JR東海の情報漏洩｜JR東海MARKETなど約1万5千件と偽メールの見分け方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓JR東海の情報漏洩の可能性について
✓ECサイトのJR東海MARKETといいもの探訪の約1万5千件を
✓2026年10月13日の発表と10月15日の続報から整理しました

JR東海（東海旅客鉄道株式会社）は2026年10月13日、IDCフロンティア社で起きた不正アクセスにより、同社が運営するECサイト「JR東海MARKET」と「いいもの探訪」で、メールを配信した一部の利用者のメールアドレス等の個人情報が漏えいした可能性があると発表しました。件数は両サイト合計で約15,000件です。その後10月15日に、業務委託先から「個人情報の漏えいの事実は確認されなかった」との報告を受けたと続報を出しています。利用者がまずすることは、両サイトやJR東海、販売事業者、配送事業者を名乗るメールやSMS、電話に気をつけることと、心当たりのない注文、配送、請求がないかを確かめることです。クレジットカード情報とログインパスワードは、漏えいの可能性はないと明記されています。

この記事では、2026年10月20日時点で公開されているJR東海の発表と、原因となったIDCフロンティア社の発表をもとに、何が起きて何が分かったのかを順番に整理します。今回の件はメールアドレスだけでなく、メールの本文に書かれた住所や注文の内容まで対象に入っていた点が、ほかの会社の発表と違うところです。その違いが、利用者の気をつけることにどう関わるのかも説明します。

2026年10月20日時点で分かっていること

最初に、結論にあたる事実を並べます。どれもJR東海の発表と、両サイトのお知らせで確かめた内容です。

対象のサービスは、JR東海が運営するECサイト「JR東海MARKET」と「いいもの探訪」です
両サイトのメール配信を担っていた外部事業者が、IDCフロンティア社のクラウドを使っていました
漏えいした可能性があるとされたのは、配信先のメールアドレスと、配信されたメールの本文に書かれていた氏名、住所、電話番号、注文内容、配送先情報などです
クレジットカード情報とログインパスワードは、漏えいの可能性はないと明記されています
対象は約15,000件（両サイト合計）で、10月13日に個人情報保護委員会へ報告しました
10月15日、業務委託先のシステム運営事業者から「個人情報の漏えいの事実は確認されなかった」旨の報告を受け、本件に起因する情報の不正利用などの二次被害も確認されていないと発表しました

つまり、10月13日の発表は「第三者に閲覧または取得された可能性を否定できない」という段階のもので、そのあとの調査で漏えいの事実は確認されなかった、という流れです。

ただし、10月13日の発表の時点で、JR東海自身が便乗した不審なメールやSMS、電話に注意するよう呼びかけていました。漏えいが確認されなかったあとも、この呼びかけの中身は覚えておく価値があります。報道で名前が広く知られた会社は、詐欺の差出人として名前を使われやすいからです。

公表の経緯：メール配信の停止から続報まで

今回の件は、JR東海の両サイトのメール配信を担っていた外部事業者が、IDCフロンティア社のクラウドを使っていたことから起きました。日付の順に並べると次のとおりです。

日付	発表した会社	分かったこと
2026年10月7日	IDCフロンティア	午前3時40分頃から、クラウドサービス「IDCFクラウド」の一部のシステムに第三者から不正アクセスがあり障害が起きていると発表。同日の第2報でランサムウェア攻撃と判明したと発表
2026年10月9日	JR東海	両サイトで、ログインや商品購入等におけるメール配信に影響が出たと案内（10月13日の発表で言及）
2026年10月13日	JR東海	一部の利用者のメールアドレス等の個人情報が漏えいした可能性があるとして、個人情報保護委員会へ報告したと発表。対象は約15,000件
2026年10月14日	IDCフロンティア	第5報。仮想サーバー内のデータの照会や外部への持ち出しの痕跡は確認されず、外部へのデータの流出はなかったと判断と発表
2026年10月15日	JR東海	業務委託先から、両サイトの個人情報の漏えいの事実は確認されなかった旨の報告を受けたと発表

