サイゼリヤのシステム障害とランサムウェア被害｜2024年10月の経緯・漏えい6.1万件・原因

サイゼリヤでは2024年10月5日以降、複数のサーバーでシステム障害が起き、一部のサービスが止まりました。外部のセキュリティ企業の調査で、10月13日に第三者の不正アクセス（いわゆるランサムウェア攻撃）と確認されています。12月の報告で漏えい、または漏えいの恐れがあるとされたのは取引先関係者2,234件と、従業員・元従業員とその家族58,853件の個人情報です。店舗で使われたクレジットカードやポイントカードの情報は含まれず、来店客の個人情報は漏えいしていないと同社は説明しています。この記事では、同社の2本の発表を突き合わせて時系列と被害範囲を整理し、攻撃を主張したRansomHubのその後と、決算への表れ方まで確認します。

まとめ：サイゼリヤのランサムウェア被害の要点

被害の中心は社内の人事・取引先データで、来店客の決済情報は対象外です。侵入経路は公表されていません。

2026年10月2日時点で公式サイトから確認できる本件の発表は、2024年10月16日の第1報（PDF）と2024年12月の報告（PDF）の2本です。サイトのリニューアルで旧URL（/PDF/irpdf001511.pdf・irpdf001529.pdf）はどちらも404になり、現在は /files/ 配下に置かれています。第1報はIR一覧の2024年分からたどれますが、12月の報告はIR一覧には載っていません。2025年8月期の決算短信にも、事件直後の第1四半期・中間期の決算短信にも、本件に関する記載や損失の計上は見当たりません。

2024年10月のシステム障害から第1報と12月報告の公表までの時系列

時系列は、サイゼリヤの2024年10月16日付「当社におけるランサムウェア被害に伴うサービスの一部停止と情報漏えいに関するお知らせ」と、2024年12月付「不正アクセスによる個人情報漏えいのお詫びとご報告」に、リークサイトの掲載記録を重ねると次のとおりです。

10月5日のシステム障害で止まったもの：社内システムの一部とサービス

第1報が挙げた影響は「当社の重要な社内システムが一部使用できなくなって」いることと、「一部のサービスが停止」したことの2点です。停止したサービスの名称は発表のどこにも書かれていません。対応は、不正アクセスを受けたサーバーをインターネットと社内ネットワークの両方から切り離す隔離でした。店舗の営業停止に触れた記述は第1報にも12月の報告にもありません。営業への影響について公式情報で言えるのは、社内システムの一部停止までです。

リークサイト掲載とサイゼリヤの攻撃確認が同じ10月13日だった点

ランサムウェアのリークサイト掲載を収集するransomware.liveの記録には、RansomHubによるサイゼリヤ（saizeriya.co.jp）の掲載日時が2024年10月12日20時32分（UTC）、つまり日本時間10月13日5時32分と記録されています。同サイトがこの掲載を検知したのは日本時間10月13日7時10分です。サイゼリヤが調査会社から攻撃を確認したのも10月13日です。サイゼリヤが攻撃を確認したのと同じ10月13日の日本時間早朝には、攻撃者側が被害者リストへの掲載を済ませていました。確認が掲載の前だったか後だったかは公表されていません。はっきりしているのは、障害の発生から8日間は原因がランサムウェアと特定されておらず、同社の第1報より3日早く攻撃者側の告知が出ていたことです。

漏えいした個人情報の件数と対象者（第1報と12月報告の比較）

2本の発表は、対象者の区分と表現が異なります。第1報は調査途中の「可能性」の列挙、12月の報告は調査結果としての件数です。

漏えいした項目は、取引先関係者が「氏名、住所、メールアドレス、電話番号」等、従業員側が「氏名、住所、生年月日、電話番号、メールアドレス」等です。合計61,087件の96.3%を従業員・元従業員とその家族の分が占める計算です。12月の報告は見出しで「漏えい等が発生し、または発生した恐れがある個人情報」としており、件数には発生の恐れがあるものも含まれます。二次被害の報告は受けていないとしたうえで、不審な連絡への注意を呼びかけています。

来店客への影響：クレジットカード・ポイントカード・個人情報の扱い

来店客が気になるのは、店で支払った自分の情報が漏れたかどうかです。第1報の時点で、店舗で利用されたクレジットカードやポイントカードの情報は漏えいの可能性の範囲に含まれていませんでした。12月の報告では、当社を利用した客に関する個人情報は漏えいしていないと明記されています。

