スマートEX・エクスプレス予約の情報漏えい｜ユミルリンク経由でメールアドレスと氏名 対象の範囲と会員が確かめること 2026

スマートEXの情報漏洩について、2026年10月27日時点で公式発表から分かっていることを先に書く。 JR東海・JR西日本・JR九州の3社は2026年10月26日、東海道・山陽・九州新幹線のネット予約サービス「エクスプレス予約」と「スマートEX」で、一部の会員のメールアドレス、会員ID、氏名（カタカナ）、会員種別が外部に漏えいしたと連名で発表した。 原因は3社のシステムではなく、メール配信を委託していた外部事業者ユミルリンク株式会社のメール配信サービス「Cuenote FC」への不正アクセスで、対象の件数はユミルリンクが確認中、生年月日・住所・電話番号・クレジットカード番号・カードの有効期限については漏えいの可能性はないと明記されている。 会員がまずすることは、「エクスプレス予約」や「スマートEX」を名乗るメールやSMSのリンクを開かないこと、ログインパスワードをほかのサービスと使い回しているなら変えること、そして3社からの個別の連絡と続報を公式サイトで確かめることの3つになる。

この記事では、3社の発表に「漏えいした情報」と書かれている項目については「漏えいした」と書き、発表が「確認中」と書いている件数や、「可能性はない」と書いている項目については、その表現のまま書く。 以下、公表の経緯、漏えいした項目と含まれない項目の区別、原因、委託先ユミルリンクの側で分かっていること、3社の対応、自分が対象かを確かめる方法、会員がいますること、問い合わせ窓口、そして在宅で仕事をする人が出張の予約にスマートEXを使っている場合の考え方を、JR3社、ユミルリンク、スマートEXの公式サイト、個人情報保護委員会の公式ページで確かめた範囲で書く。

JR3社が公表した内容と、公表までの経緯

公表は2026年10月26日に、東海旅客鉄道株式会社（JR東海）、西日本旅客鉄道株式会社（JR西日本）、九州旅客鉄道株式会社（JR九州）の3社連名で行われた。 題名は「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて」で、JR西日本のニュースリリース、JR東海のニュースリリース（PDF）、JR九州のお知らせ（PDF）の3か所に、同じ内容の文書が掲載されている。 3社が同じ文書を出しているのは、「エクスプレス予約」と「スマートEX」が3社の共同で運営されているサービスだからで、どの会社のエリアで新幹線に乗る人でも、会員であれば同じ発表が自分に関係する。

発表の中心になる部分は次のとおりである。

２０２６年１０月１６日（金）、同社が不正アクセスを受けた際、「エクスプレス予約」及び「スマートＥＸ」ご利用のお客様には影響がないと同社から報告を受けておりましたが、本日同社よりお客様の個人情報について、第三者に閲覧、または取得されたとの連絡がありました。 なお、ＪＲ東海が保有する「エクスプレス予約」及び「スマートＥＸ」のシステムからの個人情報の漏えいは確認されていません。 出典: westjr.co.jp

経緯を日付の順に並べると次のようになる。

• 2026年10月16日 ユミルリンクが不正アクセスを受ける。この時点で3社は、ユミルリンクから「エクスプレス予約」「スマートEX」の利用者には影響がないと報告を受けていた
• 2026年10月26日 ユミルリンクから3社へ、会員の個人情報が第三者に閲覧または取得されたとの連絡が入る
• 2026年10月26日 3社が連名で発表し、不正アクセスを受けたメール配信サービスの使用を停止、個人情報保護委員会へ報告

つまり、不正アクセスそのものは10月16日に起きていたが、3社の会員が対象だと分かったのは10日後の10月26日である。 この10日間の空白は、3社が隠していたのではなく、委託先の調査の進み方によるもので、ユミルリンク側の報告（後述）を読むと、10月25日の夜に新たに42のシステムで不正アクセスとデータの出力の記録が見つかり、10月26日の昼にその42社へ連絡したという流れになっている。 2026年10月27日時点で、3社からの発表はこの1本だけで、件数が確定した続報はまだ出ていない。