10月9日の時点では、利用者から見えていたのは「メールが届かない」という影響でした。ECサイトでは、会員登録の確認、ログインのための認証コード、注文の受付や発送の知らせなど、多くの手続きがメールで行われます。配信の仕組みが止まると、ログインや購入の手続きそのものに支障が出ます。

10月7日の前後に両サイトで注文したのに、注文の確認メールが届いていないという人は、この影響を受けた可能性があります。その場合は、メールを待つのではなく、両サイトにログインして注文履歴を開き、注文が受け付けられているか、支払いや発送の状況がどうなっているかを確かめるのが確実です。届くはずのメールが来ないときに、別の差出人から「注文の確認」をうたうメールが届いても、それが本物とは限りません。

10月13日の発表では、この配信の仕組みに保存されていたデータについて、第三者に閲覧または取得された可能性を否定できないことが分かったとして、個人情報保護委員会に報告したと説明しています。個人情報保護委員会とは、個人情報の扱いについて事業者を監督する国の機関です。

そして10月15日、業務委託先のシステム運営事業者から、IDCフロンティア社の調査結果を踏まえて「個人情報の漏えいの事実は確認されなかった」旨の報告を受けたと発表しました。2026年10月20日時点で、これより新しい発表は両サイトのお知らせに出ていません。

原文はJR東海の2026年10月13日の発表（10月15日更新のPDF）で読めます。PDFの冒頭に10月15日の更新、その下に10月13日の発表が載っています。

漏えいの可能性があった項目と、含まれないと明記された項目

今回の発表で特徴的なのは、メールアドレスだけでなく、メールの本文に書かれていた情報まで対象に入っていたことです。JR東海の発表に書かれた項目を、対象とされたものと、対象外と明記されたものに分けると次のようになります。

区分	項目
漏えいした可能性があるとされた項目	配信先のメールアドレス
漏えいした可能性があるとされた項目	配信されたメールの本文に書かれた氏名、住所、電話番号
漏えいした可能性があるとされた項目	注文内容、配送先情報（配送先の氏名、住所等）
漏えいした可能性があるとされた項目	注文時に入力されたアンケートの回答とコメント
漏えいの可能性はないと明記された項目	クレジットカード情報、ログインパスワード

なぜメールの本文まで対象になったのかは、ECサイトのメールの中身を思い浮かべると分かります。注文の確認メールには、ふつう、注文した人の名前、届け先の住所と電話番号、買った商品、金額が書かれています。贈り物を頼んだ場合は、届け先として家族や知人の名前と住所が書かれます。メールの配信の仕組みには、送ったメールの本文が残っていることがあるので、その本文に書かれた情報まで対象に含めて発表した、という読み方になります。

件数の約15,000件は、IDCフロンティア社が第三者による不正アクセスを確認したと公表している10月7日の時点で、データを保存していた件数で数えたと説明されています。両サイトを過去に使ったことのある人全員ではなく、この時点で配信の記録が残っていた分ということです。

ここで注意したいのは、贈り物の届け先になった人です。自分は両サイトを使ったことがなくても、家族や知人があなたあてに商品を送っていれば、あなたの名前と住所が注文のメールに書かれていた可能性があります。もっとも、10月15日の続報で漏えいの事実は確認されなかったと発表されているので、この点で特に何かの手続きが要るわけではありません。

原因：IDCフロンティア社のクラウドへの不正アクセス

JR東海の発表は、原因を「株式会社ＩＤＣフロンティアで発生した不正アクセス」と書いています。両サイトのメール配信サービスは外部事業者が担っていて、その事業者がIDCフロンティア社の運営するクラウドを使っていた、という構造です。

クラウドとは、会社が自前でサーバー（データを保存したりプログラムを動かしたりするコンピューター）を持たずに、ほかの会社の設備を借りて使う仕組みのことです。JR東海から見ると、IDCフロンティア社は直接の契約先ではなく、委託先がさらに使っていた設備の提供者にあたります。

