スマートEXなどで会員情報漏えい、委託先への不正アクセスが原因

JR東海、JR西日本、JR九州の3社は2026年10月26日、新幹線のネット予約サービス「エクスプレス予約」「スマートEX」の一部会員について、メールアドレスなどの個人情報が外部に漏えいしたと発表した。原因は、メール配信を委託するユミルリンク株式会社のサービスへの不正アクセス。3社の共同発表では、JR東海が保有する両予約サービスのシステム自体からの漏えいは確認されていないと説明している。

どの情報が漏えいしたのか

共同発表で対象とされた項目は、メールアドレス、会員ID、カタカナ表記の氏名、会員種別の4種類。漢字の氏名や生年月日、住所、電話番号、クレジットカード番号、有効期限などは今回の漏えい対象ではないとされる。対象人数・件数については、10月26日の発表時点でユミルリンクが確認中であり、JR3社の公式資料に確定値は記載されていない。

メール配信サービス「Cuenote FC」で発生

両予約サービスは、ユミルリンクの一斉メール配信サービス「Cuenote FC」を利用していた。10月16日に同社で不正アクセスが発覚した際、JR側は会員への影響はないとの報告を受けていた。しかし26日になって、対象会員の情報が第三者に閲覧または取得されたとの連絡があり、公表に至った。対象となる可能性があるのは、販売促進メールや、熊本地震に伴う列車時刻変更の案内などを同サービス経由で受信した会員だ。

委託先全体では延べ5162万件超を報告

ユミルリンクは26日17時更新の第二報で、Cuenote FCの49システムから情報が漏えいし、対象が延べ5162万8280件に上ると公表した。これは同社サービス全体の集計であり、「スマートEX」「エクスプレス予約」の被害件数ではない。調査中のシステムも残っており、同社は集計が増える可能性を示している。侵入経路については、プログラムの脆弱性や認証情報の悪用、不正プログラムによるデータ出力を確認したという。

JR3社の対応と利用者への案内

JR3社は、不正アクセスを受けたメール配信サービスの使用を直ちに停止し、10月26日に個人情報保護委員会へ報告した。影響を受けた会員には、電子メールなど適切な方法で個別に連絡する方針。現時点では、予約サービスそのものが停止したとの発表ではない。利用者が確認すべきなのは、公式発表と今後の個別通知の内容であり、未確認の被害件数を確定情報として扱わないことだ。

不審メールへの警戒も必要

ユミルリンクは、漏えいした情報が悪用され、同社や関係先を装う不審なメール・SMSが届く可能性があるとして注意を呼びかけている。実際に同社ドメインを送信元に見せかけた迷惑メールも確認したという。メール内のリンクや添付ファイルを安易に開かず、案内の真偽は公式サイトから確認するのが基本となる。一方で、今回のJR3社の発表だけを根拠に、予約用パスワードやカード番号が流出したと判断することはできない。

他社にも広がる影響と今後の確認点

同じCuenote FCを利用するサイボウズも26日、メール配信先の情報が漏えいした可能性を公表した。ただし同社は、kintoneなど自社サービスで預かるデータには影響がないと説明している。委託先の調査が進むにつれ、企業ごとに対象情報や人数が判明する見通しだ。今回のJR3社の事案についても、対象件数の確定、個別通知の方法、二次被害の有無など、今後の公式情報の更新が焦点となる。