東京メトロの情報漏洩｜イベントメールマガジン約8万件のメールアドレスの範囲と注意点 2026

東京メトロの情報漏洩について、2026年10月25日時点で公式発表から分かっていることを先に書く。 東京地下鉄株式会社（東京メトロ）は2026年10月23日、「東京メトロイベントメールマガジン配信サービス」の配信に使っている外部のメール配信サービス「ブラストメール」（運営は株式会社ラクスライトクラウド）が第三者による不正アクセスを受け、メールマガジンに登録された利用者のメールアドレス約8万件が第三者に取得されたことが判明したと発表した。 取得されたのはメールアドレスで、会社はメールアドレス以外の登録情報が取得された可能性はないと明記している。 登録者がまずすることは、東京メトロを装ったメールに注意すること、メールの中のリンクや添付ファイルを開かないこと、そして同じメールアドレスをログインIDに使っているサービスのパスワードの使い回しを見直すことの3つになる。

「東京メトロ 情報漏洩」で調べている人の中には、2026年9月に報道されたメトロポイントクラブ（メトポ）会員向けサービスの不正アクセスの件を探している人もいるはずだが、この記事で扱うのは10月23日に公表されたイベントメールマガジンの件で、別の事案である。 以下、公表の経緯、漏れた項目と含まれない項目、原因、会社の対応、自分が対象かを確かめる方法、登録者がすること、問い合わせ窓口、そして在宅で仕事をする人がこのメールマガジンを仕事用のアドレスで受けていた場合の考え方を、東京メトロとラクスライトクラウドの公式発表、個人情報保護委員会、IPA（独立行政法人情報処理推進機構）の公式ページで確かめた範囲で書く。

東京メトロが公表した内容と、公表までの経緯

東京メトロは2026年10月23日付で「東京メトロイベントメールマガジン配信サービスにおける不正アクセスについて（お詫び）」というお知らせをPDFで公開した。 本文は1ページで、何が起きたか、登録者へのおねがい、問い合わせ窓口の3つで構成されている。 中心になる部分は次のとおりである。

東京メトロイベントメールマガジン配信のために当社が利用している外部メール配信サービス（「ブラストメール」運営：株式会社ラクスライトクラウド）において、第三者による不正アクセスが発生し、本メールマガジンに登録されたお客様のメールアドレス※約 8 万件が第三者に取得されたことが判明いたしました。 ※メールアドレス以外の登録情報が第三者に取得された可能性はございません。 出典: tokyometro.jp

東京メトロの発表は10月23日の1回で、2026年10月25日時点で同社からの続報は出ていない。 お知らせの中で「今後、新たな事実が判明した場合は、速やかに HP 等でお知らせいたします」と書いているので、続報は東京メトロのサイトのお知らせで確認することになる。

東京メトロの発表だけを読むと経緯が分かりにくいが、この件は東京メトロのシステムが直接攻撃されたものではなく、配信を委託していた外部サービス側で起きた事故である。 そのため、時間の流れは運営元であるラクスライトクラウドの公式報告のほうに詳しく出ている。 ラクスライトクラウドの公式ページ「【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」によると、ブラストメールは2026年10月21日0時30分からサービスを停止し、メールの配信も同日1時頃から止まっている。 その後、同社は契約者（ブラストメールを使って配信していた企業や団体）に順次個別の連絡をしており、10月23日に東京メトロを含む複数の契約者が利用者向けの公表を行った。 10月25日10時00分更新の報告（第12報）では「現時点で新たにご報告できる確定情報や進展はございません」とし、次の報告は10月26日10時頃を目途にするとしている。

経緯を日付で並べると次のようになる。

• 2026年10月21日 0時30分 ラクスライトクラウドがブラストメールを緊急停止。1時頃からメール配信も停止
• 2026年10月23日 東京メトロが「東京メトロイベントメールマガジン配信サービスにおける不正アクセスについて（お詫び）」を公表。約8万件のメールアドレスが第三者に取得されたことが判明したと発表
• 2026年10月24日 ラクスライトクラウドが第10報と第11報を公表。契約者情報以外の情報漏えいが確認された契約件数を344件、個別連絡が完了した件数を344件と記載
• 2026年10月25日 10時00分 ラクスライトクラウドが第12報を公表。新たな確定情報はなく、サービス再開は「未定」のまま