なお、JR東海は2026年10月13日と15日にも、ECサイト「JR東海MARKET」と「いいもの探訪」のメール配信について、株式会社IDCフロンティアで発生した不正アクセスに伴う漏えいの可能性を発表しているが、これは今回とは別の事案である。 そちらは10月15日の更新で「個人情報の漏えいの事実は確認されなかった」との報告を受けたとJR東海が書いており、今回のユミルリンク経由の件とは委託先も対象サービスも違う。 「JR東海の情報漏洩」で検索すると両方の発表が出てくるので、どちらの話を読んでいるのかを文書の題名で見分けてほしい。

漏えいした項目と、会社が「可能性はない」と明記した項目

3社の発表は、漏えいした情報と、漏えいの可能性がない情報を分けて書いている。 会員が自分の被害の範囲を見積もるときに、この区別がいちばん大事なので、表に分けて示す。

区分	項目	発表の表現
漏えいした情報	メールアドレス	「漏えいした情報」として明記
漏えいした情報	会員ID	「漏えいした情報」として明記
漏えいした情報	氏名（カタカナ）	「漏えいした情報」として明記
漏えいした情報	会員種別	「漏えいした情報」として明記
含まれない情報	上記以外の氏名（漢字など）	「漏えいの可能性はありません」
含まれない情報	生年月日	「漏えいの可能性はありません」
含まれない情報	住所	「漏えいの可能性はありません」
含まれない情報	電話番号	「漏えいの可能性はありません」
含まれない情報	クレジットカード番号	「漏えいの可能性はありません」
含まれない情報	クレジットカード有効期限	「漏えいの可能性はありません」

対象件数は「ユミルリンク株式会社にて確認中」で、3社の発表に数字は無い。 報道では件数が出ているが、公式発表に無い数字なのでこの記事では書かない。 対象になるおそれがある会員の範囲は、発表では次のように限定されている。

（３）対象となるおそれのあるお客様 「エクスプレス予約」及び「スマートＥＸ」の会員様のうち、ユミルリンク株式会社が運営する「Cuenote FC」を利用して以下のメールを配信した会員様
・販売促進のために一部の会員様に対して配信したメール
・熊本地震の影響で予約された列車の発車時刻が変更になったことをお知らせするメール など 出典: jr-central.co.jp

ここで分かるのは、会員の全員が対象ではないということである。 対象は、ユミルリンクの「Cuenote FC」を使って配信されたメールの宛先になった会員に限られ、発表に例として挙がっているのは、一部の会員向けの販売促進メールと、熊本地震の影響で予約した列車の発車時刻が変わったことを知らせるメールの2つである。 「など」と書かれているので、この2種類だけとは限らないが、予約完了メールやワンタイムパスワードの通知メールのような、全会員に毎回届く種類のメールがこの経路で送られていたかどうかは、発表に書かれていない。 したがって、自分が対象かどうかは、過去にどのメールを受け取ったかで推測するより、3社からの個別の連絡を待って確かめるのが確実である。

漏えいした4項目のうち、実害につながりやすいのはメールアドレスと会員IDの組み合わせである。 氏名（カタカナ）と会員種別が加わると、「○○様、スマートEXの会員の方へ」のように、本物らしく見える文面の偽メールを作る材料になる。 一方で、パスワードは漏えいした情報に挙がっていないので、この4項目だけでは第三者がログインすることはできない。 クレジットカード番号と有効期限も「可能性はない」と明記されているので、カードの不正利用がこの事案から直接起きることは、発表の範囲では考えにくい。

原因は委託先ユミルリンクの「Cuenote FC」への不正アクセス

3社の発表に書かれている原因は、外部事業者であるユミルリンク株式会社が提供するメール配信サービスが不正アクセスを受けたことである。 「エクスプレス予約」「スマートEX」のシステムそのものから漏えいしたのではないことを、発表は「ＪＲ東海が保有する『エクスプレス予約』及び『スマートＥＸ』のシステムからの個人情報の漏えいは確認されていません」と明記している。

ここで言うメール配信サービスとは、会社が大量のメールを会員へ一斉に送るために使う外部のシステムのことで、送る側の会社は宛先のメールアドレスや差し込み用の氏名を、そのサービスに登録しておく。 今回は、その登録先であるユミルリンクのサーバが不正アクセスを受け、登録されていた宛先の情報が第三者に閲覧または取得された、という構図である。 予約の内容やクレジットカードの情報は、メールを送るための登録には要らないので、配信サービス側には渡っていない。 発表でカード番号や生年月日が「可能性はない」とされているのは、この仕組みによる。

