銀のさら不正アクセス：最大650万件の対象確認と窓口、パスワード変更の手順

宅配寿司「銀のさら」と「釜寅」「すし上等」の公式サイト・公式アプリに登録された情報が、サイバー攻撃で最大約650万件漏えいした可能性があります。運営するライドオンエクスプレスホールディングスが2026年10月13日の第3報で公表しました。登録情報を保管していたサーバーの運営会社がランサムウェア攻撃を受けたことによるもので、公式サイトとアプリからの注文は止まったままです。前半では、自分が対象か、どの電話番号が公式の窓口か、パスワードをどうするかに公式発表に沿って答えます。後半では、漏れた「パスワードのハッシュ値」の危険度を実測で示し、使い回したパスワードを調べるPythonと、会員データを外部に預ける事業者が見直す範囲を整理します。

まとめ：銀のさら・釜寅・すし上等の不正アクセスで公表された事実と登録者の対応

公表されているのは、10月5日以降に不正アクセスを検知し、10月7日早朝にサーバーの運営会社がランサムウェア攻撃を受けて、預けていたデータの取り出しや復元が困難になったという経過です。約650万件は漏えいした可能性のある総件数で、漏えいが確定した件数ではありません。第3報の時点で、二次被害は確認されていません。

登録者がやることは2つです。銀のさらで使っていたパスワードを他のサービスでも使っているなら、そちらを先に変えること。そしてパスワードの入力を求めるメールや不審な電話に応じないことです。問い合わせは、第3報に載ったお客様情報相談窓口の番号へ、自分で調べてかけます。

漏えいの可能性がある項目は、氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員IDです。窓口の受付は11月15日までは全日10時〜20時、11月16日以降は平日10時〜20時に変わります。

自分が対象かの確認：公式サイト・アプリへの登録の有無と家族・お届け先の情報

対象になる登録と対象外の注文経路（出前館・Uber Eats・電話のみ）

第3報によると、対象は「過去に公式サイト・公式アプリに情報をご登録いただいた方」です。いま使っていなくても、過去に会員登録したことがあれば対象に入ると読めます。退会した人の情報がどう扱われているかは書かれていません。

対象外と明記されているのは、出前館、Uber Eats、電話のみで注文した人です。いつも電話で頼んでいて公式サイトに登録した覚えがなければ、対象外と考えてよい書き方です。迷うときは、メールの受信箱を「銀のさら」「ginsara」で検索し、会員登録の完了メールや公式サイトからの注文確認メールが残っていないかを見ます。残っていれば登録者です。

個別の対象者には、同社から順次お詫びと案内を送ると第3報は書いています。ただし、送る手段（メールか郵送か）と時期は示されていません。

家族の誕生日とお届け先まで対象に入る理由と注文履歴から読み取られること

見落としやすいのは、登録者本人以外の情報です。第3報は、家族の氏名と誕生日を入力していた場合は家族の情報も、お届け先の氏名・住所・電話番号を入力していた場合はお届け先の情報も、漏えいした可能性があるとしています。実家や職場へ届けた記録があれば、その相手も対象になりえます。

注文履歴が加わる点も軽く見られません。誕生日に合わせた注文、いつも頼む曜日、届け先の住所がそろえば、「この家は何月に誕生日の家族がいて、週末に家にいる」と推測できます。家族や届け先の相手には、銀のさらを名乗る連絡が来ても応じないよう、ひとこと伝えておくと二次被害を防ぎやすくなります。

0120-782-272と0120-594-096：公式窓口の違いと不審な連絡の判別

第2報のお客様相談室と第3報のお客様情報相談窓口の番号と受付時間

今回の発表には、2つのフリーダイヤルが出てきます。10月8日の第2報が載せたのは「お客様相談室」の0120-594-096で、受付は10時〜20時（年中無休）です。10月13日の第3報は、本件専用として「ライドオンエクスプレス お客様情報相談窓口」の0120-782-272を載せています。

どちらも同社の発表に載った番号です。個人情報の漏えいについて聞くなら、第3報の0120-782-272が本件の窓口になります。第2報の番号は、サービス停止の時点で案内されたものです。どちらにかける場合も、届いたメールやSMSに書かれた番号は使わず、同社のニュースページで番号を確かめてからかけてください。

漏えい後に届く連絡の真偽を、公式の番号と照らして確かめた別の事例はタイムズカーの情報漏洩と0120-25-8924の真偽で整理しています。

順次届くお詫びの案内と、パスワード入力を求める不審メールへの対応

第3報は、件名や内容に心当たりがない、パスワードの入力を求めるといった不審なメールについて、返信やURLのクリックをせず削除するよう求めています。不審な電話にも注意を呼びかけています。一方で、同社からの正規の案内がどんな件名・差出人で届くかは公表されていません。

