えきねっと情報漏洩で何が漏れた？ビューカード含む609万件と対策

えきねっと・ビューカードの情報漏洩で何が漏れた？

JR東日本とビューカードは10月9日、それぞれ同じ題名のお知らせを出しました。どちらも、会員にメールを送るための外部のメール配信サービスが、IDCフロンティアで起きた不正アクセスの影響で一部使えなくなり、あわせてメールアドレスなどが「閲覧または取得された可能性を否定できない」としています。

JR東日本「IDCフロンティア社で発生した不正アクセスに伴うメール配信用外部サービスからのメールアドレス等の漏えい可能性について」、ビューカード「同（メールアドレス漏えい可能性について）」（いずれも2026年10月9日）より。

のべ609万件は「人数」ではない

609万件は3つの会員の件数を足した数で、同じ人が重なっている可能性があります。たとえば大人の休日倶楽部は、入会に「大人の休日倶楽部カード（ビューカード）」の申し込みが必要です。えきねっととビューカードの両方にメールアドレスを登録している人も多いとみられます。実際の人数はこれより少ないと考えられますが、両社は重複を除いた人数を公表していません。

なぜJR東日本で？IDCFクラウドへのランサムウェア攻撃が波及

IDCフロンティア（ソフトバンクの子会社）のクラウドサービス「IDCFクラウド」は、10月7日午前3時40分ごろからランサムウェア攻撃を受け、東日本リージョン1の一部が止まっています。同社の第3報（10月8日）によると、影響を受けた契約者は495の企業や自治体で、被害を受けた4つのゾーンのデータは「取り出しや復元が困難な見通し」です。攻撃の詳しい経緯はIDCFクラウドのランサムウェア被害とは？で解説しています。

JR東日本とビューカードは、このIDCFクラウドの上で動いていたメール配信用の外部サービスを使っていたことになります。どの会社のメール配信サービスなのかは、発表では明らかにされていません。ビューカードは、漏えいの可能性が判明したのは10月7日だとしています。

609万件はどのくらい？件数は8番目、中身はいちばん軽い

9月中旬から10月9日までに公表された主な漏えいを、件数の多い順に並べました。10月9日はJR東日本グループのほか、skyticket（約1,464万件）やブックオフ（最大約643万件）の発表も重なりました。

各社の発表をもとに作成した最近の不正アクセスまとめ2026の表に、10月9日公表のskyticket・JR東日本グループを加え、150万件を超える事案を抜き出したもの。数え方は「件」「アカウント」「人」と会社ごとに違い、「漏えいの可能性」を含みます。

漏れた情報の種類は8件の中で最少

件数だけでは、漏えいの重さは分かりません。600万件を超えた8件について、漏れた（可能性がある）情報を比べました。

○＝対象、△＝一部の人のみ、×＝含まれない・発表で対象とされていない。JR東日本グループの生年月日△は大人の休日倶楽部会員（約39万件）のみ。skyticketのパスワード△は会員の約413万件（ハッシュ化した状態）。各社の発表をもとに筆者が作成。

JR東日本グループは、住所・電話番号・パスワードがいずれも含まれず、○が付くのはメールアドレスだけです。ブックオフやタイムズカーのように5項目すべてがそろう事案と比べると、漏れた情報はかなり限られています。

一方で、表のとおり8件すべてでメールアドレスが漏れています。9〜10月だけで、何千万件ものメールアドレスが攻撃者の手に渡った可能性があるということです。「メールアドレスだけなら大丈夫」とは言い切れない理由を、次で見ていきます。

メールアドレスだけでも危ない理由｜えきねっとは偽メールの常連

メールアドレスが漏れて起きやすいのは、本物そっくりの偽メール（フィッシングメール）です。偽サイトに誘導してIDやパスワード、カード番号を入力させる手口で、攻撃者は「実際にそのサービスを使っている人のアドレス」を手に入れるほど、だませる確率が上がります。

フィッシング対策協議会は、被害が広がっている手口について「緊急情報」を出しています。2021年1月から2026年10月9日までの306件を数えたところ、「〇〇をかたるフィッシング」と名指しされたのは285件・176ブランドでした。

最多は国税庁・イオンカード・NTTドコモ・厚生労働省の6回で、えきねっとはETC利用照会サービスと並ぶ5位タイです。交通系ではETCと並んで最も多く、ビューカード（2回）とモバイルSuica（1回）を合わせたJR東日本グループの8回は、どの単独ブランドよりも多くなります。

フィッシング対策協議会「緊急情報」一覧と各ページの掲載例から筆者が集計。件名は各ページに載った複数の例から1つを選んだもの。緊急情報は手口が広がったときに出されるもので、偽メールの実際の通数を表すものではありません。

えきねっとの偽メールは「自動退会処理」が定番

えきねっとをかたる緊急情報5回のうち4回で、「アカウントの自動退会処理について」という件名が使われていました。えきねっとには実際にアカウントの自動退会処理があり、公式サイトにも同じ題名のお知らせ（「えきねっとアカウントの自動退会処理について」）が載っています。本物の案内に似せているので、見分けにくいのです。

偽サイトでは、ID・パスワードのほか、生年月日、クレジットカードの番号・有効期限・セキュリティコードなどを入力させようとしていました。今回、大人の休日倶楽部会員について漏れた可能性がある「会員番号・カード有効期限・生年月日」は、こうした偽メールに書き込めば本物らしさを増す情報です。

