JR東海・JR西日本・JR九州の3社は10月26日、東海道・山陽・九州新幹線のネット予約「エクスプレス予約」と「スマートEX」で、一部の会員のメールアドレス、会員ID、カタカナの氏名、会員種別が外部に漏えいしたと発表した。メール配信を委託していたユミルリンクが不正アクセスを受けたためで、JR東海が持つ予約システムからの漏えいは確認されていないという。
出張や帰省の新幹線をスマホで予約している人にとって、気になるのは「EX」を名乗るメールの見分け方だろう。会員IDとカナの氏名を知ったうえで届く偽の案内は、これまでより本物らしく見える。
漏れたもの、漏れていないもの
3社の発表で漏えいしたとされるのは、メールアドレス、会員ID、氏名 (カタカナ)、会員種別の4つだ。それ以外の氏名、生年月日、住所、電話番号、クレジットカードの番号や有効期限については「漏えいの可能性はありません」としている。
対象になりうるのは、ユミルリンクの「Cuenote FC」を使って送られたメールを受け取った会員だ。3社は例として、一部の会員に送った販売促進のメールと、熊本地震の影響で予約した列車の発車時刻が変わったことを知らせるメールを挙げている。こうしたメールを受け取った覚えがあれば、対象に入っている可能性がある。
件数について、3社の文書は「ユミルリンク株式会社にて確認中」としている。CBC テレビなどの報道によると、3社は現時点の件数を合わせて約17万件と説明している。
「影響なし」の報告から10日後の連絡
経緯にも目を向けたい。ユミルリンクが不正アクセスを確認したのは10月16日で、3社はその時点で、エクスプレス予約とスマートEXの利用者には影響がないと同社から報告を受けていた。それが26日になって、個人情報が第三者に閲覧または取得されたと連絡があった。ユミルリンクは同じ26日、漏えいの痕跡が見つかったシステムが49に増え、流出した情報は延べ5,162万件を超えたと公表している。
3社は問題のメール配信サービスの使用をすぐに止め、26日に個人情報保護委員会へ報告した。対象になる会員には、電子メールなどで個別に連絡するとしている。
EX を名乗るメールが届いたら
ここで1つ厄介なのは、本物の個別連絡もメールで届く見込みだということだ。本物と偽物が同じ時期に、似た件名で届きうる。メールの中のリンクからはログインせず、ブックマークした公式サイトか公式アプリから会員ページを開いて確かめる、と手順を決めておけば迷わずに済む。
パスワードは今回の漏えいの対象に含まれていない。ただ、会員IDが知られた状態では、同じパスワードを別のサービスと使い回していることの弱さが表に出やすい。使い回しているなら、この機会に分けておくのも一つの手だ。
次に確かめたいのは、エクスプレス予約・スマートEXの公式サイトのお知らせと、JR東海のニュースリリースだ。ユミルリンクの調査で確定する対象件数が、そこで示されるかどうかを見ておきたい。
ことば
- エクスプレス予約・スマートEX — JR東海・JR西日本・JR九州が運営する、東海道・山陽・九州新幹線のネット予約サービス。予約の内容や運行の変更もメールで知らせるため、会員は EX 名義のメールを日常的に受け取っている。
- メール配信の委託 — 企業が大量のお知らせメールを送るとき、送信の仕組みを専門の事業者に任せること。宛先は委託先のシステムに置かれるため、今回のように委託先の事故で会員情報が外に出ることがある。
EX からメールが届いたとき、あなたはリンクを押す前に何を確かめるだろうか？