このため、届いたメールが本物かを文面だけで判断する方法はありません。確実なのは、メールに書かれたリンクや番号を一切使わず、自分で同社のニュースページを開いて内容を照合することです。公式サイトとアプリは注文が止まっているため、「アプリ再開に伴う再ログイン」「ポイント移行のための本人確認」といった名目でログインを求める連絡は、少なくとも第3報の時点では公式の案内と合いません。偽の連絡が成り立つ仕組みはフィッシング詐欺の仕組みと技術的対策で解説しています。

パスワードのハッシュ値が漏れた場合の危険度と使い回しを調べるPythonの手順

ハッシュ方式が未公表のまま残る点とSHA-256・scryptの解読コストの実測差

第3報は、パスワードについて「暗号化されており、そのままでは読み取りできない情報」と注記しています。ただ、ハッシュ値は元のパスワードに戻す計算ができないだけで、候補を片っ端からハッシュにかけて一致を探す総当たりには耐えません。どれだけ耐えるかは、方式で桁違いに変わります。銀のさらがどの方式を使っていたかは公表されていません。

OWASPのPassword Storage Cheat Sheetは、SHA-256のような高速なハッシュはパスワード保管に向かないとし、Argon2id、使えなければscrypt（N=2^17、r=8、p=1以上）などの遅い方式を勧めています。差を確かめるため、Pythonのhashlibで1秒あたりの試行回数を測りました（Python 3.14.7、Windows）。

# ハッシュ値が漏れたときの解読コストを、方式ごとに1秒あたりの試行回数で比べる
import hashlib, os, time

salt = os.urandom(16)
candidates = [f"guess{i:06d}".encode() for i in range(200000)]

t = time.perf_counter()
for c in candidates:
    hashlib.sha256(salt + c).digest()
sha = len(candidates) / (time.perf_counter() - t)

n = 20
t = time.perf_counter()
for c in candidates[:n]:
    hashlib.scrypt(c, salt=salt, n=2**17, r=8, p=1, maxmem=256 * 1024 * 1024)
scr = n / (time.perf_counter() - t)

print(f"SHA-256(ソルト付き): 1秒あたり {sha:,.0f} 回")
print(f"scrypt(N=2^17,r=8,p=1): 1秒あたり {scr:,.1f} 回")
print(f"試行速度の差: 約 {sha / scr:,.0f} 倍")

# 実行結果（2026年10月15日）
SHA-256(ソルト付き): 1秒あたり 672,574 回
scrypt(N=2^17,r=8,p=1): 1秒あたり 1.8 回
試行速度の差: 約 366,932 倍

手元のWindows PCで1プロセスを動かしただけでも、SHA-256なら1秒に約67万回試せます。攻撃者がGPUを使えば、さらに桁が上がります。scryptなら1秒に2回足らずです。よく使われる単語や「名前＋誕生日」のような短いパスワードは、高速なハッシュならすぐに割り出されると考えてください。方式が分からない以上、利用者は「割り出されうる」前提で動くのが安全です。ハッシュと暗号化の違いはハッシュ化とは：暗号化との違いとパスワード保管の仕組みで解説しています。

漏えいパスワードの照合APIで使い回しを確かめるPythonと実行結果

変更の優先度を決める材料として、自分のパスワードが過去の漏えいデータに出ているかを調べる方法があります。Have I Been PwnedのAPI文書によると、Pwned Passwordsは登録やAPIキーなしで使えます。パスワードのSHA-1ハッシュの先頭5文字だけを送り、同じ先頭を持つハッシュの一覧を受け取って手元で照合する方式（k-anonymity）なので、パスワードそのものは送りません。Add-Padding: trueを付けると、応答の件数から検索内容を推測されにくくなります。

# 使い回しているパスワードが過去の漏えいデータに含まれるかを調べる（Python 3.9以上・標準ライブラリのみ）
# 送信するのはSHA-1ハッシュの先頭5文字だけで、パスワードそのものは送らない
# 使い方: python check_pwned.py （入力は画面に表示されない）
import getpass, hashlib, urllib.request

pw = getpass.getpass("調べるパスワード: ")
h = hashlib.sha1(pw.encode("utf-8")).hexdigest().upper()
prefix, suffix = h[:5], h[5:]

req = urllib.request.Request(
    "https://api.pwnedpasswords.com/range/" + prefix,
    headers={"User-Agent": "pwned-check-sample", "Add-Padding": "true"},
)
with urllib.request.urlopen(req, timeout=15) as res:
    lines = res.read().decode("utf-8").splitlines()

count = 0
for line in lines:
    s, _, c = line.partition(":")
    if s == suffix:
        count = int(c)
        break

print("送信した先頭5文字:", prefix, "／返ってきた候補:", len(lines), "件")
if count:
    print("判定: 過去の漏えいデータに", count, "回出現。このパスワードを使っている全サービスで変更する")
else:
    print("判定: 漏えいデータには見つからない。ただし使い回していれば変更対象から外さない")

