ユミルリンクの情報漏洩でなぜJRも、延べ5162万件とスマートEXの会員ID

第1章

ユミルリンクって、どんな会社？

答え：お店や鉄道会社が会員に送るメールは、その会社が自分で送っているとは限りません。メールを送る専門の会社に、宛先の名簿を預けて送ってもらうことがあります。

たとえば、新幹線の予約サービスから「予約が完了しました」「おトクなお知らせ」というメールが届くとします。差出人はJRです。でも、何十万人にメールを一度に送るのは大変なので、メールを送る専門のサービスを使うことがあります。ユミルリンクの「Cuenote FC（キューノート エフシー）」は、そうしたメール配信サービスの1つです。

ですから、ユミルリンクという名前を一度も聞いたことがなくても、自分のメールアドレスがそこに預けられていることがあります（当社の見方）。今回は、その預けられた側のシステムが外から入られました。

会社が名簿の扱いを外の会社に任せることを「委託（いたく）」といいます。任せた会社には、任せた先をきちんと見張る責任があります。くわしい仕組みは、別の記事で説明しています。

第2章

900万件から5162万件へ、10日で何がわかったの？

答え：10月19日の第一報は5システム・延べ約900万件でした。10月26日の第二報では50システム・延べ5,162万8,280件に広がり、まだ増える可能性があります。

どうやって入られたのか

第一報（公式発表）によると、流れは次のとおりです。①プログラムの弱いところを使われ、②ユミルリンクのサポート担当者がログインに使う情報を取られ、③不正なプログラムを置かれてデータを持ち出され、④その担当者の情報で、ほかのシステムにも入ろうとされました。

第二報では、その後の調べで新たに45のシステムで、ほかのシステムのデータを見られたり、ログインしたときの情報を盗まれて不正にログインされたりしていたことがわかったとしています（報道）。

出典：ユミルリンク第二報（2026年10月26日）を伝えたINTERNET Watch・ビジネス＋IT・セキュリティ対策Labの報道。第一報はユミルリンクの適時開示（2026年10月19日）。

「延べ」は人数ではない

「延べ」とは、同じ人を重ねて数えた数です。たとえば、ある人が3つの会社のメール会員なら、3件と数えます。ですから5,162万件は「5,162万人」ではありません（当社の見方）。

第3章

なぜJRの会員情報も漏れたの？

答え：JR東海・JR西日本・JR九州は、エクスプレス予約・スマートEXの会員のメールアドレス、会員ID、カタカナの氏名、会員種別が漏れたと発表しました。生年月日・住所・電話番号・カード番号は含まれていません。件数はユミルリンクが確認中です。

JR東海・JR西日本・JR九州の3社は10月26日、東海道・山陽・九州新幹線のネット予約サービス「エクスプレス予約」と「スマートEX」の会員の情報が漏れたと発表しました。会員にメールを送るために、ユミルリンクの「Cuenote FC」を使っていたためです。

3社は、JRのシステムからの漏えいは確認されていないとしています。

件数について、朝日新聞やRKB毎日放送は「約17万件」と報じています。一方、3社の発表では件数はユミルリンクが確認中としています。数字は今後の発表で変わる可能性があります（当社の見方）。JR九州は取材に、新幹線の予約や利用に影響はなく、被害の報告もないと答えています（報道）。

JR東日本の「えきねっと」とは別の件

10月9日には、JR東日本が「えきねっと」の会員のメールアドレスなどの漏えいを発表しています。こちらはIDCフロンティアへの不正アクセスが原因で、今回のユミルリンクの件とは別です（当社の見方）。

ほかにも、自分で発表した会社や役所がある

ユミルリンクは、どの会社のデータが漏れたのかを一覧にしていません。それぞれの会社や団体が、自分で発表しています。たとえば埼玉県は、委託先の会社を通じて使っていたメールマガジンで、669者の情報が流出した可能性があると発表しました。NTTPCコミュニケーションズは、影響は確認できていないものの、注意のよびかけとして公表しています。

第4章

自分は対象？今やることは？

答え：ふだんメールを受け取っている会社の発表を見る。会社を名乗るメールのリンクからログインしない。IDやパスワードを聞いてくる連絡に答えない。この3つです。

1. ふだんメールをもらっている会社の発表を見る
   ユミルリンクの名前でメールが来ることは、ほとんどありません。新幹線の予約サービスやお店など、メールを受け取っている会社の公式サイトで、ユミルリンクの件のお知らせが出ていないかを見ます。対象の人には、その会社から個別の連絡が来ます。
2. 会社を名乗るメールやSMSのリンクからログインしない
   今回漏れたのは主にメールアドレスです。メールアドレスと名前がわかると、本物らしい偽メールが送りやすくなります（当社の見方）。実際にユミルリンクは、自分の会社のドメインを使い、セゾンカードをかたって「ご利用確認のお願い」などの件名で送られる迷惑メールが確認されていると注意をよびかけています（報道）。リンクは押さず、公式アプリやブックマークから開きます。
3. ID・パスワード・暗証番号を聞いてくる連絡には答えない
   エクスプレス予約・スマートEXでは、会員IDも漏れました（公式発表）。JR東海などは以前から、会員IDやパスワードの変更をうながす偽メールに注意をよびかけ、偽メールは見た目で見分けるのが難しいとしています。会員IDを知っている相手からの連絡でも、本物とは限りません。

パスワードは、3社の発表では漏れた項目に入っていません。ただ、同じパスワードを別のサービスでも使っているなら、別々のものに変えておくと安心です（IPA）。

よくある質問