ユミルリンクは東証グロース上場の会社で、不正アクセスについて自社の発表を2回出している。 いずれも同社のIRニュースの一覧から読める。

• 2026年10月19日 「当社システムへの不正なアクセスに関するご報告（第一報）」。10月16日未明に一部システムで不正アクセスを確認、合計5システムに対して不正アクセスとデータの出力があり、メールアドレスを含む情報 延べ約900万件が出力されたと試算
• 2026年10月26日 「当社システムへの不正なアクセスに関するご報告（第二報）」。その後の解析で新たに45システム（Cuenote FC 44システム、Cuenote BASE 1システム）での不正アクセスを確認。メールアドレスなどの出力が確認されたシステムは計49システム、漏えいのおそれがある件数は延べ51,628,280件。漏えい件数を調査中のシステムが16システムあり、延べ件数は今後増える可能性があると記載

第二報によると、原因はプログラム（ライブラリ）の脆弱性で、攻撃者はその脆弱性を使って同社のサポート・品質管理担当者の認証情報を取得し、不正プログラムを設置してデータベースからデータを出力し、その認証情報で他のシステムへの認証を試みていた。 第二報の経緯の表では、10月25日21時45分に「新たに42システムに不正アクセス、データ出力記録があることを確認」、10月26日12時30分に「新たに影響が確認された42システム（42社様）にご連絡」とある。 3社の発表が10月26日になったのは、この連絡を受けたからだと読める。 ただし、JR3社の会員がこの42社に含まれるかどうかをユミルリンクの発表は個別に書いていないので、この対応関係は時系列からの推測にとどまる。

第二報には、「Cuenote FC」に登録される情報の種類も書かれている。 アドレス帳（配信先メールアドレスと、差し込みや抽出のための氏名、都道府県、生年月日などの付属情報。登録される付属情報は利用企業ごとに違う）、配信記録、Webアクセス記録、サービス利用者情報の4つである。 JR3社の場合、アドレス帳に登録されていた付属情報が、会員ID、氏名（カタカナ）、会員種別だったということになる。 ユミルリンクは、漏えいした個人情報が不特定多数に公開された事実や、不正利用の事実は現時点で確認されていないとしている。 一方で、同社のドメインを使って第三者を名乗った迷惑メールが複数確認されており、確認されている例として、件名が「ご利用確認のお願い」「利用内容確認のご依頼」、送信元が「セゾンカード ＜[email protected]＞」「SAISON ＜[email protected]＞」のものが挙げられている。

3社の対応と、続報を確かめる場所

3社の発表に書かれている対応は次の3つである。

• 不正アクセスを受けたメール配信サービスの使用を直ちに停止した
• 2026年10月26日に個人情報保護委員会へ報告した
• 対象となる会員には、電子メールその他の適切な方法により個別に連絡する

パスワードの初期化、補償、お詫びの品のような記載は発表に無い。 発表に無いことはこの記事でも書かない。

個人情報保護委員会への報告は、個人情報保護法で事業者に義務付けられているもので、委員会の「漏えい等の対応とお役立ち資料」のページに、報告が必要になる場合と期限が書かれている。 不正の目的をもって行われたおそれがある行為による漏えいは、本人の数にかかわらず報告の対象で、不正アクセスにより個人データが漏えいした場合が例として挙げられている。 報告の期限は、速やかに行う速報と、発覚日から60日以内の確報の2段階で、3社は公表と同じ10月26日に報告している。 確報の時点で件数が確定している可能性があり、続報が出るとすれば、3社のニュースリリースか、スマートEXとエクスプレス予約のサイトのトピックスのどちらかになる。

続報を確かめる場所は次のとおりである。

• JR東海のニュースリリース（jr-central.co.jp）
• JR西日本のニュースリリース（westjr.co.jp）
• JR九州のお知らせ（jrkyushu.co.jp）
• スマートEXのトピックス一覧（smart-ex.jp）
• エクスプレス予約のトピックス一覧（expy.jp）
• ユミルリンクのIRニュース（ymir.co.jp）

