日本交通サイバー攻撃

1．現時点で確認できた事実

日本交通は2026年7月13日、社内システムが外部から不正アクセスを受け、マルウェア感染が判明したと公表しました。
発生日時は7月11日未明です。
検知後、被害拡大を防ぐため社内システムの遮断とネットワーク隔離を実施しています。

①影響が確認されているのは、主に次のシステムです。

電話によるタクシー配車サービス
ハイヤーのWeb受注・予約管理システム
一部の社内向けシステム
一部のWeb入力フォーム

②一方、タクシー配車アプリ「GO」は利用可能で、日本交通の車両を指定して注文できます。タクシー乗り場や流し車両も利用可能です。

③日本交通は、外部のセキュリティ専門機関と連携し、影響範囲の特定、原因究明、ログ解析を進めています。社内ネットワークの隔離によって、さらなる被害拡大は抑えられていると説明しています。

④現時点では、情報漏えいの事実は確認されていません。ただし、これは「漏えいがなかった」と確定した意味ではなく、現在も調査中です。日本交通は、流出またはその可能性が判明した場合には公表と個別連絡を行うとしています。

⑤日本交通は、グループ売上高で国内最大のタクシー・ハイヤー会社と説明しており、提携会社などを含めて首都圏・関西圏で約1万台を運行しています。社会的影響を考える際には、この事業規模も重要です。

2．時系列

日時	状況
7月11日未明	外部からの不正アクセスが発生
検知後直ちに	システム遮断、社内ネットワーク隔離
その後	外部専門機関と影響範囲・原因・ログを調査
7月13日	日本交通が公式発表
7月13日時点	電話配車、ハイヤーWeb予約、一部社内システムが停止。GOは利用可能

3．今回の「システム停止」の正確な意味

「1.現時点で確認できた事実」の③で既に述べていますが、日本交通は…
>>「社内ネットワークの隔離」によって、さらなる被害拡大は抑えられている。
…と説明しています。

注意🤞
報道だけを見ると…
「サイバー攻撃により日本交通の配車システムが止められた…
のようにも読めますので、多くの人が誤解するのではないかと感じます。

しかし、公式発表が述べているのは…
不正アクセスを検知したため、被害拡大防止を目的として日本交通側がシステムを遮断した…
という流れです。

よって現段階では・・・
「攻撃者によって直接すべてのサービスを停止させられたと確定したのではなく、感染確認後の防御措置としてネットワークを隔離した結果、複数のサービスが停止した」です。

不正アクセス・マルウェア感染
↓
日本交通側が異常を検知
↓
被害拡大を防ぐため遮断
↓
電話配車・予約管理などが停止　←　今ここ

4．現時点で分かっていないこと

●以下はまだ確定していません。

マルウェアの種類
ランサムウェアかどうか
暗号化されたファイルがあるか
身代金要求の有無
攻撃者や犯罪グループ
初期侵入経路
認証情報の窃取があったか
個人情報・営業情報の持ち出し
バックアップへの影響
車両運行管理システムへの侵入
料金決済や乗務員端末への影響
完全復旧の時期

●現時点で確定していること。

　「外部からの不正アクセスとマルウエア感染」

5．「GO」が使えることの意味

電話配車や日本交通内部の予約システムが止まっている一方で、GO経由の配車は継続しています。

ここから、少なくとも表面的には、

日本交通の社内システム
GOの配車プラットフォーム

…が完全に一体化していない、または障害範囲が分離されていることが分かります。

これは、結果としてシステム分離が事業継続に役立った例と評価できます。

但し、GOが無事だったから安全設計が完璧だった！とまでは言えないと考えます。

今後、確認すべきこととして…

日本交通とGOの間で、どのようなデータ連携があるか
顧客情報や車両情報の境界
日本交通側の感染がGO側へ波及しなかった理由
代替経路としてどの程度の配車能力を維持できるか

・・・なんだろうとも思います。

そして、「一つの配車経路が停止しても、別系統のGOが残ったことは、事業継続上の重要な意味を持つ」ものとして評価できると考えます。

6．コロニアル・パイプラインとの比較

私が感じた類似性として、2021年のコロニアル・パイプライン事件では、ランサムウェア攻撃を受けた後、企業側がパイプラインシステムを予防的に停止した事件が挙げられます。

当時、米エネルギー省も、攻撃への対応として同社がシステムを停止したと説明していました。

共通する構図は次のとおりです。

日本交通	コロニアル・パイプライン
社内システムへの不正アクセス	ITネットワークへのランサムウェア
被害拡大防止のためネットワーク隔離	被害封じ込めのためパイプライン停止
電話による配車・予約管理が停止	燃料輸送が停止
GOなど一部経路は継続	段階的に運転を再開
情報漏えいは現在調査中	データ窃取・暗号化が確認された

ここで重要なのは、

発覚後、防御側がどのシステムを切り離し、どのサービスを維持したのか

です。

日本交通は、

社内ネットワークを遮断した
電話による配車受付などは止まった
GOによる配車は残った
乗り場や流し営業も残った

という判断をしています。

つまり、発覚の瞬間から、

被害の封じ込めと事業継続を両立させる判断

が始まっています。

今後の教訓と参考事例になり得ると思います。

7．記事から立てられる仮説

仮説1：IT系システムを止めて運行系を守った

電話による配車受付や予約管理、一部社内システムを停止させる一方、車両そのものの運行やGO経由の配車は継続しています。

そのため、

事業全体を止めるのではなく、感染範囲を疑う社内IT系統を切り離した

可能性があります。

仮説2：電話による配車受付とGOは異なる基盤で動いている

GOが継続したことから、電話配車とGOの処理基盤、あるいは管理主体が異なっていた可能性があります。

仮説3：初動は比較的早かった

7月11日未明の発生後、検知して隔離し、7月13日に公表しています。少なくとも公表内容上は、検知後すぐに遮断と外部専門機関への連携を始めています。

但し…

侵入そのものがいつ始まったのか
7月11日が侵入日時なのか、検知日時なのか

…は不明です。
なお、企業が攻撃を認識した日時（発覚日時）と、攻撃者がシステムへ侵入した日時は、必ずしも一致するとは限りません。今回公表された日時は、あくまで日本交通が異常を認識し対応を開始した時点を示すものであり、実際の侵入はそれ以前に行われていた可能性があります。現時点では侵入日時は公表されておらず、今後の調査結果を待つ必要があります。

9．最後に

今回の日本交通に対するサイバー攻撃では、不正アクセスとマルウェア感染が確認されたものの、現時点では攻撃手法や情報漏えいの有無など、多くが調査中です。

しかし、一つ確かなことがあります。

それは、サイバー攻撃の本当の戦いは、侵入の瞬間ではなく「発覚」の瞬間から始まるということです。

日本交通は異常を検知すると、被害拡大を防ぐため社内ネットワークを遮断し、一部サービスを停止させる一方で、利用可能なサービスは維持する判断を行いました。

この判断こそが、事業継続と被害拡大防止を両立させるための重要な初動対応だったと言えるでしょう。

今後、調査が進むにつれて攻撃の全容が明らかになっていくはずです。

ネット探検ラボでは、引き続き「発覚の経緯」に着目し、この事案を継続して観察していきたいと思います。

ネット探検ラボ語録

発覚とは、攻撃者と防御側の戦略が初めて交差する瞬間である。