JR九州Web会員のメールアドレス最大約130万件が漏えいの可能性 IDCF不正アクセスで

JR九州(九州旅客鉄道)は2026年10月9日、IDCフロンティアで起きた不正アクセスにともない、会員サービス「JR九州Web会員」の電子メールアドレスが漏えいした可能性があると発表した。対象は最大で約130万件にのぼる。

何があったのか

JR九州によると、一部の利用者の電子メールアドレスを含むメールの記録(ログデータ)が、見られたり持ち出されたりした可能性を否定できないという。あわせて、JR九州Web会員向けのメールを送るための外部のサービスが、一部使えなくなった。このため、会員向けのメールマガジン「JR九州メールマガジン」は、今は配信できない状態だ。

漏えいした可能性がある個人情報は、電子メールアドレスだ。氏名、住所、電話番号、クレジットカード番号などの個人情報と、メールマガジンの件名や本文は、今回の件で漏えいした可能性はないとしている。

かんたんに言うと

会社が大勢の会員にメールマガジンを送るときは、メールの配信を引き受ける外部のサービスを使うことが多い。そこには、送り先のメールアドレスや、送った記録が残る。今回は、その仕組みが、ほかの会社で起きた不正アクセスのあおりを受けた。

IDCフロンティアは、クラウドサービス「IDCFクラウド」の一部が、10月7日の午前3時40分ごろからランサムウェア攻撃を受けたと発表している。ランサムウェアは、データを勝手に暗号化して使えなくし、元に戻すことと引き換えにお金を求める悪質なプログラムのこと。影響は、契約する495の企業や自治体に及ぶ(関連記事)。同じ10月9日には、JR東日本も「えきねっと」などの会員のメールアドレスが漏えいした可能性があると発表した。

利用者がやること

JR九州は、漏えいした可能性がある人に、準備ができしだい、おわびのメールを順次送るとしている。発表の資料には、専用の問い合わせ窓口は書かれていない。

漏えいした可能性がある情報として、パスワードやクレジットカード番号は挙げられていない。ただ、メールアドレスが知られると、迷惑メールや、会社を名乗る偽のメール(フィッシングメール)が届くきっかけになることがある。JR九州を名乗るメールでも、リンクからログインしたり、個人情報を入力したりせず、自分で開いた公式のサイトやアプリから確かめたい。ほかのサイトと同じパスワードを使い回している人は、この機会に見直しておくと安心だ。

同じIDCフロンティアの件では、JR東日本も、えきねっと会員などのメールアドレスが漏えいした可能性があると発表している(関連記事)。IDCフロンティアで起きたことはこちらの記事にまとめた。

まとめ

漏えいした可能性があるのはメールアドレスで、氏名やカード番号などは含まれないとされる。それでも件数は最大約130万件と多い。JR九州からの個別の連絡を待ちつつ、それらしいメールには慎重に対応したい。