ビューカード情報漏洩でカードは止めるべきか、約403万件のメールアドレスとJR九州・IDCFクラウド

ビューカードとJR九州で漏れた可能性があるもの

ビューカードとJR九州は10月9日、それぞれの会員のメールアドレスが漏れた可能性を公表しました。えきねっと・大人の休日倶楽部（JR東日本）と同じ攻撃の影響で、ここではビューカードとJR九州の発表を並べます。

ビューカードの約403万件とJR九州の最大約130万件

ビューカードによると、会員サイト「VIEW's NET」の登録者あてのメールに使っている外部サービスが一部使えなくなり、あわせて約403万件のメールアドレスが漏れた可能性があることが10月7日に分かりました。対象者は調査中で、iiマークのあるカードとビュー法人カードは対象外です。

JR九州は、JR九州Web会員について、最大約130万件のメールアドレスを含むメールの記録（ログ）の一部が見られたり取られたりした可能性を否定できないとしています。

出典：株式会社ビューカード（2026年10月9日）、九州旅客鉄道株式会社（2026年10月9日）の公表。2026年10月12日に確認。件数は人数ではなく、各社が公表した件数です。報道の「約609万件」は、えきねっと・大人の休日倶楽部・ビューカードの件数の合計です。

両社とも、氏名、住所、電話番号、クレジットカード番号などは漏れた可能性がないとしています。えきねっとと大人の休日倶楽部（JR東日本）で漏れた可能性がある項目は、既存の記事で詳しく整理しています。大人の休日倶楽部の会員は、メールアドレスのほかに会員番号、カードの有効期限、生年月日も対象です。

カードは止めるべきか

ビューカードの発表では、漏れた可能性があるのはメールアドレスだけで、「氏名、住所、電話番号、クレジットカード番号等の個人情報については、漏えいの可能性はありません」としています。発表の中に、カードの停止や再発行を勧める案内はありません。

カード番号が対象外である以上、この件だけを理由にカードを止める必要は、発表からは読み取れません（当社の見方）。一方で、メールアドレスが漏れると、「ビューカードの会員」と分かったうえで偽のメールが送られるおそれがあります。ビューカードも、漏れたメールアドレスあてに「不審なメールが送信される可能性がございます」と注意を呼びかけています。

カードを止めるかどうかを考えるのは、偽のメールや偽のサイトにカード番号を入れてしまったときや、身に覚えのない請求を見つけたときです（当社の見方）。迷ったときは、メールに書かれた番号ではなく、カードの裏面の番号か、ビューカードセンター（03-6685-7000、9時〜17時30分）に相談します。

なぜ使っていない会社への攻撃で漏れるのか

IDCフロンティアの名前を、今回はじめて聞いたという人もいると思います。会員が直接使う会社ではなく、会社がメールを送るために使う外部のサービスの、さらにその下にあるクラウドが攻撃を受けました。

メール配信の外部サービスがIDCFクラウドにあった

ビューカードは、「株式会社 IDC フロンティアで発生した不正アクセスに伴い、弊社が利用するメール配信用外部サービスが一部使用できなくなる」とともに、メールアドレスが漏れた可能性があると説明しています。JR九州とJR東日本も、同じくメール配信用の外部サービスからの漏えいの可能性としています。

つまり、カード会社が会員にメールを送るために外部の配信サービスを使い、その配信サービスがIDCフロンティアのクラウド「IDCFクラウド」の上で動いていた、という関係と読めます（当社の見方）。会員が登録したメールアドレスは、メールを送るために配信サービス側にも置かれていたことになります。メール配信の外部サービスを提供していた会社の名前は、ビューカード、JR九州、JR東日本のいずれも公表していません。

IDCフロンティアはソフトバンクの子会社です。同社の報告によると、10月7日午前3時40分ごろからIDCFクラウドの東日本リージョン1で障害が起き、同じ日の第2報で、第三者によるランサムウェア攻撃だと分かったと公表しました。影響を受けたのは「IDCFクラウドを契約している495の企業や自治体」で、この数字は第2報（10月7日）ではじめて示され、10月8日の第3報でも同じです。契約先の社名や自治体名の一覧は公表していません。

IDCフロンティア自身の報告には、個人情報が漏れたかどうかの記載はありません。漏えいの可能性は、IDCFクラウドを使っていた各社がそれぞれ公表しています。10月11日12時のお知らせでは、「前回のお知らせ以降、新たに公表すべき重要な事実はありません」としています。

委託の先に、さらに委託がある

今回、自治体や会社の発表には、委託先を何段かたどった先にIDCFクラウドがあったと分かる書き方が見られます。

• 滋賀県：食の情報サイト3つに障害。委託事業者（佐川印刷）が使うIDCFクラウドが原因
• 高島屋：「業務委託先が利用するクラウド基盤（IDCFクラウド）」の障害で、メールマガジンの配信を停止
• 日水物流：「委託先である株式会社IDCフロンティア」と明記
• ビューカード、JR九州：メール配信用の外部サービス（提供会社名は非公表）

情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」（2026年1月29日公開）では、組織向けの1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」です。利用者からは見えない委託先が攻撃されても、会員の情報に影響が出ることがある、という例といえます（当社の見方）。