2026年10月27日時点で、スマートEXとエクスプレス予約のサイトのトピックスには、今回の事案の専用のお知らせは掲載されていない。 掲載されているのは、2025年7月25日更新の「【重要】『EX』のメールサービスを装った偽メールやパスワード管理について」で、これは今回の事案より前から出ている注意喚起である。 今回の事案に合わせた案内が追加されるかどうかは分からないので、会員は3社のニュースリリースのほうも見ておくとよい。

自分が対象かどうかを確かめる方法

発表に書かれている確かめ方は1つで、対象となる会員には3社から電子メールその他の適切な方法により個別に連絡が来る、というものである。 マイページで対象かどうかを表示する仕組みや、会員IDを入力して照会する専用ページは、2026年10月27日時点の発表には無い。

ここで注意が要るのは、「個別の連絡」が届く先が、まさに漏えいしたメールアドレスだという点である。 本物の連絡と、漏えいしたアドレスに送られてくる偽メールが、同じ受信箱に並ぶことになる。 見分け方として使えるのは、スマートEXの公式サイトに書かれている次の2点である。

• スマートEXのメールは、一部の案内メールを除き「@expy.jp」から送られる。案内メールの送信元は [email protected] と [email protected]
• 「エクスプレス予約」や「スマートEX」から、メールで添付ファイルの開封を求めたり、URLを指定してクレジットカードの情報やパスワード（パスワード変更のリンク先を含む）の入力や、メールへの返信を求めたりすることはない

つまり、本物の個別連絡が来たとしても、その中のリンクからパスワードやカード情報を入力させることはない、と公式が言い切っている。 届いたメールに「こちらからパスワードを再設定してください」「カード情報を再登録してください」というリンクがあれば、差出人の表示が何であれ偽物として扱ってよい。 本物かどうか迷ったら、メールの中のリンクは使わず、ブラウザのブックマークやアプリから自分でログインして、お知らせや登録情報を確かめる。

連絡が来ていないからといって対象外とは限らない点にも触れておく。 件数がユミルリンクで確認中である以上、個別の連絡は確認が済んだ範囲から順に行われると考えられ、2026年10月27日時点で連絡が無いことは、対象でないことの証明にならない。 スマートEXの公式サイトは、有効でないメールアドレスしか登録されていないとワンタイムパスワードの通知などが受け取れないとして、複数のメールアドレスの登録を勧めている。 登録しているアドレスが今も使えるものかを、この機会に「お客様情報の確認・変更」で見直しておくと、個別の連絡を取りこぼさずに済む。

漏えいしたのが自分のメールアドレスかどうかを、会社の連絡とは別の方法で調べたい人は、Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩を参考にしてほしい。 ただし、今回の事案のデータがそうした照合サイトに登録されるかどうか、されるとしていつになるかは分からないので、「載っていないから無事」とは言えない。

会員がいますること

漏えいした項目がメールアドレス、会員ID、氏名（カタカナ）、会員種別の4つで、パスワードとカード情報が含まれないことを踏まえると、会員がすることは次の順になる。

偽メール・偽SMSのリンクを開かない

いちばん起きやすい二次被害は、漏えいしたアドレス宛に「エクスプレス予約」や「スマートEX」を名乗る偽メールが届くことである。 スマートEXの公式サイトは、2025年7月の時点で、すでに確認されている偽メールの手口を次のように挙げている。

●偽メールの主な事例
・会員IDやログインパスワードの変更を促すもの
・登録のメールアドレスにメールを送れないため登録情報の修正を促すもの
・異なる端末からアクセスがありパスワード再登録を促すもの
・予約を完了したが本人利用ではない場合は予約の取消しを促すもの 出典: smart-ex.jp

今回の漏えいで、攻撃者は会員IDと氏名（カタカナ）を持っている。 「○○サマ（会員ID xxxxx）、不正なログインを検知しました」のように、本物しか知らないはずの情報を文面に入れた偽メールが作れる状態なので、会員IDが書いてあるから本物だ、という判断はもう使えない。 公式サイトは、偽メールはデザインを模倣していて見た目での判断が難しいとしたうえで、URLをクリックしない、添付ファイルを開かない、返信しない、クリックしてしまってもリンク先で個人情報を入力しない、と書いている。 SMSについても同じで、ユミルリンクの第二報は、同社や関係先を装った偽メールやSMSが届く可能性があると注意を促している。