東京メトロの発表には「漏えいのおそれ」ではなく「取得されたことが判明」と書かれている。 つまり会社としては、可能性の段階ではなく、第三者の手に渡ったことを確認した上での公表という位置づけである。

漏れた項目と、会社が「含まれない」と明記した項目

今回の件で押さえておきたいのは、取得された情報が何で、何が含まれていないかである。 東京メトロの公式発表では、取得されたのはメールマガジンに登録されたメールアドレスで、件数は約8万件とされている。 同時に、メールアドレス以外の登録情報が第三者に取得された可能性はないと明記している。

区分	項目	公式発表の表現
取得された情報	メールアドレス（東京メトロイベントメールマガジンの登録者）	約8万件が第三者に取得されたことが判明
含まれないと明記された情報	メールアドレス以外の登録情報	第三者に取得された可能性はない

東京メトロの発表は上の2つの区分で全部で、氏名や電話番号、住所、クレジットカード番号、パスワードといった項目は、そもそもこのメールマガジンの配信先リストに載っていた情報として触れられていない。 「メールアドレス以外の登録情報が取得された可能性はない」という書き方なので、イベント情報サイト側で何かほかの情報を登録していた人がいても、今回取得されたのはメールアドレスだけ、というのが会社の説明である。

ここで気をつけたいのは、メールアドレスだけの漏えいを軽く見てよいという意味ではないことである。 メールアドレスは、それ自体で口座からお金を引き出せる情報ではないが、「東京メトロのイベント情報を受け取っている人のアドレス」というまとまりで第三者の手に渡っている。 攻撃者から見れば、東京メトロやイベントの当選、キャンペーンを装った偽のメールを送る相手が特定できたということになる。 個人情報保護委員会も、メールアドレスのみの漏えいは直ちに財産的被害が生じるおそれがある漏えいには当たらないとしつつ、不正アクセスによる漏えいは別の要件で報告の対象になると整理している（後の節で引用する）。 登録者側の対応は、この「狙われた偽メールが来る前提で備える」という一点に集中すればよい。

原因は委託先のメール配信サービスへの不正アクセス

東京メトロの発表では、原因は外部メール配信サービス「ブラストメール」における第三者による不正アクセスとだけ書かれていて、どのように侵入されたかは東京メトロ側の文書には書かれていない。 侵入の経路については、サービスの運営元であるラクスライトクラウドの公式報告に、2026年10月25日時点で次のように書かれている。

外部の第三者が、弊社の API 用のサーバー 2 台に侵入してコマンドを実行し、そこから弊社の販売管理システムとサービスのデータベースに接続して、データを持ち出しました。 侵入経路の詳細は調査中です。 出典: info.blastmail.jp

APIとは、外部のプログラムからそのサービスの機能を呼び出すための窓口のことで、企業は自社のシステムからAPIを通じてブラストメールに配信先リストを登録したり、配信を指示したりできる。 その窓口用のサーバー2台に侵入され、そこから内部のデータベースへつながれて、データが持ち出されたというのが運営元の説明である。 どうやって最初の侵入に成功したのかは「調査中」で、東京メトロの発表にもその点は書かれていない。 この記事でもそれ以上は書かない。

ラクスライトクラウドの報告には、影響範囲として2つの層があると書かれている。 1つは、ブラストメールの全契約者の販売管理情報（会社名、担当者名、電話番号、メールアドレス、請求先メールアドレス、契約と支払いの履歴など）が持ち出されたこと。 もう1つは、一部の契約者について、配信先のリストなど配信に関する情報の漏えいも確認されたことである。 後者の「契約者情報以外の情報漏えいが確認されたご契約件数」は、10月24日13時20分更新の第11報で344件とされ、10月25日の第12報でも変更はない。 東京メトロのイベントメールマガジンは、この後者に含まれる契約の1つという位置づけになる。 ラクスライトクラウドは「いずれも現時点の数値であり、外部機関の調査の進捗より変動する可能性がございます」とも書いているので、この数字は今後変わる可能性がある。

