JR東海の通販サイト2つで、約1万5,000件の個人情報が漏えいの可能性 IDCFクラウドへの攻撃の影響

JR東海(東海旅客鉄道)は2026年10月13日、通販サイト「JR東海MARKET」と「いいもの探訪」で扱った一部の客の個人情報が、外に漏れた可能性があると発表した。対象は2つのサイトを合わせて約1万5,000件。データセンターの会社、IDCフロンティアのクラウドが不正アクセスを受けた影響だ。今のところ、実際に外へ漏れたことを示す事実は確認されていないという。

何が起きたのか

JR東海によると、2つのサイトのメールの配信は、外部の会社に任せていた。その会社がIDCフロンティアのクラウドを使っていて、10月7日に起きた不正アクセスで、客の個人情報を第三者に見られたり取られたりした可能性を否定できないと分かった。JR東海は13日、国の個人情報保護委員会に報告した。

漏れた可能性がある情報は、次のとおり。

1. 配信先のメールアドレス
2. 配信したメールの本文に書かれていた、氏名、住所、電話番号、注文の内容、配送先の情報(配送先の氏名や住所など)、注文のときに入力したアンケートの答えとコメント

クレジットカードの情報とログインのパスワードは、漏れた可能性はないとしている。件数は、IDCフロンティアが不正アクセスを確かめた10月7日の時点のデータで数えた。

JR東海の対応

• 不正アクセスを受けたクラウドの使用をすぐに止め、別の環境からのメールの配信に切り替えた
• 今回の件に便乗した二次被害を防ぐため、2つのサイトに注意を呼びかける案内を出した
• 対象の客には、メールなどで1人ずつ連絡する
• IDCフロンティアの調べの結果も踏まえて、調べを続ける

IDCFクラウドへの攻撃の広がり

IDCフロンティアのクラウド「IDCFクラウド」は10月、ランサムウェア(データを使えなくして身代金を求める攻撃)を受け、契約する495の企業・自治体に影響が出ている。くわしくはこちらの記事で伝えた。JR東日本の「えきねっと」(別の記事)やJR九州も、会員のメールアドレスなどが漏れた可能性があると発表している。

かんたんに言うと

通販サイトそのものが攻撃されたのではない。「ご注文ありがとうございます」のようなメールを送る仕事を任せた会社が、攻撃を受けたクラウドを使っていた。そうしたメールの本文には、名前や住所、注文の内容が書かれることがあるので、それらも漏れた可能性がある情報に入った。1つのクラウドが攻撃されると、それを使う会社の、さらにその先の客にまで影響が広がる例になった。

利用した人が気をつけること

漏れた可能性がある情報には、名前や住所、買った物まで含まれる。それらを書き込んで本物らしく見せた、なりすましのメールや郵便が届くおそれがある。

1. JR東海や2つのサイトを名乗るメールで、カードの番号やパスワードを求められても入力しない
2. 気になるときは、メールの中のリンクではなく、ブックマークや検索からサイトを開き、問い合わせのフォームで確かめる

まとめ

JR東海の通販サイト「JR東海MARKET」と「いいもの探訪」で、約1万5,000件の個人情報が漏れた可能性がある。メールの配信を任せた会社が使う、IDCFクラウドへの攻撃の影響だ。カードの情報とパスワードは対象外だが、利用した人は、2つのサイトを名乗るメールに注意したい。