Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-jreast-viewcard運輸・物流最終確認 2026-10-13 10:00

JR東日本・ビューカードのメール配信用外部サービスへのIDCFクラウド・ランサムウェア被害の波及（えきねっと等 最大約206万件・VIEW's NET 約403万件のメールアドレス等漏えいのおそれ）

公表日

東日本旅客鉄道株式会社（JR東日本）／株式会社ビューカード · 上場
調査中ランサムウェア不正アクセスサプライチェーンサプライチェーン：波及先

クラウドサービス「IDCFクラウド」へのサイバー攻撃の影響で、JR東日本とビューカードがメール配信に使っていた外部サービスが止まりました。えきねっと会員などのメールアドレス等が、合わせて最大約609万件漏えいしたおそれがあります。

対象者は？

えきねっと会員（ビジネスえきねっとを除く）最大約167万件のメールアドレス、大人の休日倶楽部会員 最大約39万件のメールアドレス・会員番号・クレジットカードの有効期限・生年月日、VIEW's NET登録者 約403万件のメールアドレスです。いずれも漏えいの「おそれ」で、流出は確認されていません。件数は単純に足したもので、重なっている人もいます。氏名・住所・電話番号・クレジットカード番号は対象外とされています。

JR東日本とビューカードは、対象の方に個別にメールで連絡するとしています。ビューカードの問い合わせ先はビューカードセンター（03-6685-7000、9:00〜17:30）です。

JR東日本のお知らせ（えきねっと・大人の休日倶楽部） ↗ビューカードのお知らせ（VIEW's NET） ↗

いますぐできること

  • JR東日本・えきねっと・ビューカードを名乗るメールやSMSのリンクは開かず、公式アプリや公式サイトから確認する
  • 大人の休日倶楽部の会員は、生年月日やカードの有効期限を示して本物らしく見せる連絡にも注意する。カード番号や暗証番号を聞かれても答えない

何が起きたのか

2026年10月7日の午前3時40分ごろ、IDCフロンティアのクラウドサービス「IDCFクラウド」がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃を受けました。JR東日本とビューカードが会員向けのメール配信に使っていた外部のサービスがこのクラウドの上で動いていて、一部が使えなくなりました。10月9日、両社は会員のメールアドレスを含むメールの記録などが見られたり取られたりした可能性を否定できないと公表しました。切符の予約や列車の運行への影響は公表されていません。

なぜ起きたのか・なぜ広がったのか

JR東日本とビューカードのシステムが直接攻撃されたわけではありません。両社は、メール配信に使っていた外部サービスが、IDCフロンティアで起きた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の影響を受けたと説明しています。外部サービスの名前や、IDCFクラウドへの侵入経路は、まだ公表されていません。

いまの状況2026-10-09 時点続報待ち

会員向けのメール配信は一部止まったままです。両社は対象の方へ個別にメールで連絡するとしており、ビューカードは外部サービスの運営会社とセキュリティ対策を検討するとしています。実際にデータが持ち出されたかどうかは、まだ発表されていません。

企業として考えたいこと

メール配信のような外部サービスに、本当に必要な情報だけを渡しているでしょうか。その外部サービスがどこの設備で動いているかを把握しているでしょうか。

技術的な要約

2026年10月7日3時40分頃に発生したIDCフロンティア（IDCF）のIaaS「IDCFクラウド」東日本リージョン1へのランサムウェア攻撃の影響で、JR東日本とグループのビューカードが会員向けメール配信に使っていた「メール配信用外部サービス」が一部使用不能になった。JR東日本は10月9日、えきねっと会員 最大約167万件（メールアドレス）と大人の休日倶楽部会員 最大約39万件（メールアドレス・会員番号・クレジットカード有効期限・生年月日）について、メールアドレスを含む「電子メールログデータ等」が閲覧または取得された可能性を否定できないと公表した。ビューカードも同日、VIEW's NET登録者 約403万件のメールアドレス漏えいの可能性を公表し、可能性の判明日を10月7日としている。両社とも氏名・住所・電話番号・クレジットカード番号は漏えいの可能性がないとし、流出は確定していない（10月10日時点）。外部サービスの名称、侵入経路、攻撃グループ、当局報告の有無はいずれも両社の公表文に記載がない。

侵入
—
被害発生
2026-10-07 03:40
検知
2026-10-07
第1報公表
2026-10-09
最新続報
2026-10-09
侵入 → 検知
—
侵入日が非公表
検知 → 公表
2日
データ（上限）
609万件
確定 —
波及先
—

