【10/26】エクスプレス予約・スマートEXの情報流出｜漏れた4項目と対象・偽メール対策

新幹線のネット予約サービス「エクスプレス予約」と「スマートEX」で、一部の会員のメールアドレスや会員IDなどが外部に漏えいした可能性があります。JR東海・JR西日本・JR九州の3社が2026年10月26日に発表したもので、原因は会員向けメールの配信を委託していたユミルリンク（東京）のシステムへの不正アクセスです。報道では対象は約17万件とされ、同じ日にユミルリンクは、委託先全体の漏えいが延べ5,162万件を超えたとする第二報を出しました。この記事では、何が漏れて何が漏れていないのか、対象になる会員は誰か、17万件と5,162万件はどう違うのか、利用者が今日やることを、JR各社と委託先の発表、報道をもとに整理します。

エクスプレス予約・スマートEXの情報流出とは｜10月26日にJR3社が発表

新幹線ネット予約の一部会員の情報が、メール配信の委託先への不正アクセスで漏えいした可能性があるとJR3社が発表しました。

発表したのは、東海道・山陽・九州新幹線を運行するJR東海・JR西日本・JR九州です（JR東海「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて」）。ビジネス+ITによると、両サービスは会員へのメール配信にユミルリンクのメール配信サービス「Cuenote FC（キューノート エフシー）」を使っていました（ビジネス+IT）。

JR東海は、自社が持つ両サービスの予約システムから漏えいは確認されていないとしています。漏えいの可能性があるのは予約システムそのものではなく、会員に案内メールを送るために委託先へ渡していた宛先の情報です。

ユミルリンクは「影響なし」から一転して連絡

委託先は当初、JR3社に利用者への影響はないと報告し、10月26日になって情報が第三者に渡ったと連絡しました。

ビジネス+ITによると、ユミルリンクは10月16日に不正アクセスを受けました。同社はJR3社に当初「利用者への影響はない」と報告していましたが、その後の調査を経て、10月26日に「会員の個人情報が第三者に閲覧または取得された」と3社に連絡したといいます。JR3社の発表が10月26日の夜になったのは、この連絡を受けたためです。

漏れた情報と漏れていない情報｜カード番号と住所は対象外

漏えいの可能性があるのはメールアドレス・会員ID・カタカナ氏名・会員種別の4項目で、カード番号や住所は含まれません。

JR3社の発表をビジネス+ITが整理した内容を、漏えいの可能性がある項目とないとされた項目に分けると次のとおりです。

（編集部分析）カード番号が含まれないため、この情報だけで勝手に切符を買われる事態は想定しにくいと考えられます。一方で、会員IDとメールアドレスとカタカナ氏名がそろっている点には注意が要ります。

会員IDとカタカナ氏名がそろうと何が起きるか

本物の会員IDと名前を書いた偽メールを作れるため、JRからの正規の連絡と見分けにくくなります。

ふつうの迷惑メールは宛名が無いか、メールアドレスの一部しか書かれていません。今回の4項目があれば、「〇〇〇〇様（会員ID ＊＊＊＊）」と実際の情報を入れたメールを送れます。（編集部分析）編集部の見立てでは、想定されるリスクの中心は、漏れた情報そのものより、それを使った「なりすましメール」で本物のパスワードやカード番号を入力させられることにあります。今回の情報を悪用した被害は、10月26日時点で確認されていません。

対象になった会員は誰か｜報道で約17万件、全会員ではない

対象は、委託先のメール配信サービスで案内メールを受け取った一部の会員で、全会員ではありません。

朝日新聞の報道によると、対象は旅行商品の宣伝や、熊本地震に伴う発車時刻の変更の案内などをCuenote FC経由で受け取った会員です。ビジネス+ITも、一部会員への販売促進メールや、熊本地震の影響で発車時刻が変わったことを知らせるメールを例に挙げています。

