Betreiber von Gin no Sara warnt nach Ransomware-Angriff vor möglichem Zugriff auf bis zu 6,5 Millionen Datensätze

Kundendaten bei drei Lieferdiensten möglicherweise gefährdet

Ride On Express Holdings gab am 13. Oktober 2026 bekannt, dass bei einem Cyberangriff auf einen externen Server möglicherweise bis zu rund 6,5 Millionen personenbezogene Datensätze offengelegt wurden, die über die offiziellen Websites und Apps von Gin no Sara, Kamatora und Sushi Joto registriert worden waren. Zu den möglicherweise betroffenen Daten gehören Wohnadressen, Telefonnummern, Geburtsdaten, Passwort-Hashes und Bestellverläufe.

Das Unternehmen hat nicht bestätigt, dass Angreifer die Daten erlangt haben. Zum Zeitpunkt der Bekanntgabe hatten die Ermittler keine eindeutigen Hinweise auf einen Datenabfluss gefunden und noch nicht festgestellt, ob Daten offengelegt wurden oder wie viele davon betroffen waren. Die Zahl von 6,5 Millionen ist die Höchstzahl möglicherweise betroffener Datensätze, keine bestätigte Zahl gestohlener Datensätze und auch keine Angabe zur Zahl unterschiedlicher Personen.

In seiner dritten Mitteilung zum Vorfall erklärte Ride On Express Holdings, der Serverbetreiber habe einen Ransomware-Angriff gemeldet und anschließend gewarnt, dass sich die ihm anvertrauten Daten nur schwer abrufen oder wiederherstellen ließen. Bestellungen über die offiziellen Websites und Smartphone-Apps der drei Marken waren weiterhin ausgesetzt. Ein Termin für die Wiederaufnahme wurde nicht genannt.

In der am 13. Oktober veröffentlichten zweiten Mitteilung zum Vorfall legte das Unternehmen ebenfalls eine mögliche Offenlegung von Daten offen. Zuvor hatte es am 8. Oktober eine erste Mitteilung veröffentlicht. Es entschuldigte sich bei Kunden, Geschäftspartnern und weiteren Betroffenen und erklärte, es habe beschlossen, potenziell betroffene Kunden zu informieren, obwohl die Untersuchung weder einen Datenabfluss noch dessen Umfang belegt hatte.

Damit weitete sich der zunächst am 7. Oktober als Dienstunterbrechung dargestellte Vorfall aus. Auch Personen außerhalb des Kundenkreises könnten betroffen sein: etwa Familienangehörige und Empfänger von Lieferungen, wenn Kunden deren Daten eingegeben hatten. Kreditkartendaten sind ausgenommen, da das Unternehmen nach eigenen Angaben keine solchen Daten speichert.

Wie sich der Vorfall entwickelte

Die Chronologie des Unternehmens beginnt, bevor die Bestellsysteme ausfielen. Ride On Express Holdings erklärte, es habe ab dem 5. Oktober unbefugte Zugriffe Dritter auf von ihm genutzte Server festgestellt und begonnen, den Angriffsweg und mögliche Schäden zu untersuchen.

Am frühen Morgen des 7. Oktober kam es auf einigen Servern zu einem Systemausfall. Nachdem der Serverbetreiber einen Ransomware-Angriff gemeldet hatte, schaltete Ride On Express Holdings seine Systeme ab und richtete noch am selben Tag ein Krisenteam ein. Dieses begann, eine mögliche Offenlegung von Informationen zu untersuchen und Maßnahmen zu prüfen, um weiteren Schaden für Kunden zu verhindern.

• Ab dem 5. Oktober 2026: Unbefugte Zugriffe wurden festgestellt. Daraufhin begann eine Untersuchung des Angriffswegs und möglicher Schäden.
• 7. Oktober: Einige Server fielen am frühen Morgen aus. Der Betreiber meldete Ransomware, Ride On Express Holdings setzte seine Systeme aus und richtete ein Krisenteam ein.
• Ab dem 8. Oktober: Telefonbestellungen, Abholbestellungen in den Filialen sowie Bestellungen über Demae-can und Uber Eats waren möglich. Auch die Speisekarten und die Filialsuche auf den offiziellen Websites funktionierten.
• 13. Oktober: Das Unternehmen gab bekannt, dass bis zu rund 6,5 Millionen Datensätze möglicherweise betroffen sind, obwohl ein Datenabfluss und dessen Umfang nicht festgestellt worden waren.