IDCフロンティア社の発表から、原因にあたる部分を抜き出します。

2026年10月7日午前3時40分頃から、IDCFクラウドの一部のシステムに第三者からの不正アクセスがあった
同日の第2報で、第三者からのランサムウェア攻撃によるものと判明したと発表した。ランサムウェアとは、データを暗号化して使えなくし、元に戻す代わりに金銭を要求する不正なプログラムのこと
影響範囲は、IDCFクラウドを契約している495の企業や自治体
被害があったのは東日本リージョン1の一部のゾーン

10月14日の第5報では、外部のセキュリティ専門企業と調査した結果、被害を受けたゾーンの仮想サーバー内に保存されていたデータについて、照会や外部への持ち出しを示す痕跡は確認されなかったとして、外部へのデータの流出はなかったと判断したと書いています。JR東海の10月15日の続報は、この調査結果を踏まえた業務委託先からの報告を受けたものです。

詳しくはIDCフロンティアの第5報で読めます。侵入の経路そのものについて、2026年10月20日時点の発表で具体的な説明は出ていません。

JR東海の対応

JR東海の発表に書かれている対応は、次のとおりです。

不正アクセスを受けたクラウド環境の使用をただちに止め、別の環境を使ったメール配信に切り替えた
影響範囲を確かめるとともに、便乗した二次被害を防ぐため、両サイトのホームページに注意喚起を掲出した
2026年10月13日に、個人情報保護委員会へ報告した
対象となる利用者には、電子メールその他の適切な方法で個別に連絡するとした
新たな事実が分かった場合は、両サイト等で速やかに知らせるとした

10月15日の続報では、業務委託先からの報告として、個人情報の漏えいの事実は確認されなかったこと、本件に起因する情報の不正利用などの二次被害も確認されていないことを伝えています。

発表には、パスワードの再設定を求める案内や、補償、ポイントの付与についての記載はありません。ログインパスワードとカード情報は、もともと漏えいの可能性の対象外とされていたためと読めます。

JR東海が利用者に呼びかけていること

10月13日の発表には、利用者へのお願いが具体的に書かれています。漏えいが確認されなかったあとも、そのまま使える内容なので、原文を引きます。

現時点で二次被害は確認されていませんが、本事象に便乗し、両サイト、当社、販売事業者、配送事業者等を装った不審なメールやＳＭＳの送信、電話等が行われる可能性があります。不審なメール等に記載されたＵＲＬや添付ファイルを開かず、個人情報、ログインパスワード、クレジットカード情報等を入力しないようご注意ください。また、心当たりのない注文、配送、請求等がないかご確認ください。出典: market.jr-central.co.jp

この呼びかけで大事なのは、なりすましの相手として「販売事業者」と「配送事業者」が挙がっている点です。ECサイトの利用者には、商品を出している店や運送会社からも連絡が来ます。「お届け物の住所に不備があります」というSMSのように、配送の連絡を装った詐欺はもともと多く出回っています。注文の内容や届け先が書かれたメールが対象になった件だからこそ、こうした手口への注意を具体的に呼びかけている、という読み方ができます。

自分が対象かを確かめる方法

対象になったのは、10月7日の時点で、両サイトのメール配信の記録に情報が残っていた人です。確かめ方は次のとおりです。

JR東海MARKETかいいもの探訪を使ったことがあるかを思い出す。受信箱で両サイトの名前を検索すると、注文の確認メールなどが見つかる
自分が注文していなくても、家族や知人から両サイトの商品を贈られたことがあるかを考える。届け先として名前と住所がメールに書かれていた可能性がある
JR東海からこの件の連絡が届いているかを確かめる。発表は、対象者には電子メールその他の適切な方法で個別に連絡するとしている

自分が対象かどうかを直接聞きたい場合は、後の「問い合わせ窓口」の節で挙げた窓口に問い合わせられます。ただし、10月15日の続報で漏えいの事実は確認されなかったと発表されているので、対象だったかどうかで取るべき行動はほとんど変わりません。次の節の確認をしておけば足ります。

