JR東海(東海旅客鉄道)は2026年10月13日、通販サイト「JR東海MARKET」と「いいもの探訪」の2サイトで、顧客の個人情報が第三者に閲覧または取得された可能性を否定できないと公表しました。原因は、メール配信に使っていた委託先、株式会社IDCフロンティアで発生した不正アクセスです。クレジットカード情報とログインパスワードは、漏えいの可能性はないとしています。
ここでは、何が起きたのか、漏えいの可能性がある情報、委託先のクラウドの事故が自社に波及する構図、確認点を、JR東海とIDCフロンティアの公式発表から整理します。
何が起きたのか
JR東海の発表によると、委託先の株式会社IDCフロンティアで不正アクセスが発生しました。JR東海の2つの通販サイトは、メール配信サービスにIDCフロンティアのクラウドを利用していました。このため、両サイトに関するメール配信データに含まれていた顧客の個人情報について、第三者に閲覧または取得された可能性を否定できないことが判明したとしています。
JR東海の発表。委託先IDCFの不正アクセスで漏えいの可能性出典: 東海旅客鉄道(JR東海MARKET)(引用)
JR東海は2026年10月13日、個人情報保護委員会へ報告しました。現時点で、個人情報が実際に外部へ漏えいした事実は確認されていないとしています。
漏えいの可能性がある情報と件数
漏えいの可能性があるのは、次の情報です。
| 区分 |
内容 |
| 配信先の情報 |
配信先のメールアドレス |
| メール本文の情報 |
氏名、住所、電話番号、注文内容、配送先情報(配送先の氏名・住所など)、注文時のアンケート回答やコメント |
| 漏えいの可能性がないもの |
クレジットカード情報、ログインパスワード |
件数は、両サイト合計で約1万5000件です。これは、IDCフロンティアが不正アクセスを確認したと公表している2026年10月7日時点で、データを保存していた件数から算出した値です。漏えいが確定した人数ではなく、今後の調査で変わる可能性があります。
委託先クラウドの事故が、なぜ自社に波及するのか
今回の原因は、JR東海自身ではなく、メール配信に使っていた委託先(IDCフロンティア)のクラウドで起きた不正アクセスです。自社のサービスが外部のクラウドやメール配信の基盤を使っていると、その基盤で起きた事故に、自社の顧客情報が巻き込まれることがあります。
このIDCフロンティアの不正アクセスでは、JR東海のほかにも多くの企業・団体が影響を公表しています。背景と全体像は、次の記事で整理しています。
もう1つの着目点は、漏えいの可能性がある情報の中身です。クレジットカードやパスワードは対象外でも、配信したメールの本文に、氏名・住所・電話番号・注文内容までが含まれていました。メール配信のデータは見落とされがちですが、本文に個人情報が入っていれば、そこも守る対象になります。
影響する人・会社、しない人・会社
- 影響する: 「JR東海MARKET」または「いいもの探訪」でメールを受け取っていた人。氏名・住所・注文内容などの組み合わせで、本物らしい不審なメールが作られるおそれがあります。
- 影響する: 会社のメールアドレスで両サイトを利用していた社員がいる会社。そのアドレスが、便乗の不審なメールの宛先に使われる可能性があります。
- 影響しない(今回の対象外): クレジットカード情報とログインパスワード。JR東海は、漏えいの可能性はないとしています。
- 立場が違う: JR東海は、委託先のIDCフロンティアで起きた不正アクセスの影響を受けた側です。IDCフロンティアの発表には、利用企業の個別名は出ておらず、対象者には各社から連絡する形です。
会社・情シスが今日やること
- 社員に、JR東海や両サイト、配送事業者などを装う不審なメール・SMS・電話に注意するよう知らせる。URLや添付ファイルは開かず、個人情報やパスワード、カード情報を入力しない
- 心当たりのない注文・配送・請求がないか、利用者として確認するよう案内する
- 自社が使っている外部のクラウドやメール配信・SaaSの基盤を洗い出し、どのデータを預けているか、事故が起きたときの連絡・報告の分担を、委託先と確かめる
- メール配信のデータ(配信先アドレスや、本文に含まれる個人情報)も、守る対象として棚卸しに含める
- 公式の最新情報を、JR東海とIDCフロンティアのお知らせで確認する(件数や内容は、続報で変わる可能性があります)
今回の件は、委託先のクラウド1つの事故が、鉄道会社や自治体など多くの組織に横に広がった例です。自社がどのクラウドに、何を預けているかを知っておくことが、こうした「巻き込まれ」への備えになります。