大人の休日倶楽部の会員は特に注意したい理由

大人の休日倶楽部は、満50〜64歳の「ミドル」と満65歳以上の「ジパング」の2種類がある、JR東日本の会員組織です。今回、メールアドレスに加えて会員番号・クレジットカード有効期限・生年月日が漏れた可能性があるのは、この約39万件です。

• ポイント 1「本人しか知らない情報」入りの偽メールがありえる会員番号やカードの有効期限、生年月日が書かれたメールは、本物だと思い込みやすくなります。こうした情報が書いてあっても、それだけで本物の証拠にはなりません。
• ポイント 2カード番号とセキュリティコードは漏れていない発表では、クレジットカード番号は漏えいの対象外です。有効期限だけではカードは使えません。逆に言えば、攻撃者が欲しいのはカード番号とセキュリティコードです。メールやSMSのリンク先でこれらを入力しないでください。
• ポイント 3電話やSMSにも気をつける電話番号は漏えいの対象外ですが、ほかの漏えいで電話番号が出回っている可能性はあります。「カードが止まる」「ポイントが失効する」などと急がせる連絡は、いったん切って公式の窓口に確かめます。

9〜10月には、住所や生年月日を含む漏えいも相次いでいます。たとえばブックオフの情報漏洩では、氏名・住所・生年月日・パスワードのハッシュ値まで含まれました。複数の漏えいで出た情報が組み合わされると、偽メールはさらに本物らしくなります。

えきねっと・ビューカードの会員が今すぐやること

• 対策 1メールのリンクからログインしないえきねっと・ビューカード・JR東日本を名乗るメールが届いたら、本文のリンクは押さず、公式アプリかブックマークから開いて、お知らせやご利用明細を確かめます。今後届く「お詫びメール」も同じ扱いにしてください。
• 対策 2カード番号・セキュリティコード・暗証番号は入力しない「本人確認」「ご利用確認」「自動退会」をうたうページで、カード情報や暗証番号、ワンタイムパスワードを求められたら、偽サイトを疑います。
• 対策 3パスワードは慌てて変えなくてよい今回の発表では、ログインパスワードは漏えいの対象に入っていません。変える場合も、メールのリンクからではなく公式サイトの画面から行います。ほかのサービスと同じパスワードを使っているなら、この機会に別々にしておくと安心です。
• 対策 4カードの利用明細をときどき見るカード番号は漏れていないとされていますが、ほかの漏えいや偽サイト経由の被害に早く気づくために、ビューカードのアプリなどで身に覚えのない利用がないかを確認しておきます。
• 対策 5個別の連絡と続報を待つ両社は対象者に個別のメールを送るとしています。ビューカードについての問い合わせは、ビューカードセンター（03-6685-7000、9:00〜17:30）です。番号は届いたメールではなく、公式サイトの発表で確かめてください。

なお、10月9日19時台に当サイトが確認した時点では、えきねっとのトップページのお知らせ欄に本件の掲載は見当たりませんでした。公式の発表は、JR東日本のニュースリリースとビューカードのニュースリリースに載っています。

今後どうなる？IDCFの調査と個別通知

• 10月7日IDCFクラウドにランサムウェア攻撃（午前3時40分ごろ〜）東日本リージョン1の一部で仮想サーバーが停止。ビューカードはこの日に漏えいの可能性が判明したとしています。
• 10月8日IDCF第3報影響は495の企業・自治体。被害を受けた4ゾーンのデータは取り出し・復元が困難な見通しで、侵入経路は調査中。
• 10月9日JR東日本・ビューカードが公表、IDCF第4報IDCFは親会社ソフトバンクと緊急対策本部で調査・復旧を進めていると発表。同じ日、JPCERT/CCは国内で相次ぐ不正アクセスへの注意喚起を更新しました。
• 準備でき次第対象者への個別メールビューカードは、対象者の特定を調査中としています。
• 12月6日ごろ個人情報保護委員会への確報の目安個人情報保護委員会は、不正な目的で行われたおそれがある漏えいについて、発覚から60日以内に確報を出すよう求めています。ビューカードの判明日（10月7日）から数えると12月6日です（筆者の計算）。

今後は、IDCF側の調査で侵入経路やデータが実際に持ち出されたかどうかが分かるかが焦点です。メール配信サービスが一部使えないため、JR東日本グループからの会員向けメールの一部が届かない状態も続いています。

えきねっと・ビューカードの情報漏洩のよくある質問

あわせて読みたい

出典・参考資料

• JR東日本：IDCフロンティア社で発生した不正アクセスに伴うメール配信用外部サービスからのメールアドレス等の漏えい可能性について（2026年10月9日、PDF）
• ビューカード：IDCフロンティア社で発生した不正アクセスに伴うメール配信用外部サービスからのメールアドレス漏えい可能性について（2026年10月9日、PDF）
• IDCフロンティア：【第3報】当社サービスの一部システムへの不正アクセスによる障害について（2026年10月8日）、【第4報】不正アクセスによる障害への対応体制について（2026年10月9日）
• フィッシング対策協議会：緊急情報（えきねっとをかたるフィッシング 2024年12月5日ほか）
• JR東日本：大人の休日倶楽部（会員の種類と入会方法）
• JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起
• skyticket（株式会社アドベンチャー）：不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（2026年10月9日）
• 個人情報保護委員会：漏えい等の対応とお役立ち資料

内容は2026年10月9日夜時点の発表にもとづきます。フィッシング緊急情報の集計、他社事案との比較表は各社・各機関の公表資料から筆者が作成したもので、件数の数え方は会社ごとに異なります。確報期限の日付は筆者の計算です。アイキャッチ画像は自作のAI生成画像です。