東京都西部を中心に路線を展開する私鉄大手の京王電鉄は2026年9月26日、グループのサーバがランサムウェアによる攻撃を受け、システム障害が発生していると発表した。同社は影響を受けたネットワークを隔離し、外部専門家の協力を得て調査を実施した。影響は一部のグループ会社にも及んだ。京王プラザホテルではシステムの一部に支障が生じ、顧客からの問い合わせ対応に遅延が生じた。

　対策本部を設置して影響範囲などの調査および復旧対応を進めていた京王電鉄だが、2026年10月21日に個人情報が漏えいした可能性があると発表した。攻撃を行ったと名乗る組織が「京王グループから窃取した」と主張している情報が公開されたと、外部専門家から報告を受けたという。公開された情報の内容や影響範囲は現在調査中だ。

　列車の運行は通常通り維持されたが、この事案は社内ITの停止がいかに早く顧客向け業務に波及するかを浮き彫りにした。

　東京メトロは、2026年9月27日に「メトポ」会員向けサービスのサーバに格納された約5万9000件のメールアドレスが不正アクセスを受けたと公表した。同社は侵入経路とみられる箇所を特定し、是正措置を講じた。

　同社は2026年10月23日にも、東京メトロのイベントメールマガジン登録者のメールアドレス約8万件が流出したと発表した。原因は、イベントメールマガジン配信のために利用している外部サービス「ブラストメール」への不正アクセスだ。

　専門家は、流出した顧客データが長期的なフィッシングのリスクをもたらすと警告する。攻撃者が運行通知や払い戻し、アカウント更新を装って認証情報を窃取し、社内ネットワークへの二次侵入を狙う恐れがあるためだ。

　国際法律事務所Reed Smithのテック＆データグループでパートナーを務めるフィリップ・トーマス（Philip Thomas）氏は、米TechTargetの取材に次のように語った。

　「運輸事業者に対する攻撃の多くは、OT（運用技術）システムではなくITシステムから始まっている。社内ネットワークへのランサムウェア攻撃や予約・発券システムの侵害は、制御システムへの侵入を伴わなくても、運行サービスに重大な支障を来す原因になる」

社内ITの脆弱性がOTのリスクを生む仕組み

　鉄道をはじめとする重要インフラ事業者は、IT（情報技術）とOTという、可用性、安全性、復旧要件が大きく異なるシステムを複合的に管理している。

　CyoloのCEO兼共同創業者アルモグ・アピリオン（Almog Apirion）氏は、運輸事業者がレガシーなOTシステム、広い地域に分散したインフラ、外部の保守ベンダーへの高い依存度といった特有の課題に直面していると指摘する。Cyoloは重要インフラ向けのOTとサイバーフィジカルシステムのセキュリティを専門とする企業だ。

　「運輸業界において、攻撃の成功がもたらす影響は、データの侵害や業務の停止にとどまらない。必須サービスを中断させ、数千人の乗客に影響を与え、公共の安全を脅かす恐れがある。どちらか一方の環境が侵害されれば、もう一方にもリスクが波及する可能性があるため、接続経路をセキュアに保ち、システム間の脅威拡大を防ぐことが重要だ」（アピリオン氏）

　法律事務所Stoel Rivesのパートナーであり、AI・プライバシー・サイバーセキュリティグループの共同代表を務めるジョン・パボロツキー（John Pavolotsky）氏も警鐘を鳴らす。ITとOTのネットワーク分離が不十分な場合、従業員のアカウントやビジネスアプリケーションが侵害されることで、運用環境へのリモートアクセス経路や信頼された接続が作られる可能性があるという。

　「攻撃者は信号や列車制御、運行管理、保守点検といった安全に関わるシステムを妨害する恐れがある。ただし、その影響範囲はシステムアーキテクチャや安全対策の設計によって異なる」とパボロツキー氏は指摘する。

　常時付与されている特権アカウント、管理が不十分なリモートアクセス、退職した従業員や委託業者の有効なままのアカウントなどが、リスクの高い侵入経路となる。

接続されたインフラ全体でアイデンティティー境界を保護する

　こうしたシステムの相互依存関係は、港湾や空港、ライフラインを含むより広範なインフラ全体にも広がっている。米政府監査院（GAO）の最近の調査では、航空分野のサイバーセキュリティガバナンスや米連邦航空局（FAA）の戦略実行、脅威検知の目標が十分に達成されていないことが判明した。

　トーマス氏は、重要インフラへの攻撃がもたらす結果は、単なる不便さや業務中断、財務上の損失にとどまらないと指摘する。

　「運輸業界への攻撃は、人や物の移動を止め、航行システムを混乱させ、サプライチェーンを遮断または遅延させて、個人の健康と安全を危険にさらす可能性がある」（トーマス氏）

　輸送資産が進化するにつれ、アイデンティティー管理が運用の現場を守る主要な境界線（ペリメータ）になりつつある。AIセキュリティ企業Upstreamのジュゼッペ・セリオ（Giuseppe Serio）氏は、新たなコネクテッドインフラが未知の侵入経路をもたらしていると警告する。

　「列車、自動車、ロボット、ドローン、産業機械が、クラウドアカウントやAPI、AI搭載システム、AIエージェントを通じて制御される場面が増えている。アカウントを掌握した者が機械そのものを支配することになる」とセリオ氏は語った。