JR東日本・ビューカードが漏えいの可能性を公表。609万件と200万件超、数え方の違いを確かめる

まず初めに

「609万件」と「200万件超」。同じ事案なのに見出しの数字が違うのは、足しているサービスが違うからだ。時刻表と同じで、まず欄の見出しを読まないと乗り換えを間違える。IT Postでは、大きな合計だけでなく、サービスごとの件数・情報項目・対象外の条件を確認するのが先だと考える。※個人の感想です

何が起きているのか

JR東日本とビューカードは2026年10月9日、クラウドサービス事業者「IDCフロンティアあいでぃーしーふろんてぃあ」が受けた不正アクセスの影響で、複数の会員向けサービスでメールアドレスなどの個人情報が漏えいした可能性があると発表しました。IDCフロンティアは、会員向けのメール配信などに使われる外部サービスを提供している事業者です。

JR東日本・ビューカードの10月9日付公式資料が挙げた、漏えいの可能性がある対象と件数は次のとおりです。JR東日本の件数は最大値として公表されています。「えきねっと」は約167万件で、対象はメールアドレスのみです。法人向けの「ビジネスえきねっと」会員は対象に含まれません。「大人の休日倶楽部」は約39万件で、メールアドレスに加えて会員番号、クレジットカードの有効期限、生年月日も漏えいした可能性があるとされています。ビューカードの会員向けサービス「ビューズネット」は、メールアドレス約403万件を対象件数として公表し、対象者の特定は調査中としています。iiマークのあるカードとビュー法人カードは対象外です。ビューカードは、漏えいの可能性が2026年10月7日に判明したと説明しています。

合計の数字は、報道機関によって扱いが異なります。えきねっとと大人の休日倶楽部を合わせたJR東日本分の公表件数を単純に足すと約206万件です。ビューズネットの約403万件を加えた3サービスの合計として「最大609万件」と報じる媒体もありますが、別の媒体はJR東日本分のみを取り上げて「200万件超」としています。*同じ発表でも、どこまでを足し合わせるかで見た目の数字がずいぶん変わるのは、この手の発表にはよくある話である。*両社の公式資料では、挙げた項目以外の氏名、住所、電話番号、クレジットカード番号等に漏えいの可能性はないと説明しています。これは公表された対象項目の範囲での説明です。今回確認した両社の公式資料には、不正利用が確認されていないという説明はなく、この記事でも断定しません。また、今回の不正アクセスの影響で、3サービスとも会員向けメールの配信に一部支障が生じているとされています。

なぜ重要なのか

今回の件は、鉄道会社という一見ITとは縁遠い業種でも、会員サービスの裏側では外部のクラウド事業者に依存していることを示しています。えきねっとや大人の休日倶楽部、ビューカードは、それぞれ別のサービスとして利用者には見えますが、メール配信などの基盤を同じ外部事業者に委ねていたために、1つの事業者への攻撃が複数のサービスへ同時に影響しました。

また、合計件数の数え方が報道によって異なる点も、今回のような大規模発表を読み解くうえで注意すべきポイントです。「609万件」という大きな数字だけが見出しになりやすい一方、今回確認した公式資料からは、3サービス全体で重複を除いた人数や、漏えいが確定した件数を確認できません。

私たちへの影響

えきねっと、大人の休日倶楽部、ビューカードのいずれかに登録している人は、メールアドレスが対象になっている可能性があります。大人の休日倶楽部の会員は、会員番号やカードの有効期限、生年月日も対象に含まれる可能性があるため、まず、自分が利用しているサービスの公表項目と公式案内を確認してください。生年月日や会員番号は、パスワードのように変更できる情報と同じ扱いにはできません。

氏名・住所・カード番号本体は対象外とされていますが、メールアドレスが流出した場合、JR東日本やビューカードを装ったフィッシングメールが届く可能性があります。JR東日本やビューカードから届いたメールであっても、リンクを直接クリックせず、公式サイトやアプリから内容を確認する習慣をつけてください。

初心者が知っておくべきこと

多くの企業は、会員向けメールの配信や顧客管理の一部を、自社で作らずに外部のクラウドくらうど事業者のサービスを使って運用しています。これにより開発コストを抑えられますが、その外部事業者が攻撃を受けると、複数の企業・サービスに影響が同時に広がるリスクもあります。今回のように、鉄道会社の複数のサービスで同時に漏えいの可能性が発表されたのは、この「共有されたインフラ」の特徴が表れた例といえます。

Q. えきねっとや大人の休日倶楽部を使っているが、何をすればいい？ A. 両社は、漏えいした可能性のある対象者へ、準備でき次第、個別にお知らせとお詫びのメールを送るとしています。通知済みとは限りません。ビューカードは、不審なメールが送られる可能性も説明しています。心当たりのない連絡はリンクを開かず、公式サイトや公式の問い合わせ先から確認してください。カード停止など個別の対応の要否を、この記事で判断することはできません。

IT Postの見方――件数の足し算は、まずサービスの欄を読む

IT Postは、今回の件をJR東日本単体の落ち度として断じるつもりはない。会員向けサービスの基盤を外部のクラウド事業者に委ねるのは、現代の企業システムでは一般的な選択であり、それ自体は合理的な判断だ。

ただ、利用者にとって、列車の予約とメールの配信基盤は別々には見えない。IT Postでは、便利さを支える外部サービスまで含め、どこにどんな情報を預けているかを確認できる説明が重要だと考える。今回の公式資料だけで、両社の委託先管理の過失や対応の遅れを判断することはできない。IT Postとしては、鉄道の定刻精度と同じレベルの管理を、委託先を含むシステム全体にも広げてもらいたいと考える。※個人の感想です

今後どうなりそうか

JR東日本とビューカードは、漏えいした可能性のある対象者へ、準備でき次第、個別にお知らせとお詫びの電子メールを送るとしています。不正アクセスの詳しい経緯や、重複を除いた実際の対象者数については、発表時点では明らかにされていません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。