Das Unternehmen erklärte, die Mitteilung vom 13. Oktober sei nach Beratungen im Krisenteam erfolgt. Es habe beschlossen, potenziell betroffene Kunden zu informieren, solange die Untersuchung noch nicht abgeschlossen war, statt auf eine Bestätigung des Datendiebstahls zu warten.

Welche Daten könnten betroffen sein?

Möglicherweise betroffen sind Personen, die zuvor auf den offiziellen Websites oder in den Apps einer der drei Marken Daten registriert hatten. Die Mitteilung beschränkt die Warnung weder auf kürzlich getätigte Bestellungen noch auf derzeit aktive Kunden und nennt auch kein frühestes Datum für die Registrierung.

Zu den aufgeführten Daten gehören Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geschlecht, Geburtsdaten, Passwort-Hashes, Bestellverläufe und Deli-Point-Mitgliedsnummern. Deli Point ist das gemeinsame Treueprogramm der drei Marken.

Wenn Kunden Namen und Geburtstage von Familienangehörigen eingegeben haben, könnten auch diese Angaben betroffen sein. Dasselbe gilt für Namen, Adressen und Telefonnummern, die für Lieferziele eingetragen wurden. Somit könnten auch Personen betroffen sein, deren Daten ein Kontoinhaber eingegeben hat, selbst wenn sie selbst kein Konto angelegt haben.

Kunden, die ausschließlich über Demae-can, Uber Eats oder telefonisch bestellt haben, fallen nicht unter den genannten Umfang. Das Wort ausschließlich ist entscheidend: Die Nutzung eines dieser Kanäle schließt niemanden aus, der früher zusätzlich Daten über eine offizielle Website oder App registriert hat.

Was der Hinweis zu Passwörtern bedeutet

Ride On Express Holdings führt Passwort-Hashes unter den potenziell betroffenen Daten auf. Das Unternehmen beschreibt sie als verschlüsselt und in der gespeicherten Form nicht lesbar. Ein Passwort-Hash ist eine umgewandelte Darstellung eines Passworts und nicht das Passwort im Klartext.

Der genaue Wortlaut der zweiten Mitteilung lautet: „パスワードは暗号化されており、そのままでは読み取りできない情報です。” Auf Deutsch heißt das: „Passwörter sind verschlüsselt und können in dieser Form nicht gelesen werden.“

Diese Unterscheidung schränkt den unmittelbaren Nutzen eines gespeicherten Werts für Angreifer ein, belegt aber nicht, dass jedes Passwort sicher ist. Je nach Hash-Verfahren und Passwort könnten Angreifer versuchen, durch das Ausprobieren möglicher Passwörter einen Treffer zu finden. Die Mitteilung nennt weder das verwendete Hash-Verfahren noch andere technische Schutzmaßnahmen. Daher lässt sich daraus nicht konkret beurteilen, wie widerstandsfähig diese Werte gegen solche Versuche wären.

Dass Kreditkartendaten ausgenommen sind, ist ein separater Punkt. Das Unternehmen erklärt, es speichere diese Daten nicht; sie gehören daher nicht zu den möglicherweise betroffenen Informationen dieses Vorfalls. Die Risiken im Zusammenhang mit Kontaktdaten, Lieferadressen oder Bestellverläufen bleiben davon unberührt. Solche Informationen könnten betrügerische Nachrichten glaubwürdiger wirken lassen.

Welche Bestellmöglichkeiten weiterhin bestehen

Die Dienstunterbrechung bedeutet nicht, dass alle Bestellungen eingestellt wurden. Ride On Express Holdings erklärte, dass Kunden ab dem 8. Oktober telefonisch bestellen, Speisen in Filialen abholen oder über Demae-can und Uber Eats bestellen konnten.

Auch die Speisekarten und die Filialsuche auf den offiziellen Websites waren verfügbar. So konnten Kunden Produkte ansehen und Filialen finden, obwohl die Bestellfunktionen der Websites weiterhin ausgesetzt waren.