来店客について公表で追えるのはここまでで、今回の件を理由に店舗でのカード払いを避ける根拠は発表の中にありません。影響を受けうるのは、2024年10月時点までにサイゼリヤで働いた人とその家族、および取引先の担当者です。第1報では過去に採用面接を受けた一部の人も漏えいの可能性の対象に挙がっていましたが、12月の報告にはこの区分の記載がありません。第1報は、個人情報を悪用した迷惑メールが届く可能性を挙げ、不審なメールは開かずに削除するよう求めています。問い合わせ先として12月の報告に記載されたのは、カスタマーフリーダイヤル（0120-209-629）です（2024年12月の報告時点の窓口）。

サイバー攻撃の原因と侵入経路：12月報告で公表された範囲と未公表の部分

12月の報告が原因として書いたのは「当社の一部サーバーがマルウェアに感染したことで、第三者が不正にアクセスできたものと考えられます」の一文だけです。どの機器・どの脆弱性から入られたのか、VPN機器や認証情報の悪用があったのかは公表されていません。本件を特定のCVEや製品名に結びつける一次情報はありません。特定の脆弱性を原因と断定している解説は、根拠を確かめてから読むべきです。

12月の報告は、外部のセキュリティ企業に更なる内部調査と原因分析、対応策の検討を依頼して継続していること、法律事務所に相談のうえ当局への対応を含めた法的対応・措置を検討していることも記しています。再発防止策の具体的な中身は示されていません。2026年10月2日時点で、調査完了や再発防止策を伝える追加の公式発表は、IR一覧と公式サイト内では見つかっていません。

攻撃を主張したRansomHubの手口と2025年4月のインフラ停止

RansomHubは、米FBI・CISA・MS-ISAC・HHSが2024年8月29日に出した共同勧告AA24-242Aで取り上げられたランサムウェア・アズ・ア・サービス（RaaS）です。勧告によれば、前身はCyclopsとKnightで、2024年2月の登場から少なくとも210の組織のデータを暗号化・窃取しました。データの暗号化と窃取を組み合わせる二重恐喝モデルをとります。

CISA勧告AA24-242Aに記載されたRansomHubの初期侵入の手口

AA24-242Aは、RansomHubのアフィリエイト（実行役）がインターネットに面したシステムや端末に入る方法として、フィッシングメール、既知の脆弱性の悪用、パスワードスプレーを挙げています。悪用が観測された脆弱性には、Citrix ADC（NetScaler）のCVE-2023-3519などが含まれます。サイゼリヤの侵入経路がこのどれに当たるかは公表されていないため、ここでの記述はRansomHub全般の傾向です。

サイゼリヤ事案でのRansomHubの主張と2025年4月のインフラ停止

国内のセキュリティニュースは、RansomHubがサイゼリヤから23GBのデータを盗んだと主張し、支払い期限を過ぎたとして2024年10月23日ごろにデータの公開を主張したと報じました。いずれも攻撃者側の主張で、サイゼリヤはデータ量に言及していません。

その後、RansomHubのリークサイトを含むインフラは2025年4月1日から停止しました。The Hacker Newsは2025年4月30日の記事で、アフィリエイトが別のRaaSであるQilinなどへ移り、競合のDragonForceが「RansomHubは我々の基盤へ移ることを決めた」と地下フォーラムで主張したと報じています。グループの名前が消えても実行役は別のブランドで活動を続けるため、「RansomHubは終わった」ことは防御を緩める理由になりません。

決算への影響：2025年8月期決算短信の特別損失と記載の有無

攻撃が起きた2024年10月は、サイゼリヤの2025年8月期（2024年9月〜2025年8月）に含まれます。2025年10月15日公表の同期決算短信（29ページ・PDF）には、ランサムウェア、不正アクセス、システム障害のいずれの語も出てきません。2025年1月8日の第1四半期決算短信と4月9日の中間期決算短信も同じで、特別損失は減損損失・固定資産除却損・店舗閉店損失などの通常の項目だけです。