攻撃の分類

侵入口
委託先経由公表で確認
JR東日本・ビューカードの公表文は原因を「IDCフロンティア社で発生した不正アクセスに伴う」ものとし、影響を受けたのは「メール配信用外部サービス」と説明（確定）。IDCF側は第2報で東日本リージョン1への第三者からのランサムウェア攻撃と公表している。JR東日本・ビューカード自身のシステムへの侵入は公表されておらず、切符予約は通常どおり（piyolog整理）。外部サービスの名称・運営会社、同サービスとIDCFの契約関係（JR側→配信事業者→IDCFという多段構造か）は公表されていない。IDCFへの初期侵入経路も10月10日時点で未公表。
脆弱性
判明している脆弱性はありません
攻撃者
特定・主張なし
ATT&CK
T1486 Data Encrypted for ImpactT1529 System Shutdown/Reboot

影響

業務停止
あり えきねっと・大人の休日倶楽部の会員向けメール配信、VIEW's NET登録者向けメール配信が一部不可となった（両社公表）。列車予約・切符購入・鉄道運行への影響は公表されておらず、切符の予約は通常どおり（piyolog・セキュリティ対策Lab整理）。
期間：継続中（2026-10-07 03:40頃〜、10/10時点で配信再開の公表なし）
データ
おそれ上限 6,090,000確定 —件
メール会員ID生年月日その他（クレジットカード有効期限）その他（電子メールログデータ）
records_maxは各公表上限の単純合計（えきねっと約167万件＋大人の休日倶楽部約39万件＋VIEW's NET約403万件＝約609万件。ITmedia NEWSの「最大609万件」と一致）。会員間の重複は考慮されておらず、重複のない人数ではない。内訳：えきねっと会員（ビジネスえきねっと除く）最大約167万件＝メールアドレス／大人の休日倶楽部会員 最大約39万件＝メールアドレス・会員番号・クレジットカード有効期限・生年月日／VIEW's NET登録者 約403万件＝メールアドレスのみ（対象者の特定は調査中）。JR東日本は「一部のお客さまのメールアドレスを含む電子メールログデータ等が閲覧または取得された可能性を否定できない」とし、流出は確定していない。両社とも氏名・住所・電話番号・クレジットカード番号は漏えいの可能性なし。パスワードの漏えいは挙げられていない。クレジットカード有効期限はカード番号を伴わないため、SPECの高機微データ「クレカ」には分類しなかった。
波及先
—
  • えきねっと会員（最大約167万件）
  • 大人の休日倶楽部会員（最大約39万件）
  • VIEW's NET登録者（約403万件）
  • 同じIDCF事案でメール配信が影響を受けた他社：JR九州（JR九州Web会員のメールアドレス最大約130万件の漏えい可能性、メルマガ配信不可）、Peach Aviation（旅程表メール遅延、約189万件が対象、流出未確認）。同一の配信事業者かは公表されていない
金銭影響
—
サプライチェーン
起点はIDCFクラウド東日本リージョン1へのランサムウェア攻撃（影響495の企業・自治体）。JR東日本・ビューカードはIDCFを直接名指ししつつ、影響を受けたのは「メール配信用外部サービス」と説明しており、会員データ（JR東日本・ビューカード）→メール配信用外部サービス（名称非公表）→IDCFクラウド（IaaS）という多段の依存で被害を受けた。外部サービス運営会社とIDCFとの契約関係、同サービスの他の利用企業は公表されていない。同日にJR九州・Peach Aviationもメール配信への影響を公表している。

時系列

  1. 2026-10-07 03:40
    IDCFクラウド東日本リージョン1で第三者の不正アクセスによる障害が発生（以後継続）。メール配信用外部サービスが一部使用不能に312
  2. 2026-10-07
    ビューカードで、メールアドレス漏えいの可能性が判明（ビューカード公表の判明日）2
  3. 2026-10-07
    IDCF第1報：IDCFクラウドの一部システムへの第三者からの不正アクセスで東日本第1リージョンに障害と公表3
  4. 2026-10-07
    IDCF第2報：第三者からのランサムウェア攻撃と公表。影響は495の企業・自治体、東日本リージョン1をネットワーク遮断・停止、他リージョンの管理コンソールを一時停止4
  5. 2026-10-08
    IDCF第3報：影響はtesla/henry/pascal/jouleの4ゾーン、顧客データは取り出し・復元困難の見通し。監督省庁・警視庁へ報告済み。侵入経路は調査中5
  6. 2026-10-09
    JR東日本が、えきねっと会員 最大約167万件・大人の休日倶楽部会員 最大約39万件のメールアドレス等漏えいの可能性を公表。対象者へ準備でき次第個別にメールで連絡と表明17812
  7. 2026-10-09
    ビューカードが、VIEW's NET登録者 約403万件のメールアドレス漏えいの可能性を公表（対象者特定は調査中）。外部サービス運営会社とセキュリティ対策を検討と表明2913
  8. 2026-10-09
    IDCF第4報：10/7 9時の緊急対策本部設置、ソフトバンクとの対応体制、外部専門企業との調査、監督省庁・警察への報告・相談を公表。情報流出の有無には触れず6
  9. 2026-10-09
    JR九州（Web会員メールアドレス最大約130万件の漏えい可能性）、Peach Aviation（旅程表メール遅延、約189万件が対象）も同じIDCF事案に伴うメール配信への影響を公表11
  10. 2026-10-09 14:58
    KHB東日本放送が「JR東グループ 計600万件余の会員情報漏洩か」と報道（JR東日本とビューカードの件数を合算）9
  11. 2026-10-09 17:17
    Impress Watchが最大約206万件の漏えい可能性として報道8