利用者がすること：必要なものだけ

今回の件で対象とされた項目に合わせて、やることを並べます。

やること	今回の件で必要か	理由
両サイトのログインパスワードの変更	発表上は求められていない	ログインパスワードは漏えいの可能性はないと明記されている
心当たりのない注文、配送、請求の確認	JR東海が呼びかけている	両サイトの注文履歴と、カードの明細を見ておく
不審なメール、SMS、電話への警戒	JR東海が呼びかけている	両サイト、JR東海、販売事業者、配送事業者を装った連絡に注意
二段階認証の設定	使えるサービスでは設定しておくとよい	パスワードが知られても、それだけではログインされにくくなる
ほかのサービスとのパスワードの使い回しの見直し	今回とは別に、やっておくとよい	別の漏えいが起きたときの被害の広がりを防げる

注文履歴と請求の確かめ方

心当たりのない注文がないかは、両サイトにログインして注文履歴を見るのが確実です。ログインするときは、メールのリンクではなく、自分のブックマークか検索から両サイトを開きます。あわせて、両サイトの支払いに使ったクレジットカードの明細も見ておきます。カード情報は漏えいの可能性の対象外とされていますが、明細を見る習慣は、どの漏えいの場合でも役に立ちます。

配送の連絡を装ったSMSの見分け方

住所や注文内容を知っているような書き方のSMSが来ても、本物とは限りません。配送の不在や住所の不備を知らせるSMSで、リンクを押させて偽のサイトに誘導する手口は、今回の件とは関係なく広く出回っています。運送会社の荷物の状況は、SMSのリンクではなく、運送会社の公式アプリや、伝票番号を自分で入力できる公式サイトで確かめます。そもそも両サイトで最近注文していないのに配送の連絡が来たら、それだけで疑う理由になります。

電話でカード番号やパスワードを聞かれたら切る

JR東海の発表は、電話によるなりすましにも触れています。電話で「漏えいの件で確認したい」と言われ、カード番号やパスワード、ワンタイムパスワード（1回だけ使える確認用の番号）を聞かれたら、その場で答えずに切ります。必要があれば、発表に載っている窓口の番号に自分からかけ直して確かめます。

二段階認証の仕組みはMFA（多要素認証）導入のメリットと製品比較で詳しく説明しています。会社向けの記事ですが、認証の仕組みそのものは個人のアカウントでも同じです。

住所が対象に入っていたことの意味

住所が漏えいの可能性の対象になると、メールやSMSだけでなく、郵便物での詐欺を心配する人もいます。今回は漏えいの事実が確認されなかったので、心配の度合いはかなり下がりますが、住所が関わる漏えいで一般に気をつけることを整理しておくと、ほかの件で役に立ちます。

会社名を名乗る封書で、返金やお詫びの手続きのために振込先や口座番号を書かせようとするものは、会社の公式サイトに同じ案内があるかを確かめる
頼んだ覚えのない商品が届き、代金を請求されても、すぐに払わない。注文していない商品を一方的に送りつけられた場合の扱いは、消費者庁の案内で確かめられる
自宅を訪ねてくる人が会社の名前を出しても、身分を名乗らせ、会社の公式の窓口に自分から問い合わせて確かめる

住所が漏れたときにできることは、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で詳しく説明しています。住所は変えにくい情報なので、変えられるものと変えられないものを分けて考える方法を紹介しています。

「漏えいの可能性」と「漏えいの事実は確認されなかった」の読み方

今回のように、最初は「漏えいした可能性がある」と発表され、あとから「漏えいの事実は確認されなかった」と発表される流れは、ランサムウェアの被害ではよく見られます。2つの言葉の違いを知っておくと、ほかの会社の発表を読むときにも落ち着いて判断できます。

ランサムウェアの攻撃では、データを使えなくするだけでなく、事前にデータを盗み出して「公開する」と脅す手口がよく使われます。そのため、被害が分かった直後は、データが持ち出されたかどうかがまだ分かりません。個人情報保護委員会の決まりでは、漏えいが起きた場合だけでなく、そのおそれがある場合も報告の対象に入るので、会社は調査の結果を待たずに「可能性がある」として報告し、公表することになります。JR東海が10月13日に個人情報保護委員会へ報告したのは、この段階です。