Auch Bestellungen über die offiziellen Smartphone-Apps waren nicht möglich. Zum Stand der Mitteilung vom 13. Oktober konnte das Unternehmen keinen Termin für die Wiederaufnahme eines der beiden offiziellen Bestellkanäle nennen und erklärte, es werde über den Fortgang informieren, sobald es Neuigkeiten gebe. Praktisch heißt das: Speisekarten lassen sich ansehen und Filialen finden, für eine Bestellung muss jedoch einer der weiterhin verfügbaren Kanäle genutzt werden.

Warnungen und eigene Kontaktnummer

Ride On Express Holdings erklärte, es habe keinen bestätigten Folgeschaden durch den Missbrauch personenbezogener Daten festgestellt. Dennoch riet das Unternehmen Kunden, bei verdächtigen Telefonanrufen und E-Mails vorsichtig zu sein, insbesondere bei Nachrichten, in denen nach einem Passwort gefragt wird oder die einen unbekannten Betreff beziehungsweise unerwartete Inhalte enthalten.

Das Unternehmen rät davon ab, auf verdächtige E-Mails zu antworten oder deren Links anzuklicken, und empfiehlt, sie zu löschen. Die Warnung bezieht sich auf mögliche Folgen einer Offenlegung und ist kein Beleg dafür, dass eine bestimmte betrügerische Nachrichtenkampagne bereits mit diesem Vorfall in Verbindung gebracht wurde.

Das Unternehmen hat eine Beratungsstelle für Kunden eingerichtet. Sie ist unter 0120-782-272 erreichbar. Die veröffentlichten Öffnungszeiten sind täglich von 10 bis 20 Uhr bis zum 15. November und ab dem 16. November werktags von 10 bis 20 Uhr.

In der zweiten Mitteilung wird außerdem eine separate Kontaktmöglichkeit für Unternehmensanfragen genannt: Kazumasa Watanabe (渡邊一正), Direktor und stellvertretender Vorstandsvorsitzender, Telefon 03-5444-3625. Diese Nummer ist von der Beratungsstelle für Kunden zu unterscheiden.

Ride On Express Holdings erklärte zudem, potenziell betroffenen Kunden nach und nach Entschuldigungen und Hinweise zukommen zu lassen. Einen Termin für den Abschluss dieser Benachrichtigungen nannte das Unternehmen nicht. Wer wissen möchte, ob eine frühere Registrierung unter die Warnung fällt, kann sich an die eigens eingerichtete Beratungsstelle wenden.

Separater Cloud-Ausfall betraf 495 Organisationen

Im selben Zeitraum kam es beim Cloud-Dienst IDCF Cloud von IDC Frontier zu einem Ransomware-Vorfall. IDC Frontier, eine Tochtergesellschaft von SoftBank, betreibt die Plattform. Die Störung betraf 495 Unternehmen und Organisationen und zeigt, dass ein Ausfall eines gemeinsam genutzten Cloud-Dienstes zahlreiche voneinander unabhängige Abläufe beeinträchtigen kann.

Einige virtuelle Server in einem Teil der Plattform, der Region East Japan 1, fielen am 7. Oktober gegen 3.40 Uhr aus. Virtuelle Server sind Rechnerumgebungen, die auf gemeinsam genutzter physischer Infrastruktur laufen. IDC Frontier erklärte, dass sich in der betroffenen Zone gespeicherte Daten nur schwer abrufen oder wiederherstellen ließen.

IDC Frontier bestätigte, dass es einen Angriff Dritter festgestellt hatte und dass es sich um einen Ransomware-Angriff handelte. Die betroffene Region East Japan 1 befindet sich in Shirakawa in der Präfektur Fukushima. Das Unternehmen erklärte, die bis dahin bestätigten Auswirkungen beschränkten sich auf diese Region. Zugleich werde die Sicherheit anderer Gebiete überprüft.

Die Störung ging über Websites hinaus. Eine Logistiktochter des Lebensmittelherstellers Nissui erklärte, sie könne an keinem ihrer 17 Vertriebszentren in Japan Waren annehmen oder versenden. Auch Websites der Kommunalverwaltung und der Polizeidirektion in der Präfektur Ibaraki waren nicht erreichbar.

