エクスプレス予約・スマートEX会員のメールアドレス等が漏えい｜ユミルリンク不正アクセス

JR東海・JR西日本・JR九州は2026年10月26日、新幹線のネット予約サービス「エクスプレス予約」と「スマートEX」の一部会員について、メールアドレスなどの個人情報が外部に漏えいしたと公表しました。メール配信を委託していたユミルリンクへの不正アクセスが原因です。

漏えいしたのは、メールアドレス・会員ID・氏名（カタカナ）・会員種別の4項目です。クレジットカード番号や住所、電話番号などに漏えいの可能性はないとしています。対象の件数は、ユミルリンクが確認中です。

漏えいしたのは4項目、カード番号や住所は対象外

区分	項目
漏えいした情報	メールアドレス、会員ID、氏名（カタカナ）、会員種別
漏えいの可能性がない情報	上記以外の氏名、生年月日、住所、電話番号、クレジットカード番号、クレジットカードの有効期限など
対象件数	ユミルリンクが確認中

漏えいした情報として、パスワードは挙げられていません。JR東海が持つエクスプレス予約・スマートEXのシステムからの漏えいも、確認されていないとしています。

エクスプレス予約とスマートEXは、ユミルリンクのメール配信サービスを使っていました。対象になるおそれがあるのは、同社の「Cuenote FC」で次のようなメールが送られた会員です。

発表では「など」と書かれており、これ以外のメールも対象になりうる表現です。すべての会員が対象というわけではありません。

今回の発表で目を引くのは、当初の報告が覆ったことです。

日付	できごと
2026年10月16日（金）	ユミルリンクの不正アクセスについて、JR側はエクスプレス予約・スマートEXの利用者には影響がないと報告を受ける
2026年10月26日（月）	ユミルリンクから、会員の個人情報が第三者に閲覧または取得されたと連絡。JR3社が公表し、個人情報保護委員会へ報告

ユミルリンクは10月26日の第二報で、情報漏えいが確認されたシステムが49に増えたと開示しています。詳しくはユミルリンク第二報の記事にまとめています。

対象の会員には、JRから個別に連絡が届きます。エクスプレス予約・スマートEXに登録したメールアドレスに、案内が届いていないか確認してください。

ここからは公式発表には書かれていない、筆者の見解です。漏えいした情報は、メールアドレスに会員IDとカタカナの氏名がそろっています。悪用されるとすれば、本物の会員IDや氏名を書き込んだ、エクスプレス予約やスマートEXを名乗るメールが考えられます。

会員IDや名前が正しく書かれていても、それだけで本物と判断しないことをおすすめします。ログインやカード情報の入力を求められたら、メールのリンクは使わず、公式アプリやブックマークした公式サイトから自分で開いて確かめてください。

最新の情報は、JR東海の公式発表で確認してください。