パスワードを使い回しているなら変える

パスワードそのものは漏えいした情報に含まれていない。 それでも変えたほうがよいのは、ほかのサービスで同じメールアドレスと同じパスワードを使っている場合である。 過去に別のサービスから漏えいしたパスワードと、今回漏えいしたメールアドレスを組み合わせてログインを試す手口があり、使い回しがあると、今回の事案とは別の漏えいが引き金になってスマートEXに入られることがある。 スマートEXの公式サイトも、パスワードはできる限り複数のサービスで使い回さないこと、会員IDと同じ文字列、生年月日、電話番号、名前やメールアドレスの一部のような推測されやすいものを設定しないことを求めている。 変更の手順は、「エクスプレス予約」または「スマートEX」のサイトにログインし、メニュー画面の「パスワード変更」から行う。 メールのリンクからではなく、自分でサイトを開いて行う。

誤って情報を入力してしまったときの手順

公式サイトには、偽サイトに情報を入力してしまった場合の手順も書かれている。 「エクスプレス予約」や「スマートEX」に関する個人情報を入力した場合は、ログインして自分で初期化・退会の手続きを行い、必要なら再入会する。 使う予定の予約がある、退会の手続きができなかった、という場合は、エクスプレス予約会員さま向けコールセンターまたはスマートEXカスタマーセンターに問い合わせる。 クレジットカードに関する情報を入力した場合は、カード会社に電話してカードの利用停止などの手続きを行う。 これは今回の事案で入力を求められることが無い前提の話だが、偽メールに引っかかってしまったときの戻し方として覚えておく価値がある。

二段階認証と、ワンタイムパスワードの受信先

スマートEXでは、受取コードの発行、パスワードの再登録、お客様情報の照会・変更などのときに、登録済みのすべてのメールアドレスにワンタイムパスワードが送られる仕組みがある（受信方法として「メールアドレス」を選んでいる場合）。 このワンタイムパスワードはログインパスワードとは別のもので、第三者がパスワードを知っていても、メールの受信箱まで押さえられなければ重要な操作ができない作りになっている。 したがって、守るべき要になるのは、登録しているメールアドレスの受信箱である。 GmailやiCloudなどのメールサービス側で二段階認証を有効にしていなければ、スマートEXより先にそちらを固めるべきで、公式サイトも、フリーメールのアドレスを登録している会員に対して、提供元が公表しているセキュリティ対策を確認するよう求めている。 二段階認証の考え方と各サービスでの有効化の手順は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理している。

カード明細は見ておくが、慌てなくてよい

クレジットカード番号と有効期限は「漏えいの可能性はありません」と明記されているので、この事案を理由にカードを止める必要はない。 ただし、偽メールに引っかかってカード情報を入力してしまう二次被害は別の話なので、普段どおりカードの利用明細を見ておき、身に覚えのない利用があればカード会社に連絡する、という平時の習慣は続ける。

問い合わせ窓口

3社の発表には、今回の事案の専用窓口の電話番号は書かれていない。 対象となる会員には3社から個別に連絡する、とだけ書かれているので、問い合わせはふだんの窓口を使うことになる。

スマートEXの会員については、スマートEXの「個人情報の取り扱いについて」に、個人情報の取り扱いに関する苦情と開示等の請求の窓口として、スマートEXカスタマーセンターが載っている。

• 名称 スマートEXカスタマーセンター
• 電話番号 0570-00-8574
• 受付時間 5:30～23:30（年中無休）

エクスプレス予約の会員については、スマートEXの偽メールに関する注意喚起の中で「エクスプレス予約会員さま向けコールセンター」が案内されている。 電話番号はエクスプレス予約のサイトにログインしたうえで確かめてほしい。

委託先のユミルリンクも、不正アクセス専用の問い合わせ窓口を第一報と第二報に載せている。

• 名称 ユミルリンク株式会社 不正アクセス専用お問い合わせ窓口
• 電話番号 03-6820-0088
• 受付時間 平日9時00分～20時00分
• 電子メール [email protected]（24時間受付、返信は平日9:00～19:00）

ただし、この窓口はユミルリンクの顧客である企業向けの色合いが強く、スマートEXの会員が自分のアドレスが対象かどうかを尋ねても、個別の会員情報はJR3社が持っているので、答えは3社の案内を待つ形になると考えられる。 会員は、まず3社からの連絡と、スマートEXカスタマーセンターを使うのが筋である。

