東京メトロ「メトロポイントクラブ（メトポ）」会員向けサービスへの不正アクセス（メールアドレス約5万9,000件が閲覧・取得された可能性）
公表日
東京メトロのポイントサービス「メトロポイントクラブ（メトポ）」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、会員のメールアドレス最大約5万9,000件が見られた、または取られた可能性があります（実際に持ち出された件数は確定していません）。
対象者は？
メトポ会員のうち、メールが送れなくなって配信を止めていたメールアドレスが対象です。最大約5万9,000件で、実際に持ち出された件数は確定していません。メールアドレス以外の会員情報は、このサーバーには入っていないと東京メトロは確認したと説明しています。ただし、他の情報が見られていないかは調査が続いています。
対象の会員には、メトロポイントクラブ事務局（i.metpo@tokyometro.jp）からメールで個別に連絡があります。迷惑メール対策で受信を制限している場合は、このアドレスから受け取れるように設定してください。不明な点は、東京メトロの問い合わせフォームか電話窓口（0120-162-837、受付9時〜17時）で確認できます。
いますぐできること
- 東京メトロを装ったメールが届いても、中のリンクを開いたり情報を入力したりしない。東京メトロは、別の手続きや外部サイトへの移動を求めることはないとしています。
- 迷惑メール対策で受信を制限している場合は、メトロポイントクラブ事務局（i.metpo@tokyometro.jp）からのメールを受け取れるように設定する。
- 心配なときは、問い合わせフォームか電話窓口（0120-162-837、9時〜17時）に連絡する。
何が起きたのか
2026年9月20日、メトポのメール配信サービスで不具合が起きました。原因を調べる中で、9月25日にいつもと違う利用の記録が見つかりました。調べた結果、国外からとみられる第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。だと分かりました。アクセスされたのは、メールが送れなくなったため配信を止めていたメールアドレスを入れたサーバーです。東京メトロは9月27日にこの件を発表しました。鉄道の運行への影響はないと報じられています。
なぜ起きたのか・なぜ広がったのか
侵入された方法や時期は、まだ発表されていません。一部の報道は、サービスを委託している会社のサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。だと伝えていますが、委託先の名前や経路は確認できていません。東京メトロも、委託先を含めて原因を調べています。
いまの状況2026-10-02 時点続報待ち
2026年10月2日時点で、原因と影響の範囲は調査中で、続報待ちです。東京メトロは、疑われる箇所を特定して技術的な防御措置を行い、利用の記録を保存して調べています。恒久的な再発防止策は検討中です。実際に持ち出された件数の確定、悪用の有無、国などへの報告状況は、まだ発表されていません。
企業として考えたいこと
あなたの会社では、メール配信などを外部に任せているサービスで障害が起きたとき、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の有無まで確認する手順と、委託先から記録を受け取る約束が決まっていますか。
技術的な要約
東京メトロは2026年9月27日、会員向けポイントサービス「メトロポイントクラブ（メトポ）」で第三者による不正アクセスがあったと発表した。9月20日にメール配信サービスで不具合が発生し、調査中の9月25日に通常とは異なる利用記録を確認、国外からとみられる不正アクセスが判明した。アクセスされたのは、送信不能のため配信を停止していたメールアドレスを格納するサーバーで、約5万9,000件のメールアドレスが閲覧または取得された可能性がある。同サーバーにはメールアドレス以外の会員情報は含まれないことを確認しているが、その他の情報への影響も調査を続けている。被疑箇所は特定して技術的な防御措置を実施済みで、委託先を含めた原因調査を進め、恒久的な再発防止策は検討中である。鉄道の運行への影響はないとされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。発表では「国外からとみられる第三者による不正アクセス」とされ、被疑箇所は特定済みだが具体的な手口は明らかにされていない。なお報道の一部（セキュリティ対策Lab）は、サービスを委託する会社のサーバーへの不正アクセスと伝えているが、委託先名や経路は確認できない。
