JR西日本など3社で会員情報漏洩、原因はメール配信委託先への不正アクセス

JR西日本・JR東海・JR九州の3社は2026年10月26日、共同で運営する新幹線のネット予約サービス「エクスプレス予約」「スマートEX」で、一部会員の個人情報が漏洩したと発表しました。メール配信を委託していたユミルリンクから、第三者が会員情報を閲覧、または取得したとの連絡があったためです。

漏洩したのはメールアドレスや会員IDなど4項目で、クレジットカード番号・有効期限などは漏洩の可能性はないと説明されています。予約システムそのものではなく、会員向けのお知らせを送るために使っていた外部サービスから情報が漏れた点が、今回の事案の特徴です。

この記事では、経緯と漏洩した情報を整理したうえで、利用者が注意すべき点と、企業がメール配信の委託先管理で見直すべきポイントを解説します。

【要点まとめ】JR3社の会員情報漏洩で何が起きたか

まず、3社の共同発表の内容を表にまとめます。

利用者が今いちばん気をつけたいのは、漏洩した会員情報を使った「なりすましメール」です。具体的な対策は後半で紹介します。

経緯：「影響なし」の報告から10日後に漏洩が判明

エクスプレス予約とスマートEXは、会員へのメール配信の一部に、ユミルリンクのメール配信サービス「Cuenote FC」を利用していました。そのユミルリンクのシステムが不正アクセスを受けたことが、今回の発端です。

3社は当初、ユミルリンクから「利用者への影響はない」と報告を受けていました。しかし10月26日になって、会員情報が第三者に閲覧、または取得されたとの連絡があり、説明が大きく変わりました。

10月16日から26日までの時系列

ユミルリンクは第一報の後、すべてのシステムの記録を過去にさかのぼって調査しています。JR3社への説明が「影響なし」から「漏洩あり」に変わったのは、この調査が進んだ後のことでした。今回のケースでは、委託先から最初に受けた「影響なし」の報告が、その後の調査で覆ったことになります。

ユミルリンクで何が起きたのか：盗まれた認証情報とセッションの悪用

ユミルリンクの第二報では、不正アクセスの手口が次のように説明されています。

• プログラムの脆弱性を突かれ、サポート・品質管理担当者の認証情報を取得された
• 不正なプログラムを設置され、データベースからデータを出力された
• 盗まれた担当者の認証情報を使い、ほかのシステムへのログインを試みられた
• ログイン時のセッション情報を使った不正ログインも行われた

セッション情報とは、ログインした状態を保つための情報です。これを盗まれると、パスワードを知らなくてもログイン済みの利用者として扱われるおそれがあります。

なお、これはユミルリンクのサービス全体についての説明で、JR3社の会員情報がどの経路で取得されたかまでは示されていません。第二報によると、Cuenote FCで情報漏洩の痕跡が確認されたシステムは49にのぼります。また、16システムについては漏洩件数を調査中としています。1つの委託先が攻撃を受けると、そのサービスを使う多くの企業に被害が広がる点に注意が必要です。

漏洩した情報は4項目、クレジットカード番号は「漏洩の可能性なし」

漏洩したのはメールアドレスや会員IDなど

共同発表で漏洩したとされているのは、次の4項目です。

• メールアドレス
• 会員ID
• 氏名（カタカナ）
• 会員種別

一方、カタカナ以外の氏名、生年月日、住所、電話番号、クレジットカード番号・有効期限については、漏洩の可能性はないと説明されています。一方で、メールアドレスや会員IDといった、本人に連絡を取るための情報が外部に渡った点には注意が必要です。

対象となるおそれがあるのは、Cuenote FCでメールを配信した会員

共同発表では「対象となるおそれのあるお客様」として、Cuenote FCを使ったメールの配信対象となった会員が挙げられています。すべての会員が対象というわけではありません。

共同発表では、該当するメールの例として次の2つが挙げられています。

• 一部の会員に送った販売促進メール
• 熊本地震の影響で、予約列車の発車時刻が変更されたことを知らせるメール

定期的なキャンペーン案内だけでなく、災害時の臨時のお知らせの配信対象者も含まれている点がポイントです。対象件数はユミルリンクで確認中で、現時点では公表されていません。

予約システム本体からの漏洩は確認されていない

JR東海が保有する両予約サービスのシステムからの情報漏洩は、確認されていません。今回問題となったのは、予約や決済のシステムではなく、会員にお知らせを送るために使っていた外部のメール配信サービスに保存されていた情報です。

JR3社の対応：配信停止、当局への報告、個別の連絡

3社は、問題となったメール配信サービスの使用を直ちに停止しました。10月26日には個人情報保護委員会に報告しています。対象となる会員には、電子メールなどの適切な方法で個別に連絡する方針です。

利用者の対策：会員情報を悪用した「なりすましメール」に注意

本物そっくりの偽メールが届くおそれがある

今回漏洩したメールアドレス、会員ID、カタカナの氏名がそろうと、本物の案内と見分けにくいメールを作れてしまいます。たとえば「〇〇様（会員ID：××）」のように、自分の名前や会員IDが正しく書かれていると、つい信用しやすくなります。

名前や会員IDが正しく書かれていても、それだけで本物のメールだと判断しないことが大切です。

届いたメールのリンクは開かず、公式アプリから確認する

予約内容の確認や会員情報の更新を求めるメールが届いても、本文中のリンクからすぐに操作するのは避けましょう。確認するときは、普段使っている公式アプリや、ブックマークに保存した公式サイトから手続きするのが安全です。