同じ配信サービスを使っていた企業や団体が同時期に同じ趣旨の公表をしているが、この記事では東京メトロが公表した範囲と、運営元が公表した範囲だけを扱う。 ほかの企業や団体の件数や内容は、それぞれの公式発表で確認してほしい。

東京メトロの対応と、いま止まっているサービス

東京メトロが発表の中で示した対応は、大きく2つである。

1つは、サービスの停止。 東京メトロイベント情報サイトとメールマガジンについて、新規登録と登録解除、配信を、安全性の確認とサービスの復旧作業が完了するまで停止するとしている。 つまり、2026年10月25日時点では、メールマガジンの配信が来ないのが正常な状態で、登録を解除したいと思っても会社側の操作では解除できない期間に入っている。 停止がいつまで続くかは東京メトロの発表には書かれていない。 運営元のラクスライトクラウドもサービス再開の日時を「未定」としているので、東京メトロの配信再開もそれより先になると考えてよい。

もう1つは、登録者への注意喚起と窓口の設置。 東京メトロは登録者に向けて次のように書いている。

本事象により、お客様のメールアドレスが第三者に不正取得されている可能性があります。当社を装った不審なメールには十分お気を付けいただきますようお願いいたします。 出典: tokyometro.jp

発表にないことも書いておく。 東京メトロの文書には、登録者一人ひとりへの個別通知を行うとは書かれていない。 対象者へのメールでの個別連絡が書かれていないのは、配信に使っていたサービスそのものが停止しているという事情も考えられるが、理由は発表に書かれていないので推測は書かない。 また、パスワードの初期化、補償やお見舞いについては、発表に記載がない。 メールマガジンの登録にパスワードが要らない仕組みであれば、初期化するものがそもそも無いということになるが、これも会社の発表に書かれているわけではない。 補償や賠償の有無も、発表に無いことをこの記事で推測しない。

自分が対象かどうかを確かめる方法

対象は「東京メトロイベントメールマガジン」に登録していたメールアドレスである。 会社からの個別通知が発表に書かれていないので、2026年10月25日時点では、自分で心当たりを確かめるしかない。 次の順で考えると判断しやすい。

1. 受信箱で「東京メトロ」「イベント」「メールマガジン」などを検索し、東京メトロのイベント情報のメールが過去に届いていたかを見る。届いていれば、そのアドレスが登録されていたアドレスである
2. 東京メトロのイベント（駅や車両基地の見学、スタンプラリー、グッズの抽選、企画乗車券の案内など）に申し込んだとき、メールマガジンの受信に同意した覚えがあるかを思い出す
3. 心当たりがあるが確信が持てないときは、東京メトロの問い合わせ窓口（次の節に書く）に、登録の有無を確認できるか尋ねる

ここで注意したいのは、メトロポイントクラブ（メトポ）の会員であることと、イベントメールマガジンの登録者であることは別だという点である。 今回の発表は、イベントメールマガジンの配信先リストについてのもので、メトポ会員全体に関する発表ではない。 メトポに登録しているだけでは、今回の約8万件に含まれているとは言えないし、逆にメトポ会員でなくてもイベントメールマガジンに登録していれば対象になり得る。

自分のメールアドレスが過去にどこかの漏えい事故に含まれていたかを調べる方法としては、漏えいしたデータを集めて検索できるサイトを使う手がある。 こうしたサイトの使い方と、検索結果の読み方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で詳しく書いている。 ただし、今回の件のデータがそうしたサイトに登録されるかどうか、登録されるとしていつになるかは分からないので、2026年10月25日時点で「出てこないから対象ではない」とは言えない。

登録者がいまやること。漏れたのがメールアドレスだけの場合

漏れた項目がメールアドレスだけなので、やることは絞られる。 クレジットカード番号やパスワードは今回の対象に含まれていないから、カード会社に連絡したり、すべてのサービスのパスワードを変えたりといった大がかりな対応は、この件に関しては要らない。 その代わり、偽のメールに対する備えだけは、いますぐ、具体的にやっておく必要がある。