在宅で仕事をする人が、出張の予約にスマートEXを使っている場合

在宅で仕事をする人の中には、取引先への訪問や打ち合わせの出張で新幹線を使い、スマートEXやエクスプレス予約を仕事用のメールアドレスで登録している人が多い。 その場合の考え方を、公式発表の範囲で整理する。

まず、今回漏えいしたのは会員本人の情報であって、取引先の情報ではない。 スマートEXの会員登録に取引先の氏名や連絡先を入れることはなく、予約の内容や同乗者の情報も、3社の発表では漏えいの可能性がない区分に入っている（発表は「これ以外の」個人情報として生年月日、住所、電話番号、カード情報を挙げており、予約内容は漏えいした4項目に含まれていない）。 したがって、取引先から預かった個人情報が今回の事案で外に出た、という状況は発表の範囲では生じていない。 取引先に知らせる義務が自分に発生するかどうかで言えば、個人情報保護委員会が報告や本人への通知を求めているのは、個人データを漏えいさせた事業者（今回はJR3社とユミルリンク）であり、会員の側が自分の取引先に何かを報告する決まりは無い。

それでも、仕事用のアドレスが漏えいしたこと自体は、取引先とのやりとりに影響しうる。 漏えいしたアドレス宛に偽メールが届き、そのメールの中のリンクから仕事用のメールアカウントのパスワードを入力してしまえば、受信箱に入っている取引先とのやりとりが丸ごと第三者に見られる。 そうなって初めて、取引先の情報が関わる話になる。 だから、在宅で仕事をする人が取るべき対策は、取引先への報告ではなく、仕事用メールアカウントの防御を固めることで、具体的には次の3つになる。

• 仕事用メールアカウントの二段階認証を有効にする（スマートEXのワンタイムパスワードの受信先でもある）
• スマートEXのパスワードを、仕事用メールやクラウドサービスと同じものにしていたら、それぞれ別のものに変える
• 「出張の予約が取り消されました」「発車時刻が変更になりました」のような、業務に直結する件名の偽メールに警戒する

3つ目は、今回の事案に特有の注意点である。 漏えいした経路の例として、発表は熊本地震の影響で列車の発車時刻が変わったことを知らせるメールを挙げている。 つまり、攻撃者が手に入れたのは「運行の変更を知らせるメールを受け取る会員」のリストであり、同じ体裁の偽メールを作れば、出張前の人ほど慌てて開きやすい。 運行情報は、メールのリンクではなく、EXアプリかスマートEXのサイトに自分でログインして確かめる、という習慣に切り替えておく。

自分の会社や屋号で、取引先の個人情報を預かって仕事をしている人は、個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページを一度読んでおくとよい。 委員会は、クラウドサービスやテレワーク環境を利用する際の漏えい事案についての注意喚起と、委託先管理に関する着眼点を資料として公開しており、今回のように委託先のメール配信サービスから漏えいする構図は、在宅で小さく事業をしている人がメール配信ツールやフォームサービスを使う場面でも、そのまま当てはまる。 自分が使っている配信ツールやフォームに、取引先や顧客の氏名とメールアドレスを登録しているなら、そのツールの運営会社が不正アクセスを受けたとき、自分が「委託元」としてどこに何を報告するのかを、平時に確かめておくことが対策になる。 企業向けのセキュリティ対策の全体像と、IT導入補助金を使った整備の進め方は、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法に書いている。

委託先からの漏えいが続いている背景と、会員側で変えられること

2026年10月は、メール配信サービスを経由した漏えいの発表が相次いでいる。 今回のユミルリンク「Cuenote FC」のほか、JR東海が10月13日に発表したIDCフロンティア経由の件も、構図は同じで、会社のシステムは無事でも、メールを送るために宛先を預けていた外部のサービスが攻撃されると、宛先の情報だけが外に出る。 ユミルリンクの第二報によると、Cuenote FCで不正アクセスが試行されたのは、複数企業で使う3システムと、単一企業で使う78システムで、そのうち情報漏えいの痕跡が確認されたのは単一企業で使う49システムだった。 1つの配信サービスの脆弱性が、それを使う数十社の会員情報に同時に波及する、という規模感である。