パスワードや認証コード、カード情報を求める連絡は疑う

「至急」「本日中に」などと急がせて、パスワードや認証コード、クレジットカード情報を入力させようとする連絡は、詐欺の典型的な手口です。少しでも不審に感じたら、入力せずに公式の窓口で確認してください。

また、会員IDとメールアドレスが知られた状態になっているため、ほかのサービスと同じパスワードを使い回している場合は、この機会に変更しておくと安心です。

ユミルリンクのドメインを使った迷惑メールも確認されている

ユミルリンクは第二報で、不特定多数への個人情報の公開や、本事案による個人情報の不正利用は確認していないと説明しています。

ただし、同社のドメインを使って第三者を装う迷惑メールは、すでに複数確認されています。第二報では、「ご利用確認のお願い」といった件名や、カード会社を装った送信元の例が紹介されています。同社は、メールやSMS、電話でパスワードや認証コード、クレジットカード情報を直接尋ねることはないとしています。

事故についての案内を受け取ったときも、JR3社やユミルリンクの公式発表と内容を照らし合わせて確認しましょう。

企業が見直すべき、メール配信の委託先管理5つのポイント

個人情報保護委員会の通則編ガイドラインは、業務に必要のない個人データを委託先に渡さないことや、委託先での取り扱い状況を把握することを求めています。あわせて、データの保存期間を決めることや、漏洩が起きたときの報告・連絡体制を整えることについても説明しています。

これらと今回の経緯を踏まえ、メール配信を外部に委託している企業が確認したいポイントを5つに整理します。

① 委託先に渡すデータは、配信に必要な項目だけにする

メール配信サービスには、宛先のメールアドレスだけでなく、本文への差し込み表示や配信対象の絞り込みに使う氏名・会員IDなどの属性も登録されます。

まずは自社が登録している項目を一覧にしましょう。そのうえで、氏名や会員IDが本当に必要かを見直します。登録する項目が少なければ、万一漏洩したときの被害も小さく抑えられます。

② 使い終わった配信リストは、保存期間を決めて削除する

キャンペーンが終わった後の配信リストや、過去に一度だけ使ったリストが残ったままになっていないかを確認しましょう。

今回は、災害時の臨時のお知らせの配信対象者も、漏洩のおそれがある会員に含まれていました。定期配信だけでなく、臨時の配信で作ったリストも点検の対象にし、保存期間と削除のルールを決めておくことが大切です。

③ 「影響なし」と報告されても、再確認の時期と担当者を決めておく

事故が起きた直後に委託先から届く報告は、調査初期の結果である場合があります。今回も、調査が進んだ後になって影響が判明しました。

「影響なし」と報告を受けたときは、委託先がどのシステムやログを調べてその結論に至ったのかを確認しましょう。あわせて、調査が終わっていない範囲、次の報告予定、自社側の確認担当者を記録しておきます。こうしておけば、後から影響範囲が変わっても、顧客への案内をすぐに更新できます。

④ 委託先の保守用アカウントとログイン状態の管理を確認する

今回の事案では、サポート・品質管理担当者の認証情報が盗まれ、セッション情報を使った不正ログインも行われました。

委託先を選ぶときや定期的に確認するときは、次の点を確かめておきましょう。

• 保守担当者がアクセスできる範囲は必要最小限か
• 不要になった権限やアカウントは削除されているか
• 管理画面やAPIへの接続元は制限されているか
• 侵害が疑われるとき、ログイン状態を強制的に無効にできるか

⑤ 委託先の事故でも、自社の報告・本人通知が必要になる場合がある

データを預けた先で事故が起きた場合でも、委託元の企業として個人情報保護委員会への報告や、本人への通知が必要になることがあります。今回も、JR3社は自ら個人情報保護委員会に報告しています。

個人情報保護委員会は、不正アクセスなど不正の目的で行われた漏洩などが起きた場合、件数にかかわらず委員会への報告と本人への通知を求めています。報告は2段階に分かれています。まず発覚から3〜5日以内を目安に速報を出し、その後、原則30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内されています。委託先から速やかに連絡を受けられるよう、契約や連絡体制を平時から整えておきましょう。

委託先に確認したいことのチェックリスト

まとめ：委託先も含めて「何を預けているか」を把握しておく

今回の事案では、予約システムそのものではなく、会員へのお知らせを送るための外部サービスから情報が漏洩しました。しかも、当初は「影響なし」とされていた説明が、調査の進展によって後から変わっています。

委託先を含めたデータの流れを整理し、事故が起きたときに「何を預けていたか」「誰に連絡するか」をすぐに確認できる状態にしておくことが、説明の遅れや対応漏れを防ぎます。配信データの削減と、調査結果に合わせて案内を更新できる体制を、平時から整えておきましょう。

外部に流出した情報を調べる手段のひとつとして、ダークウェブアイ／ディスカバリーがあります。専門家が企業名・ドメイン名や指定キーワードをもとに、ダークウェブ上の顧客関連データや企業関連ファイルなどを調査・分析するサービスです。自社に関連する情報がどのように流通しているかを確認することは、委託先への確認や社内調査を補う取り組みになります。

参考にした記事・公表資料

• JR東海・JR西日本・JR九州「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて」（2026年10月26日）
• ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」
• ユミルリンク「当社システムへの不正なアクセスに関するご報告（第二報）」（2026年10月26日）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-1、3-4-4、10-3
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」