東京メトロを装ったメールの見分け方

IPAは、日常の情報セキュリティ対策の中で、メールやSMS、SNSで届く不審なファイルやURLについて次のように書いている。

なお、実在の組織や人物を騙ったり、ごく自然な日本語表現で違和感がなかったりなど、一見では不審をいだきにくい場合があります。受信したメールの正当性が判断できない場合は、確かな情報源を使ってメールの真偽を確認してください。メール本文に連絡先が記載されていても連絡したりせず、メールに返信しないようにしてください。 出典: ipa.go.jp

今回の件に当てはめると、具体的には次の点を見る。

• 件名や本文に「不正アクセスのお詫び」「お見舞い」「ポイント付与」「登録情報の再確認」「アカウントの停止」などが書かれ、リンクを押させようとするメールは、本物かどうかをメールの外で確かめる。東京メトロの公式発表には、登録者にリンクから何かを入力させる案内は書かれていない
• メールの差出人の表示名が「東京メトロ」でも、表示名は誰でも自由に設定できる。差出人のアドレス部分の「@」より後ろを見て、見覚えのないドメインなら開かない
• 本文中のリンクは押さず、確かめたいときはブラウザのブックマークや検索から東京メトロの公式サイトを開く。IPAも、よく利用するサイトは正しいと確認できているURLをあらかじめお気に入りに登録しておき、それを使ってアクセスするよう勧めている
• 添付ファイルは開かない。東京メトロの発表はPDFで公表されているが、登録者にPDFをメールで送るとは書かれていない
• SMSや電話で「東京メトロの件で」と言われても、メールアドレスしか漏れていないのに電話番号を知っているのはおかしい、と考える。今回取得された情報には電話番号は含まれていない
• 日本語が自然でも疑う。IPAが書いているとおり、違和感のない文面の偽メールは珍しくない

もし偽メールのリンクを押してしまい、何かを入力してしまったときは、入力した情報の種類で対応を分ける。 IDとパスワードを入れたなら、そのサービスのパスワードをすぐ変え、同じ組み合わせを使っているほかのサービスも変える。 クレジットカード番号を入れたなら、カード会社に連絡して利用停止と再発行を相談する。 入力していなければ、リンクを押しただけで直ちに被害が確定するわけではないが、端末のセキュリティソフトで検査しておくとよい。

パスワードの使い回しと二段階認証を見直す

今回の件でパスワードは漏れていない。 それでも見直しを勧めるのは、メールアドレスは多くのサービスでログインIDとして使われていて、過去の別の漏えいで漏れたパスワードと組み合わされる攻撃（リスト型攻撃）の入口になるからである。 IPAは、パスワードについて「他のシステムやインターネットサービスで同じパスワードを使い回さないでください」と書き、長さは大小英字、数字、記号を混ぜて最低でも10文字にするよう勧めている。 今回のアドレスを使っているサービスの中で、同じパスワードを複数のサービスに使っているものがあれば、この機会に1つずつ別のものに変える。

二段階認証（ログインのときに、パスワードに加えてスマートフォンに届く確認コードや認証アプリの番号を求める仕組み）を有効にできるサービスでは、有効にしておく。 これがあれば、万一パスワードが推測されても、ログインの手前で止められる。 二段階認証を含む多要素認証の考え方と、サービス側での導入の比較はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で扱っている。 個人として使うときは、メールのアカウント（Gmailなど）、ネット銀行、通販サイト、SNSの順に、お金と連絡手段に近いものから有効にしていくと手が止まりにくい。

メールアドレス自体を変えるべきか

メールアドレスの変更は、今回の件だけでは必須ではない。 変えるべきかは、そのアドレスの使い方で決まる。 長年あらゆるサービスの登録に使っていて、すでに迷惑メールが多いアドレスなら、今回を機にメインのアドレスを分ける考え方はある。 一方で、仕事の連絡先として名刺やサイトに載せているアドレスは、変えるほうが取引先への周知などの負担が大きい。 現実的なのは、アドレスは変えずに、迷惑メールのフィルタを見直し、偽メールの見分け方を身につけることである。