- 脆弱性
- CVE 非公表不明利用された脆弱性や認証情報の有無は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 9月20日にメトポのメール配信サービスで不具合が発生した。鉄道の運行への影響はないとされている。サービス停止の有無や期間は示されていない。
- データ
- おそれ上限 59,000確定 —件メール約5万9,000件のメールアドレスが閲覧または取得された可能性（公表上限）。実際に持ち出された件数は確定していない。対象は送信不能のため配信を停止していたメールアドレスで、同サーバーにメールアドレス以外の会員情報は含まれないことを確認したとされる。その他の会員情報への影響は調査中。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 報道（セキュリティ対策Lab）は、サービスを委託する会社のサーバーへの不正アクセスと伝えている。東京メトロ自身も委託先を含めた原因調査を進めるとしている。委託先名や委託先経由かどうかは確認できない。
時系列
- 2026-09-20
- 2026-09-25
- 2026-09-27
- 2026-09-27
- 2026-09-27
- 2026-09-27
- 2026-09-27
- 2026-09-27
- 2026-10-02ScanNetSecurityが本件を報道。6
技術解説
公表された経緯と発覚のきっかけ 事実
東京メトロは2026年9月27日、会員向けポイントサービス「メトロポイントクラブ（メトポ）」で第三者による不正アクセスがあったと発表した。9月20日にメール配信サービスで不具合が発生し、調査の過程で25日に通常とは異なる利用記録を確認した。その結果、国外からとみられる第三者による不正アクセスが判明したとされる。閲覧または取得された可能性があるメールアドレスは約5万9,000件で、これは可能性としての件数である。報道は、実際に持ち出された件数が確定したとは伝えていない。不正アクセスの発生時期や手口は発表に示されていない。
アクセスされたサーバーと情報の範囲 事実
アクセスされたのは、メールが送信不能となったため配信を停止していたメールアドレスを格納するサーバーである。東京メトロは、このサーバーにメールアドレス以外の会員情報は含まれていないことを確認したと説明している。一方で、その他の会員情報が閲覧・取得されていないかについても調査を続けているとされる。鉄道の運行への影響はないと報じられている。侵入経路、利用された脆弱性や認証情報、攻撃者、取得されたアドレスの悪用の有無は、報道では確認できない。件数は上限であり、確定件数は示されていない。
委託先に関する報道と情報の食い違い 事実
セキュリティ対策Labは、サービスを委託する会社のサーバーへの不正アクセスを9月25日に確認したと伝えている。東京メトロは、利用記録の保全や影響範囲、委託先を含めた原因の調査を進めているとされる。ただし他の報道は、対象を「サーバー」とのみ記し、委託先のサーバーかどうかには触れていない。委託先の名称や、委託先経由で起きた事案かどうかは、渡された出典からは確認できない。被疑箇所は特定済みで技術的な防御措置を実施したとされるが、内容は明らかにされていない。
メールアドレスのみでも残るリスクの見方 解釈
流出の可能性があるのはメールアドレスで、氏名やパスワードなどは含まれないとされる。それでも、東京メトロを装った不審メールが届く可能性は残ると考えられる。同社が不審メールへの注意を呼びかけているのは、この点を踏まえた対応とみられる。また、対象が配信停止中のアドレスであることは、現在の利用者に限らず、過去に登録して送信できなくなったアドレスも含まれる可能性を示唆する。ただしこの点は公表されておらず、推測にとどまる。件数も上限であり、確定ではない。
現時点の公表内容の評価と限界 解釈