17万件は報道の数字で、JRの発表には件数がない

約17万件は中日新聞や朝日新聞などが報じた数字で、JR3社の発表文には件数が書かれていません。

ビジネス+ITによると、件数はユミルリンクが確認中で、3社の発表には示されていません。中日新聞（中日BIZナビ）は「最大17万件」と報じています（中日BIZナビ）。朝日新聞によると、両サービスの会員は9月末時点で計2,255万人です。17万件はこの会員数の1％に満たない規模ですが、確定した数字ではなく、今後変わることがあります。

なぜ流出したか｜委託先ユミルリンクのCuenote FCに不正アクセス

ユミルリンクのシステムの弱点を突かれて担当者の認証情報が盗まれ、配信先の宛先データが持ち出されました。

ユミルリンクは東証グロース上場のメール配信会社で、企業や自治体の会員向けメールの配信を請け負っています。INTERNET Watchによると、同社が10月26日に出した第二報では、システムの脆弱性を突かれてサポート・品質管理担当者の認証情報を取られ、不正なプログラムを置かれてデータベースからデータを出力されたと説明しています。同じ認証情報でほかのシステムへのログインも試みられていました（INTERNET Watch）。

発覚から第二報までの流れを日付順に並べます。

第一報の時点では5システムだけとされていたため、JRのように「影響なし」と伝えられていた利用企業が、第二報で対象に入ったことになります。

第二報で何が新しく分かったか

不正なプログラムを通じて別のシステムのデータを見たり、ログイン情報を使って入り込んだりした手口が新たに分かりました。

INTERNET Watchによると、第二報で対象は計50システムになり、内訳はメール配信のCuenote FCが49システム、顧客管理のCuenote BASEが1システムです。第一報のあとに新たに45システムで被害が判明し、不正なプログラムを経由して別のシステムのデータが参照されていたほか、ログインの際に発行される情報を取られて不正にログインされていたといいます。不正アクセスが試みられたCuenote FCのシステムは計81で、データの出力が確認された49システムはすべて1社専用のシステムでした。

17万件と5,162万件の違い｜数字の対象を取り違えない

17万件はJR3社の会員分、5,162万件はユミルリンクの利用企業49システム全体の延べ件数で、対象が違います。

同じ日に二つの数字が出たため、混同しやすくなっています。数字ごとの対象を並べると次のとおりです。

5,162万件は「延べ」の件数で、同じ人が複数の企業のメールを受け取っていれば重ねて数えられます。49システムのうち16システムは件数を集計中で、この数字はさらに増える可能性があります。

JR以外にどの企業が対象か

ユミルリンクは利用企業の名前を一覧では出しておらず、各社が自分で発表しています。

日本経済新聞は、漏えいが5,162万件に広がり、JR東海の新幹線予約も含まれると報じています（日本経済新聞）。新潟日報も、ユミルリンクの第二報とJR3社の発表を合わせて報じています（新潟日報）。自分が使っているほかのサービスが対象かどうかは、各社のお知らせで確かめるしかありません。

新幹線の予約やカードに影響はあるか｜予約システムからの漏えいは未確認

JR東海は予約システムからの漏えいは確認されていないとしており、カード番号も漏えいの可能性がある項目に入っていません。

漏えいの可能性があるのはメール配信用の宛先データで、予約の中身や支払いの情報を持つ予約システムとは別のものです。ユミルリンクは、10月26日の第二報の時点で、漏えいした情報の不正利用は確認されていないとしています。JR3社は問題のメール配信サービスの使用を直ちに止め、10月26日に個人情報保護委員会へ報告しました。対象の会員には、電子メールなどで個別に連絡するとしています（ビジネス+IT）。

（編集部分析）予約やカードへの被害が今のところ確認されていないことは利用者にとって救いですが、JRの公式サイトやメールを装った詐欺は今回の流出の前から出回っています。今回、本物の会員IDと名前の組み合わせが外に出たことで、偽メールの見た目の信頼度が上がる点は軽く見ないほうがよいと考えられます。