技術解説

公表された事実の範囲 事実

確定しているのは次の点のみ。(1) IDCFクラウド東日本リージョン1で10月7日3時40分頃から障害が発生し、IDCFはこれを第三者のランサムウェア攻撃と公表した。(2) その影響でJR東日本・ビューカードが使う「メール配信用外部サービス」が一部使用不能になった。(3) JR東日本は、えきねっと最大約167万件、大人の休日倶楽部最大約39万件について「メールアドレスを含む電子メールログデータ等が閲覧または取得された可能性を否定できない」とした。(4) ビューカードはVIEW's NET登録者約403万件のメールアドレスについて同様の可能性を公表し、判明日を10月7日とした。(5) 氏名・住所・電話番号・カード番号は対象外。外部サービスの名称、IDCFとの契約関係、侵入経路、実際の流出の有無、当局への報告は、両社の公表文に記載がない。件数は上限であり、ビューカードは対象者特定を調査中としている。

多段の依存構造：IDCFと直接契約していなくても被害を受ける 事実

JR東日本・ビューカードの公表文は、IDCFを名指ししながら、影響を受けたのは自社システムではなく「メール配信用外部サービス」だとしている。つまり会員データを持つ事業者→メール配信SaaS→IaaSという依存関係のうち、最も下の層の侵害が上位の会員データに及んだ。IDCF事案の影響契約者は495の企業・自治体とされるが、この数はIDCFの直接契約者であり、JR東日本のように配信SaaS経由で影響を受けた組織や、その先の会員（合計で数百万件規模）は含まれない。同じ10月9日にはJR九州（Web会員メールアドレス最大約130万件）とPeach Aviation（旅程表メール遅延、約189万件が対象）もIDCF事案に伴うメール配信への影響を公表しているが、これらが同一の配信事業者かどうかは公表されていない。

なぜ配信基盤に会員番号・生年月日・カード有効期限があったのか（推測） 解釈

えきねっとはメールアドレスのみなのに、大人の休日倶楽部では会員番号・クレジットカード有効期限・生年月日まで対象になっている。大人の休日倶楽部は年齢を入会条件とする会員組織で、カード会員サービスと一体のため、誕生月の案内やカード更新（有効期限）の案内など、本文への差し込みやセグメント配信のための属性を配信SaaSへ連携していた可能性がある（推測）。また公表文が「電子メールログデータ等」と書いている点から、配信リストだけでなく送信ログ（宛先・配信結果など）が配信基盤側に一定期間保存されていたと読める。配信に必要な属性・ログの保存期間を最小化していれば、漏えいのおそれの範囲はメールアドレスのみに縮められた可能性がある。配信事業者側の保存期間や属性連携の仕様は公表されていない。

「否定できない」での早期公表と件数の出し方 解釈

IDCFは第4報時点でも情報流出の有無を公表しておらず、配信基盤のデータが暗号化された場合、利用企業側では「持ち出されたか」をログで検証する手段がほぼない。近年のランサムウェアは暗号化前のデータ窃取（二重恐喝）が一般的であるため、JR東日本・ビューカードは確認を待たず、上限件数で「可能性を否定できない」と公表したと読める。ビューカードは判明（10/7）から2日後に、対象者の特定前に約403万件という上限を出しており、個人情報保護委員会への速報期限（把握から概ね3〜5日）を意識した対応と考えられる（推測、当局報告の有無は非公表）。一方、報道では「計600万件余」「最大609万件」と各社の上限が合算され、重複も流出確定も考慮されない数字が見出しになった。利用者向けの説明として件数をどう示すかは議論の余地がある。

二次被害の見通し（推測） 解釈

漏えいの可能性があるのは主にメールアドレスで、パスワードやカード番号は含まれないとされる。それでも、えきねっとはもともと偽メールの標的になりやすく、JR東日本は以前から差出人偽装への注意を呼びかけている。「JR東日本・ビューカードの会員である」と分かるメールアドレスのリストは、実在サービスを装うフィッシングの命中率を上げる。大人の休日倶楽部分は会員番号・生年月日・カード有効期限と組み合わさっており、本文に正しい会員番号や生年月日を書いた偽メールは真正性を装いやすい。ビューカードは不審なメールが届く可能性を案内している。実際の悪用は10月10日時点で公表されていない。