試験用の文字列2つで実行した結果です。1つ目はよく使われる「password123」、2つ目は無作為に作った長い文字列です。

送信した先頭5文字: CBFDA ／返ってきた候補: 2007 件
判定: 過去の漏えいデータに 2266543 回出現。このパスワードを使っている全サービスで変更する

送信した先頭5文字: D4B2A ／返ってきた候補: 2198 件
判定: 漏えいデータには見つからない。ただし使い回していれば変更対象から外さない

「見つからない」は安全の証明ではありません。今回の銀のさらのデータは、まだどこにも公開されていない可能性が高いからです。この照合で分かるのは、そのパスワードがすでに攻撃者の辞書に入っているかどうかで、入っていれば変更を最優先にします。見つからなくても、使い回していれば変える判断は同じです。

変更する順番：同じパスワードを使うメール・決済・通販サービスから

銀のさらの公式サイトとアプリは止まっているため、銀のさら側でパスワードを変える手段は第3報の時点で案内されていません。先に手を付けるべきは、同じパスワードを使っている他のサービスです。

1. 登録に使ったメールアドレスのアカウント（ここを取られると他のサービスの再設定を乗っ取られる）
2. クレジットカードや電子マネーを登録している通販・決済・ポイントのサービス
3. その他、同じメールアドレスとパスワードの組み合わせで登録しているサービス

変えるときは、サービスごとに別のパスワードにし、多要素認証を設定できるサービスでは必ず有効にします。漏れたハッシュから元のパスワードを割り出されても、2つ目の要素がなければログインできません。パスワードの決め方はNIST SP 800-63B-4に沿ったパスワード管理の決め方、多要素認証の仕組みは多要素認証（MFA）の3要素と実装方式で解説しています。

公式発表で追う経過：10月5日の不正アクセス検知から第3報の650万件公表まで

第1報から第3報までの時系列と、各報の公表内容の表現が変わった箇所

1. 10月5日以降：同社が利用するサーバーへの第三者による不正アクセスを検知し、調査を開始
2. 10月7日早朝：一部のサーバーで障害。運営会社からランサムウェア攻撃を受けた旨の報告を受け、システムを停止
3. 10月7日：第1報「システムの不具合」で公式サイト・アプリが使えないと告知
4. 10月8日：第2報「外部サーバーおよびシステム」の障害と公表、情報漏えいの有無は調査中
5. 10月9日：第2報に追記し、公式サイトにメニュー一覧と店舗検索を公開
6. 10月13日：第3報でサイバー攻撃と最大約650万件の漏えいの可能性を公表

第1報は原因を「システムの不具合」とだけ書いていました。第3報では、10月5日から不正アクセスを検知していたこと、7日の時点でランサムウェア攻撃の報告を受けていたことが明らかになっています。漏えいの明確な痕跡も範囲も特定できていない段階で、対象の可能性がある人に知らせる判断をしたと第3報は説明しています。保管を委託していたサーバーの運営会社名は、第3報でも公表されていません。

公式サイト・アプリの注文停止と10月6日21時以降の注文の扱い

第2報によると、10月6日21時までの注文は同社で保管しており、予定どおり配達されました。それ以降に公式サイトやアプリで注文した分は、注文情報が取得できていない可能性があり、店舗へ直接確認するよう案内されています。

10月8日以降に使えるのは、電話注文、店頭でのテイクアウト、出前館とUber Eatsです。電話で頼むときのメニューと配達店舗は、銀のさらの公式サイトに暫定で公開された店舗検索とメニュー一覧で確かめられます。公式サイト・アプリからの注文の再開は、第3報の時点で見通しが立っていません。

事業者の判断：会員データを外部サーバーに預ける飲食チェーンが見直す範囲

委託先のランサムウェアで「取り出しや復元が困難」になった意味とバックアップの置き場所

第3報で事業者側が重く受け止めるべき一文は、同社が運営会社に保管を委託していたデータについて「取り出しや復元が困難」と報告を受けた部分です。漏えいの調査とは別に、注文と会員の仕組みそのものが戻せない状態になっています。公式サイトとアプリの注文が1週間以上止まっているのはこのためと読めます。

判断は言い切れます。会員データと注文データのバックアップを、本番を預けている事業者と同じ基盤だけに置く構成はやめるべきです。別の事業者か、自社の管理下にある場所に、書き換えのできない形で定期的に複製を置きます。ランサムウェアで暗号化されたのが委託先でも、復元できるかは自社の備え次第です。バックアップの方式はシステムバックアップのフル・差分・増分の違いと選び方、委託先を経由した被害の全体像はサプライチェーン攻撃の起点別3類型で整理しています。同じ外食で基幹システムが止まった例はサイゼリヤのシステム障害とランサムウェア被害にあります。