IDC Frontier erklärte, es habe das betroffene System heruntergefahren, um weitere Schäden zu verhindern, und prüfe, ob Informationen offengelegt wurden. Ride On Express Holdings hat seinen Serverbetreiber jedoch nicht benannt. Der ähnliche zeitliche Ablauf und die Warnungen zur Datenwiederherstellung belegen nicht, dass sich der Vorfall des Restaurantunternehmens bei IDCF Cloud ereignet hat.

Was bestätigt ist und was noch offenbleibt

Bestätigt sind laut Ride On Express Holdings unbefugte Zugriffe, Serverausfälle, die Meldung des Betreibers über Ransomware, die Aussetzung der Systeme sowie Schwierigkeiten beim Abruf oder bei der Wiederherstellung gespeicherter Daten. Ob personenbezogene Informationen tatsächlich offengelegt wurden, ist weiterhin ungeklärt.

Der Verlust des Datenzugriffs und ein Datendiebstahl sind unterschiedliche Folgen. Ransomware kann rechtmäßige Nutzer daran hindern, auf Dateien oder Systeme zuzugreifen; bei einer Datenpanne gelangen Daten in die Hände Unbefugter. Ein Beleg für das eine beweist für sich genommen nicht das andere. Deshalb kann das Unternehmen von einer schwerwiegenden Dienstunterbrechung berichten und die 6,5 Millionen Datensätze zugleich weiterhin als möglicherweise offengelegt einstufen.

Das Unternehmen erklärte, es habe den Vorfall der japanischen Datenschutzkommission und der zuständigen Polizeidienststelle gemeldet. Außerdem kündigte es an, seine Vorkehrungen zur Informationssicherheit zu verstärken. Die Mitteilung nannte jedoch weder konkrete technische Änderungen noch einen Termin für den Abschluss der Untersuchung oder einen Zeitplan für die Wiederherstellung.

In der zweiten Mitteilung hieß es, das Krisenteam arbeite an der Wiederherstellung der Systeme und ergreife Maßnahmen, um die Auswirkungen auf den Geschäftsbetrieb zu begrenzen. Das Unternehmen erklärte außerdem, Kunden auf verfügbare Bestellkanäle hinzuweisen; die Rückkehr zum normalen Betrieb und Service werde zusätzliche Zeit in Anspruch nehmen. Konkrete technische Sicherheitsmaßnahmen beschrieb es nicht.

Damit bleiben konkrete Fragen offen: ob Informationen die betroffene Umgebung verlassen haben, welche Datensätze betroffen waren, ob sich Daten wiederherstellen lassen und wann die offiziellen Bestellmöglichkeiten wieder verfügbar sein werden. Für Änderungen der Öffnungszeiten der Beratungsstelle nennt die Mitteilung Termine, nicht jedoch für die Klärung dieser Fragen.

Die wichtigsten Punkte

• Bis zu rund 6,5 Millionen Datensätze, die über die Websites und Apps von Gin no Sara, Kamatora und Sushi Joto registriert wurden, könnten betroffen sein.
• Zum Stand vom 13. Oktober 2026 gab es keine eindeutigen Hinweise auf einen Datenabfluss; ob es dazu kam und welchen Umfang er hätte, war nicht bestätigt.
• Zu den möglicherweise betroffenen Daten gehören Kontaktdaten, Geburtstage, Passwort-Hashes, Bestellverläufe sowie Angaben zu einigen Familienangehörigen und Lieferempfängern.
• Kreditkartendaten sind ausgenommen. Kunden, die ausschließlich telefonisch oder über Demae-can oder Uber Eats bestellt haben, fallen nicht unter den genannten Umfang.
• Bestellungen über die offiziellen Websites und Apps waren weiterhin ausgesetzt; Bestellungen per Telefon, zur Abholung in Filialen und über externe Lieferplattformen waren möglich.
• Die Beratungsstelle für Kunden ist unter 0120-782-272 erreichbar. Die veröffentlichten Öffnungszeiten sind von 10 bis 20 Uhr.
• Ein separater Cloud-Vorfall bei IDC Frontier betraf 495 Organisationen. Ride On Express Holdings hat seinen Serverbetreiber jedoch nicht benannt.