その後、攻撃を受けた側が、侵入の記録やデータの通信の記録を調べ、持ち出しの痕跡がないかを確かめます。今回はIDCフロンティア社が外部のセキュリティ専門企業と調べ、10月14日に持ち出しの痕跡は確認されなかったと発表しました。JR東海の続報は、この結果を受けたものです。

「確認されなかった」は、調べた範囲で痕跡が見つからなかったという意味で、「絶対に漏れていない」と言い切る表現ではありません。会社の発表がこうした言い方になるのは、調査の性質上やむを得ないことです。利用者の側では、漏えいの事実が確認されなかったことを前提にしつつ、なりすましの連絡への注意だけは続けておく、という受け止め方が現実的です。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

今回の件をきっかけに、自分のメールアドレスがほかのサービスの漏えいに含まれていないかが気になった人もいるはずです。海外には、過去に世界で出回った漏えいのデータと照らし合わせて、メールアドレスが含まれているかを無料で調べられるサイトがあります。

調べ方と画面の見方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法で順を追って説明しています。国内のサービスの漏えいはそのサイトに載らないことも多いので、「載っていないから安全」とは読まないことが大切です。結果の読み方もあわせて確かめてください。

もし過去の漏えいにアドレスが含まれていて、そのときのパスワードをほかのサービスでも使っているなら、そのパスワードは今すぐ変えておくべきです。パスワードの使い回しは、1か所の漏えいを、ほかの多くのサービスへの不正なログインに広げてしまいます。

家族や贈り物の受け取り手に伝えておきたいこと

JR東海MARKETやいいもの探訪は、贈り物の手配に使われることもあるサイトです。注文した本人だけでなく、届け先になった家族や知人にも、今回の件を短く伝えておくと安心です。特に、高齢の親あてに贈り物を送ったことがある人は、親が配送の連絡を装ったSMSに反応してしまわないよう、一言添えておく価値があります。

伝える内容は、次の3つに絞ると伝わりやすくなります。

JR東海の通販サイトで、注文のメールに書かれた名前や住所が漏れた可能性があると発表されたが、そのあとの調査で漏えいは確認されなかった
カード情報とパスワードは、もともと対象に入っていない
荷物の不在や住所の不備を知らせるSMSや、JR東海を名乗る電話が来ても、リンクを押したり番号を答えたりせず、家族に知らせる

ニュースの見出しで「漏洩」という言葉を見ると、不安から、届いた連絡を確かめずに開いてしまう人もいます。何が対象で、そのあとどうなったのかを一緒に確かめておくことが、家族を詐欺から守ることにつながります。社内で同じことを共有したい人には、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果が参考になります。フィッシングとは、本物そっくりの偽のメールやサイトで、IDやパスワードをだまし取る手口のことです。

同じクラウドの障害で影響を受けたほかの会社

IDCフロンティア社の障害は、IDCFクラウドを契約していた495の企業や自治体に影響しました。メールの配信を任せていた会社がこの基盤を使っていたために、利用者の情報が漏えいした可能性を発表した会社は、JR東海のほかにも複数あります。

各社の発表を見ると、JR東日本、ビューカード、JR九州、スカパーJSAT、イズミ、マウスコンピューター、ピーチ・ジョンなどが、それぞれ自社のサービスについて公表しています。対象とされた項目は会社ごとに違い、メールアドレスだけの会社が多い中で、JR東海はメールの本文に書かれた情報まで対象に含めて発表しました。複数のサービスを使っている人は、それぞれの会社の発表を個別に確かめる必要があります。

利用者の側からは、どの会社がどの委託先やクラウドを使っているかは見えません。だからこそ、特定の会社が安全かどうかで判断するのではなく、どの会社から来た連絡であっても、リンクを押す前に公式サイトで確かめるという同じ手順を習慣にしておくことが、いちばん効率のよい備えになります。