問い合わせ窓口

東京メトロの公式発表に載っている窓口は次の2つである。 2026年10月25日時点の記載で、変更があれば東京メトロのお知らせで確認してほしい。

• お問い合わせフォーム 「イベントメールマガジン不正アクセスに関するお問い合わせ」
• お問い合わせ窓口 03-6891-0026（受付時間 平日9時00分から17時00分）

発表には「本件のお問い合わせ専用のフリーダイヤルの開設を現在手配しております」とも書かれている。 2026年10月25日時点ではフリーダイヤルの番号は公表されていないので、この記事にも書かない。 開設されれば東京メトロのサイトで案内されるはずなので、電話をかける前に最新のお知らせを確かめるとよい。

東京メトロ以外の相談先としては、偽メールの判断に迷ったときや、リンクを押してしまってパソコンやスマートフォンの挙動が心配なときに、IPAの「情報セキュリティ安心相談窓口」がある。 電話は03-5978-7509、受付時間は10時00分から17時00分（土日祝日と年末年始を除く）で、相談は無料（通話料は相談者の負担）、1回あたり30分以内とされている。 IPAは、法的解釈に関する相談や契約・支払いに関する相談は受けていないので、金銭の被害が出たときは警察や消費生活センターが相談先になる。

在宅で仕事をする人がこのメールマガジンを仕事用のアドレスで受けていた場合

ここからは、在宅で仕事をしている人、フリーランスや副業で取引先を持っている人に向けた話である。 東京メトロのイベントメールマガジンを、プライベートではなく仕事用のメールアドレスで登録していた場合、「取引先に知らせるべきか」と迷う人がいる。 結論を先に言うと、今回の件で漏れたのは登録者自身のメールアドレスであって、その人が取引先から預かっている情報ではないので、取引先の個人情報が漏えいしたという事態には当たらない。 取引先に知らせる義務が生じる類の話ではなく、必要なのは、自分のアドレス宛てに偽メールが来ることへの備えである。

ただし、仕事用のアドレスが漏れたことには、プライベートのアドレスとは違う注意点がある。 攻撃者は「東京メトロのイベントに興味がある人」としてだけでなく、そのアドレスのドメインや署名から「どこの会社の、どんな仕事をしている人か」を推測できることがある。 仕事用アドレスには、取引先を装った請求書の差し替えや、クラウドサービスのログイン画面を装ったメール（ビジネスメール詐欺の入口）が届きやすい。 在宅で一人で仕事をしていると、隣の席に「このメール本物ですか」と聞ける人がいない。 不審なメールを受けたら、メールに返信せず、取引先には別の手段（電話や、以前からやりとりしているチャット）で確かめる習慣を持っておく。

個人情報保護委員会の整理。委託先で起きた漏えいの報告義務は誰にあるか

今回の構図は、東京メトロ（委託元）が配信をブラストメール（委託先）に任せ、委託先で漏えいが起きたというものである。 フリーランスや小規模の事業者でも、メール配信サービスやフォーム作成ツール、クラウドストレージに顧客の情報を預けている人は多い。 自分が使っているサービスで同じことが起きたときにどう動くかを知っておく意味で、個人情報保護委員会（個人情報保護法を所管する国の機関）の公式FAQの整理を引いておく。

まず、メールアドレスだけの漏えいが、個人情報保護委員会への報告が義務になる「財産的被害が生じるおそれがある漏えい」に当たるかについて、委員会は次のように答えている。

「不正に利用されることにより財産的被害が生じるおそれがある」（施行規則第７条第２号）とは、漏えい等した個人データを利用し、本人になりすまして財産の処分が行われる場合が想定されています。そのため、住所、電話番号、メールアドレス、SNSアカウントといった個人データのみの漏えいは、直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではないと考えられます。 出典: ppc.go.jp

