JR東日本609万件 「メアドだけ」が偽メールを本物らしくする

JR東日本とグループ会社のビューカードが10月9日、合わせて約609万件の利用者情報が漏れたかもしれないと発表した。内訳は、列車の予約サービス「えきねっと」が約167万件、会員制の「大人の休日倶楽部」が約39万件、ビューカードの会員サイト「VIEW’s NET」が約403万件。漏れた可能性があるのは、えきねっととVIEW’s NETではメールアドレスだけ。大人の休日倶楽部では、会員番号、クレジットカードの有効期限、生年月日も入る。氏名、住所、電話番号、クレジットカード番号が漏れた可能性はない、と両社は説明している。

原因は、ソフトバンクの子会社IDCフロンティアのクラウドサービス「IDCFクラウド」への不正アクセスだ。やられたのは、福島県白河市のデータセンターで動く「東日本リージョン1」という区画の一部だ。障害は10月7日の未明から続き、495の企業や自治体に影響が出ている。JR東日本グループは、会員へメールを配るため、外部のサービスにアドレスを預けていた。そこが読まれた可能性がある。同じ攻撃で、JR九州も最大130万件のメールアドレスが漏れた可能性があると発表した。

「メアドだけ」が、偽メールを本物らしくする

メアドだけなら、別にいいか。そう受け取った人は多いだろう。

しかし、漏れたかもしれないのは、ただのメールアドレスではない。「このアドレスの持ち主は、えきねっとの会員だ」という組み合わせだ。

フィッシングのメールは、心当たりがなければ捨てられる。だが、会員だと分かっているアドレスにだけ送られたら、この見分け方は使えない。

本物を見分ける方法は、JR東日本が公式のよくある質問に載せている。えきねっとから届くメールのドメインは「@eki-net.com」。正規のサイトのURLは「www.eki-net.com/」で始まる。カード番号やセキュリティコードをメールで聞くことはない、とも書いてある。

ネットの評判

この漏えいを伝えたITmediaの記事には、10月10日までに151件のはてなブックマークが付いた。目立つのは、JR東日本よりIDCフロンティアの側を見る声だ。上位には「基盤自体がやられてるのでJR東日本は殆ど悪くない。IDCFクラウドをチョイスした責任くらい」という書き込みが入っている。

「お詫びのメール」が届くころに

JR東日本とビューカードは、準備ができ次第、対象になった人へ個別にお詫びのメールを送るとしている。

ここが、ややこしい。本物の通知が届くころは、偽メールにも都合がいい。

情報処理推進機構（IPA）も10月9日、相次ぐ漏えいを受けて注意喚起を出した。ただ、呼びかけの相手は「経営者」だ。内容は、外部に公開しているアプリの点検や、多要素認証の導入といった組織向けの対策だ。利用者が何をすればいいかは、ほとんど書かれていない。

では、受け取る側はどうするのか。答えは地味だ。メールのリンクを押さず、検索かブックマークから自分でえきねっとを開く。

フィッシング対策協議会への報告は、2026年8月で82,338件。前の月より約24.5%増えた。

同じころ、別の不正アクセスで最大173万人分の情報が流出したと公表したミスターマックスは、10月6日のお知らせにこう書いている。「今後その情報を元に『なりすましメール』『フィッシングメール』が送付される可能性がございます」。流出のお詫びと、偽メールへの注意は、同じお知らせに並んでいる。