各社が「漏えいした」ではなく「漏えいした可能性」の段階で公表し、個別にメールを送るとしている点については、個人情報保護委員会が、本人の数が1,000人を超える漏えい等（おそれを含む）を委員会への報告の対象としていることが背景にあると考えられます（当社の見方）。

ほかに影響を公表した組織と、暮らしへの影響

同じ攻撃の影響は、カードや鉄道の会員メールだけではありません。漏えいの可能性を公表した組織と、サービスが止まった組織を分けて、公式の発表で確かめられたものを並べます。

漏えいの可能性を公表したほかの組織

メールアドレスのほかに、氏名や電話番号なども対象になりうると公表した組織があります。いずれも「可能性」や「おそれ」の段階で、流出が確認されたものではありません。

出典：Peach Aviation（2026年10月9日）、高島屋（2026年10月9日）の公表。小平市は市の公式X（10月8日）の内容を、まとめサイト（piyolog、セキュリティ対策Lab）で確認しました。市の臨時の案内ページ（10月9日14時時点）には漏えいの記載はありません。

Peachは、遅れていた旅程表のメールなどを、10月8日から別のサーバーで順次送っているとしています。航空機の運航への影響はないとしています。高島屋のオンラインストアなど3サイトは、メールマガジンの配信だけを止め、サイトは通常どおり使え、注文のメールも届くとしています。問い合わせ先は高島屋オンラインカスタマーセンター（0120-540-980、午前10時〜午後8時）です。

止まったサービス：ホテル、子どものスマホ、物流、自治体

漏えいの可能性とは別に、サービスや業務が止まったと公表した組織もあります。暮らしに近いものを並べます。

出典：ルートインホテルズ（2026年10月8日、10月10日一部追記）、NTTドコモ（10月8日第二報、10月9日更新）、ニッスイ（10月7日第1報、10月9日第2報）、茨城県・小平市の臨時ページ、滋賀県（10月8日）、湖西市（10月8日第2報）、焼津市立図書館の公表。2026年10月12日に確認。

ルートインホテルズは、ホテル管理システムが使う外部のデータセンターの障害としています。予約と宿泊そのものには影響はないとし、アプリの「ピピっとチェックイン」は使えると案内しています。インターネットで予約したあとに電話で変えた内容は確認できないことがあり、チェックインのときに確かめる場合があるとしています。

ドコモは、保護者の人に、Androidのファミリーリンクや、iPhoneのスクリーンタイムなど、OSに備わった機能で制限をかけるよう案内しています。問い合わせ先はあんしんホットライン（0120-053-320、午前9時〜午後8時）です。

ルートインホテルズとドコモの発表は、「外部データセンター」「委託先のデータセンター」の障害としていて、IDCフロンティアの名前は出していません。障害が始まった時刻はどちらも10月7日午前3時40分ごろで、IDCFクラウドと同じですが、IDCFクラウドとの関係は両社の発表からは確かめられません。日水物流は、被害を受けたサーバーにニッスイグループが管理する個人情報や顧客情報は含まれないと確認したとしています。店頭の品ぞろえへの影響は、発表には書かれていません。

ビューカードからお詫びメールが届いたら、今できる3つのこと

ビューカードとJR九州の発表、警察庁とフィッシング対策協議会の案内をもとにまとめました。えきねっと・大人の休日倶楽部のメールについては、関連記事で整理しています。

よくある質問

ビューカードは止めたほうがいいですか

ビューカードの発表では、漏れた可能性があるのはメールアドレスだけで、クレジットカード番号は対象外です。発表にカードの停止や再発行の案内はありません。偽のサイトにカード番号を入れてしまったときや、身に覚えのない請求があったときは、カードの裏面の番号からカード会社に相談します。

ビューカードからお詫びのメールはいつ届きますか

ビューカードは、対象者に準備ができしだい個別にお詫びのメールを送るとしています。2026年10月12日時点で、送り始めた時期や送信元のアドレスは公表されていません。届いたメールのリンクは開かず、公式サイトのお知らせで確かめます。

iiマークのビューカードも対象ですか

対象外です。ビューカードは、iiマークのあるカードとビュー法人カードは対象外としています。対象は、会員サイト「VIEW's NET」に登録している人あてのメール配信です。

JR九州Web会員は何が漏れたのですか

JR九州によると、最大約130万件について、メールアドレスを含むメールの記録の一部が見られたり取られたりした可能性があります。氏名、住所、電話番号、クレジットカード番号、メールマガジンの件名・本文は対象外です。公表文に問い合わせ窓口の記載はありません。

なぜ使っていないIDCフロンティアへの攻撃で漏れたのですか

ビューカードやJR九州が会員にメールを送るために使う外部の配信サービスが、IDCフロンティアのクラウド上で動いていたためです。配信サービスを提供していた会社の名前は公表されていません。

Peachや高島屋でも情報が漏れたのですか

Peachは約189万件が対象のシステムに入っていたと公表し、高島屋はクラウドに会員の情報を置いていたと公表しましたが、どちらも10月9日時点で流出は確認されていないとしています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社にもえきねっとから、同じ攻撃に伴うお詫びのメールが届き、えきねっとについての記事を公開しました。ビューカードやJR九州の会員の人が、漏れた項目と今できることを確かめられるよう、公表資料をもとに続編として整理しました。