ただし、同じ委員会のページ「漏えい等の対応とお役立ち資料」には、報告が義務になる場合として「不正の目的をもって行われたおそれがある行為による漏えい等」と「本人の数が1,000人を超える漏えい等」が並んでいる。 不正アクセスによる漏えいはこの「不正の目的」の要件に当たり、委員会は不正アクセスの相手が委託先やサービス提供者であっても対象になると整理している。 東京メトロのように、自社の名で集めた配信先リストが委託先で持ち出された事業者は、この要件で報告の対象になる。 ラクスライトクラウドも公式報告の中で、個人情報保護委員会への報告を検討している契約者に向けて、同社と連名で報告する手続きを案内している。

一方、委託先で漏えいが起きたときの報告義務が誰にあるかについて、委員会のFAQは「委託元において報告対象となる漏えい等が発生した場合、委託先は報告義務を負いますか」という問いに対し、委託先が取り扱う個人データの漏えい等が生じていないことから、委託先は報告義務を負わないと考えられると答えている（Q6-21）。 これは委託元側で漏えいが起きた場合の話で、今回のように委託先側で漏えいが起きた場合の報告の分担は、委託元と委託先の双方に関わる。 事業者としての個別の判断は事情で変わるので、自分が委託元の立場になったときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）や、委託先からの案内に沿って確認するのが確実である。

在宅で仕事をする人がここから持ち帰ることは3つある。

1. 顧客や取引先の情報を外部サービスに預けているなら、そのサービスがどこで、何を預けているかを一覧にしておく。事故が起きたとき、自分が委託元として動く必要があるかを即座に判断できる
2. 預けている情報が氏名とメールアドレスだけでも、不正アクセスで漏れれば報告の対象になり得る。「メールアドレスだけだから」と軽く見ない
3. 自分のアドレスが漏れただけの今回のようなケースでは、取引先に報告する義務は生じないが、偽メールへの警戒は仕事の信用に直結する。取引先を装ったメールで送金先を変えてしまう事故は、本人の信用問題になる

住所まで漏れた事故の場合の考え方は、別の記事個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番に分けて書いているので、今回の件とは分けて読んでほしい。

委託先で起きる漏えいは珍しくない。利用者側ができる備え

今回の件が示しているのは、自分が信頼して登録した会社がきちんと管理していても、その会社が使っている外部サービスで情報が漏れることがある、ということである。 東京メトロの発表は、自社システムではなく委託先での不正アクセスであることをはっきり書いているし、ラクスライトクラウドの報告も、同社のサーバーに侵入されたと認めている。 利用者から見ると、どの会社がどの配信サービスを使っているかは普段分からないし、選べもしない。 そのため、利用者側の備えは「どの会社に登録するか」ではなく、「漏れたときに被害につながらない使い方」に寄せるしかない。

具体的には次の3つである。

• メールアドレスを用途で分ける。買い物や会員登録に使うアドレスと、銀行や行政手続きに使うアドレスを分けておけば、どこかで漏れても、お金に直結するアカウントの入口にはならない
• ログインはメールアドレスとパスワードの組み合わせだけに頼らない。二段階認証を有効にしておけば、アドレスとパスワードが揃っても止められる
• 「漏えいのお知らせ」を見たら、その会社の公式サイトのお知らせを自分で開いて確かめる。お知らせを装った偽メールは、本物の事故の直後に増える

企業が外部サービスに任せる業務はこれからも減らない。 配信、フォーム、決済、問い合わせ管理と、個人の情報を扱う部分ほど専門のサービスに任せる流れがある。 その分、利用者が目にする「漏えいのお知らせ」の文面も、「当社のシステムではなく委託先で」という形が多くなる。 文面の違いにかかわらず、確かめることは同じで、何が漏れたか、何が含まれていないか、会社の窓口はどこか、の3点を公式発表で読む習慣をつけておくとよい。

在宅ワーカーの立場から見た、この事案の受け止め方

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者の立場から、この件をどう受け止めるかを書いておく。 在宅で仕事をする人の多くは、仕事のやりとりのほとんどをメールとチャットで行っている。 会社に勤めていれば、情報システム部門が迷惑メールを止め、怪しいメールを社内で共有してくれるが、在宅で一人で働く人にはその仕組みがなく、メールの真偽を自分で判断する場面が毎日ある。 今回のように自分のアドレスが「イベントに興味がある人のリスト」として第三者に渡ると、そのアドレスに届く偽メールは、無差別に送られるものより文面が狙い撃ちになりやすい。

