東京メトロ「メトポ」への不正アクセス、なぜ海外から5万9000件のメールアドレスが狙われたのか。原因と対応を整理する

まず初めに

またしても「委託先のサーバー」が突破口になった。自社の守りをいくら固めても、外部に預けたデータの管理まで自分の目が届いていなければ意味がない、という話を東京メトロが身をもって示してくれた格好だ。幸い今回は氏名や住所までは漏れておらず、メールアドレスだけで済んだのは不幸中の幸いと言うほかない。とはいえ「委託先だから」は利用者への説明にはならない。※個人の感想です

何が起きているのか

東京地下鉄(東京メトロ)は2026年9月27日、ポイント制度「メトポ」会員向けサービスにおける不正アクセス事案の発生について発表しました。発表によると、2026年9月20日にメトポのメール配信サービスで不具合が発生し、調査を進める中で9月25日、通常とは異なる利用記録を発見。委託先事業者が運用するサーバーに対して、国外からと見られる第三者による不正なアクセスがあったことが判明したとしています。

不正アクセスを受けたサーバーには、メール配信ができずに配信を停止していた会員のメールアドレスが格納されており、このメールアドレス約5万9000件が漏えいした可能性があるとしています。東京メトロによると、同サーバーにはメールアドレス以外の会員情報(氏名・住所など)は含まれていなかったとのことです。

東京メトロは不正アクセスを受けた箇所を特定し、技術的な対策を実施済みとしています。鉄道の運行システムとは別系統であるため、電車の運行には影響がないとしています。影響範囲や侵入経路の詳細については、発表時点でも調査を継続しているとしています。

なぜ重要なのか

東京メトロは首都圏で1日に非常に多くの利用者を抱える鉄道事業者であり、「メトポ」もポイント連携などで広く使われているサービスです。今回のように利用者数の多いサービスで不正アクセスが起きると、対象となる可能性のある人の母数も大きくなります。

また、今回の侵入経路が自社サーバーではなく「委託先事業者が運用するサーバー」だった点も注目に値します。企業がサービスの一部を外部の事業者に委託すること自体は珍しくありませんが、委託先のセキュリティ管理体制が甘ければ、委託元の会員情報もそこから漏れうるという構図を、今回の事案はあらためて示しています。

私たちへの影響

「メトポ」の会員で、これまでメールが届かず配信停止状態になっていた心当たりがある人は、対象に含まれている可能性があります。今回漏えいした可能性があるのはメールアドレスのみで、氏名や住所などは対象に含まれていないとされていますが、メールアドレスが漏れたこと自体が、フィッシングメールなど別の攻撃の入り口に使われるリスクにつながります。

東京メトロやメトポをかたる不審なメールが届いた場合は、本文中のリンクを安易にクリックせず、公式アプリや公式サイトから直接ログインして状況を確認することが基本の対処法になります。

初心者が知っておくべきこと

サービスの運営会社が、自社のシステムの一部を外部の専門業者に任せることを「委託」と呼びます。メール配信やデータ保管など、専門性の高い業務を委託先に任せる企業は多く、その委託先のサーバーが攻撃されることで、委託元の利用者情報が漏えいする事案はたびたび起きています。

利用者側からは委託先の存在は見えにくいため、「自分が使っているサービスのどこが管理しているか」を意識することは難しいのが実情です。だからこそ、サービス提供元(この場合は東京メトロ)からの公式発表やお知らせを定期的に確認する習慣が重要になります。

IT Postの見方――「委託先だから」は説明にならない

IT Postでは、東京メトロが不正アクセスの発見から比較的短期間で不正アクセス箇所の特定・対策まで進めた対応自体は評価できると考えます。ただし、今回のように委託先のサーバーが侵入経路になる事案は、鉄道・小売・金融を問わずここ最近相次いでおり、「委託先の管理は委託先の責任」で済ませられる話ではなくなってきているとIT Postでは考えます。利用者から見れば、自分のデータがどの会社にどう預けられているかは分かりません。だからこそ、委託先を含めたセキュリティ管理の実効性を、委託元の企業自身が普段からどこまで検証しているかが問われる局面だとIT Postでは考えます。※個人の感想です

今後どうなりそうか

東京メトロは、不正アクセスの原因や影響範囲の詳細について、引き続き調査を進めるとしています。現時点で確認できた出典の範囲では、調査完了の見通しや、対象者への個別連絡の有無・時期は明らかになっていません。IT Postでは、続報があれば改めて取り上げます。