報道によれば、問い合わせ窓口の設置、対象会員への個別連絡、詐欺メールへの注意喚起が示されており、利用者が取れる行動は明確だったと読める。発覚から公表までは2日であった。一方、渡された出典は報道のみで、東京メトロの公式発表そのものは含まれない。そのため、侵入時期、手口、委託先の関与、当局への報告状況など、再発防止の評価に必要な点は判断できない。調査中の事案であり、続報で内容が変わる可能性がある。現段階で組織の対応の良否を断じることは適切でない。
対応
- 封じ込め
- 不正アクセスの被疑箇所を特定し、技術的な防御措置を実施した（具体的内容は非公表）。利用記録の保全、影響範囲および委託先を含めた原因の調査を進め、恒久的な再発防止策は検討中。
- 公表の仕方
- 2026年9月27日に発表。対象会員にはメトロポイントクラブ事務局（i.metpo@tokyometro.jp）からメールで個別に連絡し、迷惑メール対策で受信を制限している会員には当該アドレスの受信許可を求めた。問い合わせフォームと電話窓口（0120-162-837、受付9時〜17時）を設置し、利用者と関係者への心配と迷惑を謝罪した。会員に別途の手続きや外部サイトへの移動を求めることはないとして、同社を装った不審メールへの注意を呼びかけた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 配信停止・送信不能のアドレスのような「使われていないデータ」も、攻撃対象になり得る。 | バウンス（送信不能）アドレスのリストに保持期限を設け、期限後は削除または不可逆な形に変換する。保管先のデータ分類台帳を作り、定期的に棚卸しする。 |
| サービスの不具合が、不正アクセスの発見のきっかけになることがある。 | 障害調査の手順に、アクセスログ・認証ログの確認を必ず含める。異常な利用記録を検知する条件（国外IP、通常外の時間帯、大量参照）をSIEMなどにアラートとして設定する。 |
| 利用記録の保全が、後の原因究明と影響範囲の確定を左右する。 | メール配信基盤を含む各システムのログを、改ざんされにくい別の保管先へ転送し、保持期間を定める。委託先にも同等のログ保全と提出を契約で求める。 |
| 委託先を含む構成では、自社だけでは原因調査を完結できない。 | 委託先との契約に、インシデント時の連絡期限、ログ提供、調査協力、再委託先の開示を明記する。委託先の管理者権限・接続元IPの制限を定期的に確認する。 |
| メールアドレスだけの流出でも、なりすましメールの被害につながり得る。 | 自社ドメインにSPF・DKIM・DMARCを設定し、DMARCはp=rejectを目指す。公式連絡の送信元アドレスと、依頼しない内容（外部サイトへの誘導など）を事前に公表する。 |
自組織などでの確認項目
- 自組織で、送信不能（バウンス）や配信停止になったメールアドレスは、どのシステムに何年分保管されているか。保持期限と削除ルールはあるか。
- メール配信など外部委託しているサービスで、障害が起きたときに、委託先からログの提供を受ける手順と連絡期限が契約や運用で決まっているか。
- システム障害の調査手順に、不正アクセスの可能性を確認する工程（認証ログ・アクセス元の確認）が含まれているか。直近の障害で実際に確認したか。
- 自組織を装った不審メールが届いた場合に備えて、顧客へ「依頼しないこと」を事前に周知しているか。自社ドメインのDMARC設定はどの状態か。
未解明点
- 不正アクセスはいつ始まり、どのような手口（脆弱性の悪用、認証情報の利用など）で行われたのか。
- アクセスされたサーバーは東京メトロの環境か、委託先の環境か。委託先名と、委託先経由の事案かどうか。
- 実際に持ち出されたメールアドレスの件数は何件か。メールアドレス以外の会員情報への影響はなかったか。
- 取得されたメールアドレスが悪用された事実はあるか。個人情報保護委員会などへの報告状況はどうか。
- 恒久的な再発防止策の具体的な内容と、実施した技術的な防御措置の内容は何か。
出典
- 1DXマガジン2026-09-28報道本文確認済
- 2ITトレンド2026-09-27報道本文確認済
- 3熊本日日新聞社（共同通信配信）2026-09-27報道本文確認済
- 4NHK2026-09-27報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-27報道本文確認済
- 6ScanNetSecurity2026-10-02報道本文確認済