対応

封じ込め
両社の公表文に具体的な封じ込め措置の記載はない（配信基盤はIDCF側で停止・遮断）。JR東日本は漏えいの可能性がある会員へ準備でき次第、個別にお知らせとお詫びのメールを送ると表明。ビューカードも対象者へ個別にメールで連絡するとし、原因調査・再発防止の徹底と、外部サービスの運営会社とのセキュリティ対策の検討を表明。問い合わせはビューカードセンター（03-6685-7000、9:00〜17:30）。
公表の仕方
JR東日本・ビューカードとも2026-10-09に第1報（各1本のPDF）。IDCF名を明記し、対象サービス・上限件数・漏えい可能性のある項目と対象外項目を列挙。外部サービスの名称、発生・判明の時刻（ビューカードは判明日のみ10/7と記載）、当局報告の有無、問い合わせ窓口（JR東日本）は記載なし。10/10時点で続報なし。
当局対応
  • JR東日本・ビューカードの公表文には当局報告の記載なし
  • IDCFは監督省庁・警視庁へ報告済み（IDCF第3報）

教訓と対策

教訓具体的な対策
メール配信SaaSに配信に不要な属性まで渡していた可能性配信SaaSへの連携項目をメールアドレス＋不透明な配信用ID（会員番号そのものではないランダムID）に限定し、差し込みが必要な属性は送信時のみ渡してSaaS側に保存させない。誕生月などはフラグ（例：今月誕生月＝true）に変換して渡す
送信ログ・配信リストが委託先に長期保存されていた委託契約で配信ログ・アップロードリストの保存期間（例：配信後30日）と削除証明を定め、APIで定期的に削除を実行・確認する。年1回は委託先に実際の保存データの棚卸しを提出させる
委託先がどのIaaS・リージョンで動いているか利用企業が把握しにくいSaaS選定時に再委託先・ホスティング事業者・リージョン・バックアップ保管先を申告させ、変更時の事前通知を契約に入れる。自社のサービス依存台帳に「SaaS→IaaS」まで記録し、IaaS事故の報道から影響有無を数時間で判定できるようにする
単一の配信SaaS停止で会員向け通知そのものが止まる重要通知（漏えいのお詫び、運行・予約変更）用に別事業者のメール配信やSMSをウォームスタンバイとして契約し、送信ドメインのSPF/DKIM設定を事前に済ませて切替手順を訓練する
漏えいしたアドレスを使ったなりすましメールで二次被害が起きやすい送信ドメインにDMARC p=reject を設定しBIMIを導入、お詫びメールにはリンクを入れず「公式アプリ・ブックマークからログイン」と案内する。類似ドメインの監視とテイクダウン手順を用意する

自組織などでの確認項目

  1. 自社のメール配信・CRM・MA等のSaaSには、配信に本当に必要な項目だけが渡っているか。会員番号・生年月日・決済情報の一部が連携されていないか、実際の連携CSVやAPIスキーマで確認できるか。
  2. 利用中のSaaSがどのIaaS・どのリージョンで動いているかを、今すぐ一覧で答えられるか。IaaS事業者の侵害が報道されたとき、何時間で自社への影響有無を判断できるか。
  3. 委託先から「データが取り出されたかどうかは分からない」と言われた場合、上限件数で「おそれ」として公表するか、確認を待つか。個人情報保護委員会への速報期限との関係で誰が判断するか。
  4. 会員向け通知手段が委託先の障害で使えなくなったとき、お詫び・注意喚起をどの経路で、何日以内に届けられるか。

未解明点

  • メール配信用外部サービスの名称・運営会社と、同サービスとIDCFの契約関係（JR九州・Peach等と同一事業者か）
  • 電子メールログデータ等が実際に外部へ持ち出されたかどうか（IDCF・配信事業者の調査結果）
  • 配信基盤に保存されていた会員属性・ログの範囲と保存期間、大人の休日倶楽部で会員番号・生年月日・カード有効期限が連携されていた理由
  • VIEW's NET約403万件の対象者特定の結果、およびえきねっと・大人の休日倶楽部・VIEW's NETの間の重複
  • 個人情報保護委員会等への報告の有無と、対象者への個別メール送付の時期
  • IDCFへの初期侵入経路・攻撃グループ、メール配信の復旧時期

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
    【第4報】不正アクセスによる障害への対応体制について
    IDCフロンティア2026-10-09公式本文確認済
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14