スマートEXとエクスプレス予約、会員のメールアドレスなどが漏えい 配信の委託先から

東京から新大阪へ、新幹線をスマホで予約する。そのとき多くの人が使う「エクスプレス予約」と「スマートEX」で、会員の情報の一部が外に漏れた。

JR東海、JR西日本、JR九州は2026年10月26日、2つのサービスの一部の会員のメールアドレスなどが漏れたと発表した。原因は、メールの配信を任せていたユミルリンクへの不正アクセスだ。

漏れたのは、メールアドレス、会員ID、カタカナの氏名、会員種別の4つ。漢字の氏名や生年月日、住所、電話番号、クレジットカードの番号と有効期限は、漏れたおそれはないという。JR東海が持つ予約のシステムからの漏えいも、確認されていない。

「影響はない」から一転

経緯には少し驚く。ユミルリンクが10月16日に不正アクセスを受けた時点では、JRは同社から「影響はない」と報告を受けていた。ところが10月26日になって、会員の情報が第三者に見られたり、取られたりしたと連絡が来た。ユミルリンクは同じ26日の第二報で、漏えいの痕跡があるシステムを49に増やしている（Cuenote FCの記事）。

対象になりうるのは、ユミルリンクのメール配信サービス「Cuenote FC」で送ったメールを受け取った会員だ。JRは例として、一部の会員に送った販売促進のメールと、熊本地震の影響で予約した列車の発車時刻が変わったと知らせたメールを挙げている。

件数は、ユミルリンクが確認中だ。JRはこのメール配信サービスの使用をすぐに止め、個人情報保護委員会に報告した。対象の人には、メールなどで個別に連絡するという。

気をつけたいのは偽のメール

パスワードやカード番号は、今回の情報に含まれていない。もっとも、メールアドレスと会員ID、氏名がそろうと、本物らしい偽のメールは作りやすくなる。JRは2025年7月にも、エクスプレス予約やスマートEXを装った偽のメールに注意を呼びかけていた。

IDやパスワードの入力を求めるメールが来ても、リンクは押さず、公式のアプリやサイトを自分で開いて確かめたい。委託先からの漏えいは、利用者の側では防ぎようがないのがつらいところだ。Cuenote FCを使う会社は多く、同じような発表はまだ続くだろう。