会員の側では、委託先を選ぶことはできない。 それでも変えられる点が2つある。 1つは、メールアドレスが漏えいすることを前提に、メールのリンクから重要な操作をしない習慣をつくることで、これは前の節で書いたとおりである。 もう1つは、サービスごとに登録するメールアドレスを分けることで、スマートEX専用のアドレス、仕事用のアドレス、買い物用のアドレスを分けておけば、どこかから漏えいしたときに、どのサービス経由かが分かり、そのアドレスに届く偽メールを機械的に警戒できる。 スマートEXは複数のメールアドレスを登録できる仕組みなので、専用のアドレスを1つ増やしても、予約の確認メールやワンタイムパスワードの受け取りに支障は出ない。

社員教育の立場でこの事案を扱う人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが参考になる。 今回のように、本物の会員IDや氏名が偽メールに差し込まれる事案は、模擬訓練の題材として現実味がある。

住所が漏えいした場合の対処は今回の事案には当てはまらないが、発表の続報で項目が増えたときのために、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番も挙げておく。 2026年10月27日時点の発表では、住所は「漏えいの可能性はありません」の側にある。

在宅で働く人にとって、アカウントを守ることは仕事の信用を守ることと同じで、在宅ワークの仲介サイト @SOHO のAI・マーケティング・セキュリティのお仕事では、セキュリティ分野の仕事の内容と、求められる経験を整理している。 自分のアカウントを守る知識は、そのまま仕事の分野にもなる。

続報が出たときに確かめる点

2026年10月27日時点で未確定なのは、対象の件数と、個別連絡の時期の2つである。 続報が出たら、次の点を確かめるとよい。

• 件数が確定したか。ユミルリンクの第二報では調査中のシステムが16あり、延べ件数は増える可能性があるとされている
• 漏えいした項目に変更が無いか。3社の発表では4項目だが、ユミルリンク側のアドレス帳の付属情報の調査が完了し次第報告するとされているため、項目が増減する可能性がある
• 個別連絡の方法が「電子メールその他の適切な方法」のどれになったか。メールで来るなら、送信元が @expy.jp かどうかを見る
• スマートEXやエクスプレス予約のサイトに、今回の事案に合わせた専用のお知らせが出たか
• パスワードの初期化やログインの制限など、会員の操作が要る対応が追加されたか

発表に無いことをこの記事は書いていないので、続報で新しい事実が出た場合は、3社のニュースリリースの記載を優先してほしい。 この記事の内容は、2026年10月27日時点の公式発表に基づいている。

よくある質問

Q. スマートEXの情報漏えいで、クレジットカードは止めたほうがいいですか？

3社の発表は、クレジットカード番号とカード有効期限について「漏えいの可能性はありません」と明記しています。この事案を理由にカードを止める必要はありません。ただし、漏えいしたメールアドレス宛に届く偽メールでカード情報を入力してしまう二次被害は別なので、利用明細は普段どおり確認してください。

Q. 自分が対象かどうかは、どうすれば分かりますか？

2026年10月27日時点で、発表に書かれている方法は「対象となる会員には電子メールその他の適切な方法により個別に連絡する」の1つだけです。マイページで照会する仕組みはありません。連絡が来ていなくても対象外とは限らないので、登録メールアドレスが今も受信できるものかを確認し、3社のニュースリリースで続報を見てください。

Q. パスワードは漏れていないのに、変える必要がありますか？

パスワードは漏えいした情報に含まれていません。変えたほうがよいのは、ほかのサービスと同じパスワードを使い回している場合です。別のサービスから漏えいしたパスワードと、今回漏えいしたメールアドレスを組み合わせてログインを試す手口があるためです。変更はメールのリンクからではなく、自分でサイトにログインして「パスワード変更」から行ってください。

Q. 本物の連絡と偽メールは、どこで見分けますか？

スマートEXの公式サイトは、メールで添付ファイルの開封、URLからのカード情報やパスワードの入力、メールへの返信を求めることはないと明記しています。パスワードの再設定やカードの再登録を促すリンクがあれば、差出人の表示が何であれ偽物として扱ってください。本物かどうか迷ったら、リンクを使わずブックマークやEXアプリから自分でログインして確かめます。