホテル、旅行へ

　まず、9月30日時点で公表されている事実を整理しておく。

　京王電鉄の発表では、一部グループ会社の営業システムに支障が出ている一方、鉄道の運行に支障はない。情報漏えいは現時点で確認されていないが、事業上の機密や顧客情報の流出も含めて影響範囲を調べている。身代金要求の有無について同社は「詳細は控える」としており、侵入経路や攻撃グループも明らかになっていない。

　各社の告知を並べると、影響の広さが見えてくる。京王ストアとキッチンコートの一部店舗ではクレジットカードや電子マネーなど現金以外の決済ができなくなり、マツモトキヨシの一部店舗を含めて京王ポイントの付与・利用が止まった。京王百貨店でも一部売場でカード決済やポイント利用ができず、友の会カウンターの手続きも止まっている。京王プレッソインは新規予約の受け付けを当面停止し、セルフチェックイン機や客室Wi-Fiも使えなくなった。京王観光はオンライン予約を止め、京王電鉄自身も問い合わせフォームや団体乗車券の申し込み内容を確認できない状態にある。いずれも復旧時期は示されていない。

　なお、京王観光、京王バス、京王パスポートクラブの告知は障害の原因に触れておらず、ランサムウェア攻撃との関係は公式には明示されていない。

鉄道が無事だったのは系統だから

　鉄道が止まらなかった理由について、読売新聞は運行システムのサーバーが別系統だと報じている。具体的な構成は公表されていないが、一般に鉄道の運行管理や信号保安を担う制御系（OT）は、会計や販売を担う情報系（IT）とは設計の前提からして違う。

「制御系は『異常時には必ず安全側に倒れる』ことと『外から触らせない』ことを前提に組まれています。社内の業務ネットワークとは物理的にも論理的にも切り分けるのが基本で、今回運行に影響が出なかったのは、その分離が機能した結果とみるのが自然でしょう。ただし、どこまで外部と切れているかは事業者によって違う。保守用の接続口が弱点になりうるのは、鉄道に限らず制御系に共通する課題です」（サイバーセキュリティコンサルタント・新實傑氏）

　鉄道は国の重要インフラ分野の一つに位置づけられ、国土交通省も鉄道事業者向けに情報セキュリティ確保のガイドラインを示してきた。運行が守られたのは運が良かったからではなく、長年積み上げてきた分離の結果と言っていい。