問い合わせ窓口

JR東海の発表と両サイトのお知らせに載っている窓口は、次のとおりです。

窓口	連絡方法	受付時間
JR東海MARKET お問い合わせフォーム	両サイトのお問い合わせのページ	記載なし
いいもの探訪お問い合わせフォーム	両サイトのお問い合わせのページ	記載なし
JR東海サービス相談室	電話 050-3772-3910	9:00から17:00（土日祝日、年末年始を除く）

電話の番号と受付時間は、JR東海MARKETの10月15日のお知らせに載っているものです。お問い合わせフォームは、メールのリンクではなく、両サイトのページの下にある「お問い合わせ」から開きます。

この件とは関係なく、不審なメールやSMSを受け取って判断に迷ったときは、情報処理推進機構（IPA）の情報セキュリティ安心相談窓口に相談できます。電話は03-5978-7509、受付は10時00分から17時00分（土日祝日と年末年始を除く）です。詳しくはIPAの情報セキュリティ安心相談窓口に載っています。

在宅で仕事をする人が気をつけること

ここからは、フリーランスや在宅で仕事をする人に向けた話です。両サイトで取引先へのお礼の品やお中元を手配したことがある人もいるはずです。その場合、届け先として取引先の担当者の名前や会社の住所が、注文のメールに書かれていたことになります。

このとき、まず整理したいのは、その情報が誰の情報で、誰が管理しているかです。注文の情報を管理しているのはJR東海で、漏えいの可能性があったときに個人情報保護委員会へ報告したのもJR東海です。贈り物を手配した人が、取引先の情報の管理者として報告の義務を負う場面ではありません。しかも続報で漏えいの事実は確認されなかったと発表されています。

一方で、取引先の名前と住所が対象に入っていた可能性があったことを、取引先に伝えるかどうかは別の判断です。義務ではありませんが、取引先との関係によっては、事実を簡単に伝えておくほうが誠実な場合もあります。伝えるなら、次の点を押さえると誤解が生まれにくくなります。

何があったかを、発表した会社の名前と発表の日付とあわせて書く
対象になった可能性のある情報（名前、住所など）を、発表の表現どおりに書く
続報で漏えいの事実は確認されなかったと発表されていることを書く
自分の推測や、発表に書かれていないことは書かない

個人情報保護委員会は、事業者が漏えいの報告と本人への通知の義務を負う場合として、要配慮個人情報を含むもの、財産的な被害のおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるものを挙げています。詳しくは個人情報保護委員会の漏えい等報告のページで確かめられます。取引先から顧客の名簿などを預かって仕事をしている人は、自分が報告や通知をする側になることもあるので、契約書に事故のときの連絡の決まりがあるかを一度確かめておくと安心です。

取引先あての連絡の文面は、事実と推測を分け、敬語を整えることが大切です。ビジネス文書検定の内容は、こうした報告の文書を整える練習にもなります。

運営者の視点：情報を預かる人として見られている

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。その中で感じるのは、取引先が受注する人を選ぶときに、技術や実績と同じくらい「情報を安心して預けられるか」を見ているということです。漏えいの発表が出たときに、自分が関係するかをすぐ確かめ、必要なら事実だけを簡潔に伝えられる人は、それだけで信頼を得やすくなります。

ふだんからできることは多くありません。仕事用と私用のメールアドレスを分ける、取引先の情報を私用のサービスで扱わない、大事なアカウントに二段階認証を設定する。この3つを整えておくだけでも、漏えいの発表が出たときの判断がずっと楽になります。

中間の手数料がかからない直接の取引では、依頼する側は同じ予算でより多くの仕事を頼めて、受ける側は手取りが厚くなります。その分、情報の扱いや連絡の決まりを当事者どうしで決める場面も増えます。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

よくある質問

Q. JR東海の情報漏洩で、何が漏れたのですか？

JR東海は2026年10月13日、JR東海MARKETといいもの探訪のメール配信先のメールアドレスと、メール本文に書かれた氏名、住所、電話番号、注文内容、配送先情報などが漏えいした可能性があると発表しました。対象は両サイト合計で約15,000件です。10月15日に、業務委託先から漏えいの事実は確認されなかったとの報告を受けたと発表しています。