JR九州Web会員のメール漏えい可能性、自分は対象？【10/15続報】

2026年10月10日2026年10月30日

「JR九州Web会員のメールアドレスが漏れたって本当？」「自分は対象なの？」「パスワードは変えたほうがいい？」と気になっている方に向けて、JR九州の公式発表に書かれていることだけを整理しました。内容はすべて、九州旅客鉄道株式会社（JR九州）が2026年10月9日に公表したお知らせと10月15日の続報、クラウドを運営するIDCフロンティアのお知らせ（第6報まで）の原文で、2026年10月25日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

【結論】JR九州は2026年10月15日の続報で、JR九州Web会員のメールアドレスについて「漏えいの事実は確認されませんでした」と公表しました。

10月9日の第1報では、IDCフロンティアで起きた不正アクセスに伴い、JR九州Web会員約130万件（最大）の電子メールアドレスが「漏えいした可能性」があると公表していました
10月14日にIDCフロンティア社の調査の結果、個人情報漏えいの事実は確認されなかった旨の報告を受けたとしています。氏名・住所・電話番号・クレジットカード番号等は、第1報の時点から「漏えいの可能性はありません」とされています
漏えいの可能性があった人には、準備が整い次第、「漏えいの事実は確認されなかった」旨のメールを順次送るとしています。JR九州メールマガジンは配信できない状況が続いており、安全性の再確認と環境整備が整い次第再開するとしています
IDCフロンティアも10月14日の第5報で、障害の影響を受けたゾーンの仮想サーバー内のデータについて「当社としては外部へのデータの流出はなかったと判断しています」と公表し、10月18日の第6報で「IDCFクラウドバックアップ」の提供を再開しました。2026年10月25日の確認時点で、JR九州の発表は10月15日の続報が最新です

📋 2026年国内の情報漏えい・サイバー攻撃一覧（毎日更新）

公式発表のあった事案を378件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。

直近の公表:

漏えいした企業・サービスを全件チェックする →

自分は対象？公式発表でわかること早見表

公式発表が対象者について書いているのは、次の範囲です。「自分が対象かどうか」を調べるページや、「退会済み」「メールマガジンを受け取っていない」場合の扱いは書かれていません。

知りたいこと	公式発表に書かれていること
10月15日の続報	「漏えいの事実は確認されませんでした」（IDCフロンティア社の調査結果に基づく）
対象になりうる人（第1報）	JR九州Web会員。対象件数（最大）約130万件
影響を受けたサービス	JR九州Web会員向けのメールマガジン（JR九州メールマガジン）。10月15日の続報でも「現在配信できない状況が続いております」
漏えいした可能性がある情報	電子メールアドレス
漏えいの可能性がない情報	氏名、住所、電話番号、クレジットカード番号等の個人情報、メールマガジンの件名・本文
対象者への知らせ方	第1報は「個別に本件に関するお詫びの電子メールを順次お送りいたします」。10月15日の続報は「個人情報漏えいの可能性のあったお客さまへ、漏えいの事実は確認されなかった旨の電子メールを順次お送りいたします」（準備が整い次第）
メールが届かない場合	公式発表に記載なし（送信の開始日や、届かない場合の案内は、10月15日の続報にも書かれていない）
メールマガジンを受け取っていない人	公式発表に記載なし（対象は「JR九州Web会員」と書かれているだけ）
退会済みの人	公式発表に記載なし
自分が対象かを調べるページ	公式発表に記載なし（照会ページの案内はない）
問い合わせ先	本件専用の問い合わせ先の記載なし

このお知らせは、JR九州の「最近のトピックス」に「お詫び」として掲載され、PDFにリンクしています（JR九州「IDC フロンティア社で発生した不正アクセスに伴うメールアドレス等漏えいの可能性について」）。10月15日の続報も同じ一覧に「お詫び」として掲載されています。JR九州Web会員サービス（Web会員ポータル）の「重要なお知らせ」には、2026年10月25日の確認時点で、10月15日の続報と同じ文面が載っています。第1報の時点（2026年10月10日に確認）では、ネット予約（JR九州インターネット列車予約）のトップページと、JQ CARDのページには、この件のお知らせは見当たりませんでした。

JR九州の問い合わせページには、JR九州お客さま相談センターなどの一般的な窓口が載っていますが、今回の発表には「この件はこちらへ」という案内は書かれていません。なお、問い合わせページに載っているJR九州の電話窓口の多くは0570から始まる番号です。0570番号の通話料のしくみは0570から始まる電話番号は何？ナビダイヤルの料金で解説しています。

何が漏れた可能性がある？件数と項目

項目	公式発表の内容
公表元・公表日	九州旅客鉄道株式会社（JR九州）・2026年10月9日
対象	JR九州Web会員
対象件数	約130万件（最大）
漏えいした可能性がある個人情報	電子メールアドレス
漏えいの可能性はないとされた情報	氏名、住所、電話番号、クレジットカード番号等の個人情報、メールマガジンの件名・本文
止まっているサービス	JR九州メールマガジン（配信できない状態）

「漏えいした」ではなく「漏えいした可能性」

公式発表の表現は「漏えいした可能性がある」です。被害状況は「現時点では、一部のお客さまの電子メールアドレスを含む電子メールログデータが閲覧または取得された可能性が否定できない状況です」と書かれています。漏えいを確認した、とは書かれていません。また、約130万件には「（最大）」と付いており、実際に閲覧・取得された件数を示したものではありません。