逆に、店舗数が少なく、電話と店頭だけで注文を受けている事業者が、この件を理由に自社アプリを作り込む必要はありません。見直しが急ぐのは、会員登録と注文を外部の基盤に集めている事業者です。注文システムを自社で持つか既製品を使うかの判断は飲食店のオーダーシステムの種類と自作の判断基準で解説しています。

会員サイトのパスワード保管方式と、漏えい時に公表できる情報の準備

今回、利用者がいちばん知りたい「パスワードはどの方式で保管されていたか」は公表されていません。NIST SP 800-63B-4は、パスワードをソルト付きでパスワード用のハッシュ方式により保管し、ソルトは32ビット以上とするよう求めています。新規登録や変更のときには、過去の漏えいデータに含まれるパスワードの拒否も要件です。方式を把握していれば、漏えい時に「Argon2idで保管しており、割り出しには時間がかかる」と説明でき、利用者の不安と問い合わせを減らせます。

まず点検するのは、パスワードの保管方式とコスト値、バックアップの置き場所と復元手順、委託先との契約で事故時に受け取れる情報の3点です。預けた個人データが漏えいした可能性があれば、個人情報保護委員会の案内に沿って報告と本人通知の要否を判断します。報告の手順は個人情報保護委員会への報告義務の実務で解説しました。自社の会員サイトや注文システムに保管方式の弱さや脆弱性が残っていないかを外部の目で点検するなら、脆弱性診断・セキュリティ診断で相談できます。診断の種類と費用の考え方は脆弱性診断の種類・費用相場と外注の判断基準にあります。

よくある質問

銀のさら・釜寅・すし上等の不正アクセスについて、登録者から出やすい質問をまとめました。

銀のさらのクレジットカード情報は漏れていますか？

第3報は、クレジットカード情報は同社で保有していないため、漏えいの対象には含まれないとしています。漏えいの可能性があるのは、氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員IDです。ただし、同じパスワードを決済サービスでも使っている場合は、そちらのパスワードを変えておくと安全です。

0120-782-272は銀のさらの正式な窓口ですか？

ライドオンエクスプレスホールディングスの第3報に、本件の「お客様情報相談窓口」として載っている番号です。受付は11月15日までは全日10時〜20時、11月16日以降は平日10時〜20時です。第2報には「お客様相談室」の0120-594-096も載っています。いずれも届いたメッセージではなく、同社のニュースページで番号を確かめてからかけてください。

出前館やUber Eatsで注文しただけでも対象ですか？

第3報は、出前館、Uber Eats、電話のみで注文した人は対象外と明記しています。対象は、過去に銀のさら・釜寅・すし上等の公式サイトや公式アプリに情報を登録した人です。ただし、公式サイトやアプリで注文した人が家族の誕生日やお届け先を入力していた場合、その家族やお届け先の情報も対象になる可能性があります。

デリポイントはどうなりますか？

デリポイント会員IDは漏えいの可能性がある項目に入っています。ポイント残高の扱いや不正利用の有無については、第3報の時点で公表されていません。ポイントの移行や本人確認を名目にログインを求めるメールが届いても、リンクは開かずに同社の窓口へ自分で問い合わせてください。

銀のさらのアプリや公式サイトの注文はいつ再開しますか？

第3報（10月13日）の時点で、公式サイトとアプリからの注文は再開の見通しが立っていないとされています。進捗は順次案内するとしているため、同社のニュースページで続報を確かめてください。停止中は、電話、店頭でのテイクアウト、出前館とUber Eatsで注文でき、メニューと配達店舗は公式サイトで調べられます。

関連記事

• 焼肉きんぐ不正アクセスで1,078万件の情報漏洩｜対象の確認方法・原因と運営側のAPI点検：外食チェーンの会員情報が漏れた別の事例
• KDDI系メール漏えい：BIGLOBE・@niftyの「システムアップグレードに伴う本人確認のお願い」と電話は本物か：漏えい後に届く本人確認の連絡を見分ける手順
• 不正アクセス対策とは：IPA・JPCERTの2026年10月注意喚起に沿った企業の点検手順：企業として点検する範囲の全体像
• ハッシュ化とは？暗号化との違いとパスワード保管・改ざん検知の仕組みを解説：ハッシュ値が漏れても安全とは言えない理由
• タイムズカー情報漏洩・流出：対象の確認と補償、0120-25-8924は本物か、免許証画像への備え：窓口の電話番号の真偽を確かめる手順