2025年8月期の特別損失の内訳は減損損失664百万円、固定資産除却損96百万円、店舗閉店損失59百万円で、本件に対応する項目は立っていません。売上高は前期比14.3%増、当期純利益は37.0%増でした。調査費用などが販管費に含まれている可能性はありますが、特別損失として切り出すほどの規模ではなかったと読めます。アサヒグループの事案のように受注・出荷が止まり、通期業績予想の下方修正に至ったケースとは、影響の出方が大きく違います。なお、2026年8月期の決算短信は2026年10月2日時点でまだ公表されていません（IR一覧の最新は第3四半期決算短信）。

サイゼリヤの事案から外食チェーンが点検すべき対策と優先順位の付け方

この事案で漏えい件数の96.3%を占めたのは、客ではなく従業員とその家族のデータでした。会員アプリ等で大規模な顧客データベースを持たず、パート・アルバイトを大量に雇う外食チェーンでは、人事データの方が件数も項目（生年月日・住所）も重くなりがちです。対策の順序も、決済基盤より先に人事・総務系のファイルサーバーから見直すべきです。

• 退職者データの保存期間：元従業員と家族の情報が件数に含まれた。法定の保存期間を過ぎた人事ファイルを電子ファイルのまま共有サーバーに残していないかを棚卸しする。
• 障害時のランサムウェア判定：障害の発生から攻撃の確認まで8日かかり、確認と同じ日には攻撃者のリークサイトへの掲載も出ていた。複数サーバーの同時障害は、原因調査と並行して暗号化・窃取の痕跡確認を初日に始める手順にしておく。
• 外部に面した機器と認証：CISAはAA24-242Aで、OS・ソフトウェア・ファームウェアの更新をすぐ当てること、SMS以外のフィッシング耐性のある多要素認証をできるだけ多くのサービスで必須にすることを求めている。

逆に、「来店客のカード情報を守るため」として店舗の決済端末だけに予算を寄せる判断は、この事案の被害構造には合いません。決済情報は最初から対象外で、漏れたのは従業員と取引先の個人情報でした。

人事・総務系のファイルサーバーや外部に面した機器を、攻撃者と同じ視点で洗い出したい場合は、一創の脆弱性診断・セキュリティ診断で点検できます。

食品物流のニチレイでも2026年7月にシステム障害とRansomHouseの犯行声明が報じられています。経緯とサプライチェーンへの波及はニチレイのサイバー攻撃とRansomHouseの犯行声明で整理しています。

よくある質問

サイゼリヤのランサムウェア攻撃はいつ起きましたか？

2024年10月5日以降に複数のサーバーでシステム障害が起き、10月13日にランサムウェア攻撃と確認されました。公表は10月16日の第1報と、2024年12月の漏えい件数の報告の2回です。

サイゼリヤのシステム障害の原因は何ですか？

12月の報告によれば、一部のサーバーがマルウェアに感染し、第三者が不正にアクセスできたことが原因と考えられています。侵入に使われた機器や脆弱性は公表されていません。

サイゼリヤの店舗で使ったクレジットカードは漏れましたか？

店舗で利用されたクレジットカードやポイントカードの情報は、第1報の時点で漏えいの可能性の範囲に含まれていませんでした。12月の報告では、来店客の個人情報は漏えいしていないと明記されています。

サイゼリヤを攻撃したRansomHubとはどんなグループですか？

2024年2月に登場したランサムウェア・アズ・ア・サービスで、CISAの勧告では同年8月までに少なくとも210組織を攻撃しています。リークサイトなどのインフラは2025年4月1日から停止し、実行役は他のグループへ移ったと報じられています。

サイゼリヤの元従業員は何をすればよいですか？

元従業員と家族の氏名・住所・生年月日・電話番号・メールアドレス等が漏えい件数に含まれています。同社は不審な連絡への注意と、不審なメールを開かずに削除するよう呼びかけています。自分が対象か確かめたい場合は、12月の報告に記載されたカスタマーフリーダイヤルに問い合わせてください。

関連記事

• ニチレイのサイバー攻撃・システム障害とは？RansomHouseの犯行声明と経緯・防御設計を解説
• アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧と漏えい229万件（2026年8月）
• 2025年に発生したアスクルへのランサムウェア攻撃: 約74万件の個人情報流出事件の概要と影響を解説
• 村田製作所の情報漏洩｜約8.8万件に取得のおそれ・2026年不正アクセスの原因と時系列
• ランサムウェアの起源と語源｜世界初の攻撃から名前の由来・歴史をたどる