「週に数百社」と言っていた集団が、名乗り出た

• 攻撃を名乗る組織が情報の一部を公開したと主張している
• 京王は真正なデータかどうかを含めて確認中
• 4日前に書いた集団と同じ名前が出ている

京王電鉄が10月16日、9月26日未明に確認したランサムウェア攻撃について第2報を公表した。

報道では、ロシア系とされるハッカー集団Qilinが犯行を主張しているとされる。4日前に「AIで週に数百社を狙う」という主張を扱った集団と同じ名前になる。

公式が書いていること

第2報は短い。新しく書かれているのは、ここだけになる。

この度、当社は当該攻撃を行ったと名乗る組織が当社グループ保有の情報の一部を公開した旨の主張を行っていることを確認いたしました。

続けて、こうある。

現在、外部専門家の支援を受けながら事実関係の確認を進めております。現時点では正確な情報の入手に努めております。なお、個人情報漏洩の事実が確認された場合には、速やかに適切に対処いたします。

「主張している」と書いている

注目したいのが、この書き方になる。公開されたと確認したのではなく、公開したと主張していることを確認した。

攻撃側が出した画像が、本当にその組織のものとは限らない。別の場所から取ったものや、加工したものの可能性もある。確かめるまでは、真正かどうか分からない。

報道によれば27枚の画像が出され、契約書類、社内のメール、雇用の記録といった内容とされている。ただし真正性は調査中になる。

二重恐喝という形

この集団の手口として報じられているのが二重恐喝だ。

1. データを暗号化して使えなくし、復旧と引き換えに身代金を求める
2. 支払われない場合、盗んだとする情報を公開すると圧力をかける

つまりバックアップがあっても終わらない。戻せば1つ目は解決するが、2つ目は残る。

IDCFクラウドの件では、スナップショットを使っていた194社がデータを取り出せた。あれは復旧の話だった。公開の圧力は、別の問題として残る。

公開の主張は、交渉の一部でもある

前回の記事で書いたとおり、攻撃側の発信には誇張する動機がある。公開も交渉を有利にするための手段になる。

だから出された画像の枚数や内容を、そのまま被害の大きさとして読まないほうがいい。京王が「主張を確認した」という書き方をしているのは、その意味でも正確になる。

止まったもの、止まらなかったもの

報道によれば、影響はこう分かれたとされている。

1行目が重要になる。運行を止める系統と、事務や販売の系統が分かれていた。

分けてあったから、止まらなかった

これは設計の成果として読める。同じネットワークに載っていたら、巻き込まれていた。

さくらの件で書いた「影響が箱の外に出るかどうか」と同じ話になる。分けてあれば、箱の中で収まる。

逆に言えば、止まったのは分けていなかった側になる。予約も決済も、利用者から見れば十分困る。

9月26日から3週間

攻撃の確認が9月26日未明、第2報が10月16日。3週間が経っている。

この間、対策本部を設置して影響範囲の調査と復旧を進めてきたとされている。公表が少ないのは、確定していないからと読むのが妥当だろう。

Eストアーは8月の第2報から2か月半かけて最終報を出した。この種の調査は、それくらいかかる。

まとめ

• 攻撃は9月26日未明に確認。第2報は10月16日
• 攻撃を名乗る組織が情報の一部を公開したと主張している
• 公式は「主張していることを確認した」と書いている。真正性は調査中
• 手口は二重恐喝。バックアップがあっても公開の圧力は残る
• 列車の運行に影響は無かった。制御系が独立していた
• 止まったのはホテルの予約、店舗の決済とポイント

出典

• 京王電鉄株式会社「ランサムウェア攻撃によるシステム障害に関するお知らせ 第２報」（2026年10月16日／PDF）（攻撃の確認日、対策本部の設置、公開の主張を確認したこと、調査の状況）
• Qilinという集団名、公開されたとされる画像27枚の内容、運行・ホテル・店舗への影響については、ビジネス＋IT（2026年10月18日配信）ほかの報道による

本記事は2026年10月18日時点で公表されている内容に基づく。公開されたとされる情報の真正性は確認中とされている。本記事は法的な助言ではない。