運営者として長く見てきた限りでは、仕事を長く続けている人ほど、セキュリティの対策を「大きな事故が起きたとき」ではなく「小さな習慣」として持っている。 仕事用とプライベートのアドレスを分ける、取引先からの送金先の変更は必ず電話で確かめる、二段階認証を使えるサービスでは全部有効にする、といったことである。 これらは1つずつは地味だが、今回のような事故が起きたときに「自分は何もしなくてよい」と判断できる土台になる。

また、情報漏えいの事故が増えていることは、在宅で請けられる仕事の中身にも影響している。 企業は委託先の管理や、従業員への注意喚起、不審なメールの訓練といった業務を外部に頼むようになっていて、セキュリティやマーケティングの領域で在宅の案件が出てくる。 在宅ワークの仲介サイト @SOHO のAI・マーケティング・セキュリティのお仕事では、こうした分野の仕事の内容と、求められる経験を整理している。 企業の従業員教育として行うフィッシングメールの模擬訓練の進め方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで扱っていて、今回の件で自分の受信箱を見直すときにも、見分け方の訓練として読める。

最後にもう一度、2026年10月25日時点で登録者がすることを整理しておく。 東京メトロのイベントメールマガジンに登録していた人は、東京メトロを装ったメールのリンクと添付ファイルを開かない。 同じアドレスをログインIDにしているサービスで、パスワードの使い回しがあれば別のものに変え、二段階認証を有効にする。 分からないことは、東京メトロの問い合わせ窓口（03-6891-0026、平日9時00分から17時00分）か、IPAの情報セキュリティ安心相談窓口（03-5978-7509）に相談する。 続報は東京メトロのサイトのお知らせと、ラクスライトクラウドの公式報告ページで確認する。 会社の発表に無いこと（補償、個別通知の時期、再開の時期）は、この記事でも書いていない。 発表が更新されたら、そちらを優先して読んでほしい。

よくある質問

Q. 東京メトロの情報漏洩で漏れたのは何の情報ですか？

2026年10月23日の公式発表では、東京メトロイベントメールマガジンに登録された利用者のメールアドレス約8万件が、配信に使っていた外部サービス「ブラストメール」への不正アクセスで第三者に取得されたとされています。会社はメールアドレス以外の登録情報が取得された可能性はないと明記しており、氏名や電話番号、クレジットカード番号、パスワードは発表の対象に含まれていません。

Q. 自分が対象かどうかはどうすれば分かりますか？

2026年10月25日時点で、東京メトロの発表には登録者への個別通知は書かれていません。受信箱で東京メトロのイベント情報のメールが過去に届いていたかを検索し、届いていればそのアドレスが登録されていたアドレスです。メトポ会員であることとは別の話なので、メトポに登録しているだけでは対象とは言えません。確信が持てないときは、東京メトロの問い合わせ窓口（03-6891-0026、平日9時から17時）に確認します。

Q. パスワードを変えたり、カード会社に連絡したりする必要はありますか？

今回の発表ではパスワードもクレジットカード番号も対象に含まれていないので、この件だけを理由にカード会社へ連絡する必要はありません。パスワードの初期化も会社の発表にはありません。ただし、漏れたメールアドレスをログインIDにしているサービスで同じパスワードを使い回している場合は、別のものに変え、二段階認証を使えるサービスでは有効にしておくと、ほかの漏えいと組み合わせた不正ログインを防げます。

Q. 東京メトロのメールマガジンはいつ再開しますか？

東京メトロは、イベント情報サイトとメールマガジンの新規登録、登録解除、配信を、安全性の確認と復旧作業が完了するまで停止すると発表しており、再開の時期は書かれていません。配信サービスの運営元であるラクスライトクラウドも、2026年10月25日10時更新の報告で再開日時を「未定」としています。続報は東京メトロのサイトのお知らせと、ラクスライトクラウドの公式報告ページで確認してください。