利用者が今やること｜偽メールでパスワードとカード番号を入れない

JRを名乗るメールのリンクからパスワードやカード番号を入力せず、ログインは公式サイトから直接行うことが基本です。

スマートEXの公式サイトは、「エクスプレス予約」「スマートEX」からのメールで、添付ファイルを開かせたり、URLを指定してクレジットカード情報やパスワードを入力させたり、メールへの返信を求めたりすることはないと案内しています（スマートEX「『EX』のメールサービスを装った偽メールやパスワード管理について」）。これに当てはまるメールは偽物と判断できます。

1. JRやEXを名乗るメールのリンクは押さず、ログインはブックマークやアプリから公式サイトへ直接入る
2. 同じパスワードをほかのサービスでも使っている場合は、EXのパスワードとあわせて変える（発表の漏えい項目にパスワードは含まれていない）
3. JR側から個別の連絡が届いたら内容を保存し、書かれた問い合わせ先が公式サイトに載っている窓口と同じかを照らし合わせてから連絡する
4. カードの利用明細に覚えのない請求がないか、しばらく確かめる

すでに偽メールのリンク先に情報を入れてしまった人は、入れた内容で対応が変わります。

入力したかどうかがはっきりしないときも、パスワードの変更とカード明細の確認は早めにしておくと安心です。

ユミルリンクのドメインを使って、セゾンカードを装った「ご利用確認のお願い」「利用内容確認のご依頼」といった件名の不審なメールも確認されています（INTERNET Watch）。差出人の名前だけで判断しないことが大切です。

相次ぐ情報漏洩と政府の動き｜関係閣僚会議が初会合

大規模な情報漏洩が10月に続いていて、政府は10月26日に関係閣僚会議を開き、緊急対策をまとめる方針です。

朝日新聞によると、高市早苗首相は26日の初会合で、各閣僚に所管業界の被害情報を国家サイバー統括室へ集めるよう指示しました。10月1日に施行された「能動的サイバー防御」の法律を踏まえ、攻撃元への無害化措置を含めて「あらゆる対処オプションを戦略的に選択し、実行する」と述べ、来週中にも緊急対策パッケージを取りまとめる考えを示しています（朝日新聞）。

kenyaku.workでも10月に入って、佐川急便の情報流出（最大5,323万件）やタイムズカーの流出と集団訴訟を取り上げてきました。（編集部分析）今回のように、利用者が直接契約していない委託先から漏れる例が増えると、企業が自社のシステムだけを守っても足りません。委託先の管理まで含めて国が基準を示すかどうかが、緊急対策の見どころになると考えられます。

エクスプレス予約・スマートEXの情報流出のよくある質問

件数の確定や見舞金などの続報が出たら、この記事に追記します。

参考情報

• JR東海「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて」2026年10月26日
• ビジネス+IT「JR3社、エクスプレス予約とスマートEXの会員情報漏えいの可能性 委託先に不正アクセス」2026年10月26日
• INTERNET Watch「ユミルリンク、不正アクセスで情報漏えい件数を最大約5163万件と発表。対象が50システムに拡大」2026年10月26日
• 中日BIZナビ「『エクスプレス予約』『スマートEX』のメール配信委託先から個人情報が流出」2026年10月26日
• 日本経済新聞「ユミルリンクの情報漏洩、5162万件へ拡大 JR東海の新幹線予約も」2026年10月26日
• 新潟日報「メール配信サービスのユミルリンク、個人情報延べ5162万件余り漏えいか」2026年10月26日
• 朝日新聞「高市首相、能動的サイバー防御含む『あらゆる対処オプションを実行』」2026年10月26日
• スマートEX「『EX』のメールサービスを装った偽メールやパスワード管理について」
• 朝日新聞「新幹線予約の個人情報17万件流出 エクスプレス予約・スマートEX」2026年10月26日