10月15日の続報：漏えいの事実は確認されず

JR九州は2026年10月15日、続報（「IDC フロンティア社で発生した不正アクセスに伴うメールアドレス等漏えいの可能性について（続報）」）を公表しました。内容は次のとおりです。

「10 月 14 日に IDC フロンティア社の調査の結果、個人情報漏えいの事実は確認されなかった旨の報告を受けました」
「JR 九州 Web 会員の約 130 万件の電子メールアドレスの漏えいの可能性があるとお知らせしておりましたが、IDC フロンティア社の調査結果に基づき、漏えいの事実は確認されませんでした」
今後の対応：「準備が整い次第、個人情報漏えいの可能性のあったお客さまへ、漏えいの事実は確認されなかった旨の電子メールを順次お送りいたします」
JR九州メールマガジン：「現在配信できない状況が続いておりますが、システムの安全性の再確認および環境整備が整い次第、再開いたします」（再開日の記載なし）

続報は、調査結果を「IDC フロンティア社の調査の結果」「報告を受けました」と書いています。どのような方法で確認したかや、メールログデータの扱いの詳細は書かれていません。

JR九州Web会員とは？JQ CARDやネット予約も関係ある？

JR九州の案内では、JR九州Web会員は「JR九州グループのサービスを横断してご利用いただける会員」で、「ひとつの会員IDで各種サービスにログイン」でき、JRキューポ（ポイント）をためたり使ったりできるとされています。Web会員サービスの一覧には、インターネット列車予約、JR九州アプリ、JRキューポ、JQ CARDおまとめ登録、SUGOCAおまとめ登録などが並んでいます。

ただし、今回の発表で「影響を受けたサービス」として挙げられているのはJR九州Web会員向けのメールマガジンだけです。ネット予約・JRキューポ・JQ CARD・SUGOCAそのものについての記載はありません。JQ CARDのクレジットカード番号も含め、クレジットカード番号等は「漏えいの可能性はありません」とされています。

なお、ネット予約のログイン画面では、ID欄が「JR九州Web会員ID (メールアドレス)」と表示されています。つまり、漏えいした可能性があるメールアドレスは、ログインIDとしても使われているものです。パスワードは漏えいした可能性がある情報に挙げられていませんが、この点は下の「今やること」で扱います。

IDCFクラウドの障害とは？JR東日本も同じIDCF経由で公表

JR九州の発表は、原因を「IDC フロンティア社で発生した不正アクセスに伴い」と書いています。あわせて「『JR 九州 Web 会員』向けメール配信用外部サービスが一部使用できない状況」とも説明しています。メール配信用外部サービスの運営会社名や、IDCFクラウドの上でどのデータがどう扱われていたかは、公式発表に書かれていません。

IDCフロンティアの公式お知らせでは、同社のクラウドサービス「IDCFクラウド」について次のように説明されています（IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」、「【第5報】不正アクセスによる障害に関する調査の進捗について」、「【第6報】バックアップサービスの提供再開について」）。

発生日時：2026年10月7日（水）午前3時40分頃（第3報）
対象：IDCFクラウド東日本リージョン1の一部（第5報では「teslaゾーン／henryゾーン／pascalゾーン／jouleゾーン」）
原因：「第三者からの不正アクセス（ランサムウェア攻撃）」（第3報）
影響範囲：IDCFクラウドを契約して利用している495の企業や自治体
データの流出（第5報・10月14日）：外部のセキュリティ専門企業と連携した調査の結果、影響を受けたゾーンの仮想サーバー内のデータについて「照会や外部へ持ち出されたことを示す痕跡、それを裏付ける事実は確認されませんでした」とし、「当社としては外部へのデータの流出はなかったと判断しています」
データの取り出し：第3報では対象ゾーンのお客さまデータは「取り出しや復元が困難な見通し」としていましたが、第5報で「495の企業・自治体のうち、IDCFクラウドの「スナップショット機能」をご利用いただいていた194のお客さまについて、バックアップデータの取り出しが可能であることを確認しました」としています
バックアップサービス（第6報・10月18日）：提供を停止していた「IDCFクラウドバックアップ」について「安全性の確認が完了したことからサービスの提供を再開します」。「スナップショット機能」は「現在も提供を停止しています」

IDCフロンティアのお知らせには、利用企業の名前は書かれていません。JR九州が「IDC フロンティア社の調査の結果、個人情報漏えいの事実は確認されなかった旨の報告を受けました」とする10月14日は、IDCフロンティアが第5報を公表した日と同じです。JR九州の続報には、どのお知らせに基づく報告かまでは書かれていません。同じ10月9日には、JR東日本とビューカードも、IDCフロンティア社での不正アクセスに伴ってメール配信用外部サービスからメールアドレス等が漏えいした可能性があると公表し、10月15日には、メール配信用外部サービス会社から漏えいがなかったと判断したとの報告を受けていると発表を更新しています。えきねっと・大人の休日倶楽部・ビューカードの件はえきねっと・JR東日本の情報漏えい、自分は対象？漏れた項目と今やることで整理しています。JR九州とJR東日本で同じメール配信サービスを使っていたかどうかは、どちらの発表にも書かれていません。

漏れた項目ごとに起こりうる二次被害

JR九州の発表には、二次被害の可能性についての記載はありません。10月15日の続報で漏えいの事実は確認されなかったとされていますが、第1報の時点で整理した内容として残します。以下の表の「起こりうること」は、メールアドレスが漏えいした場合に一般的に考えられることです。

漏えいした可能性がある項目	起こりうること（一般論）
電子メールアドレス	JR九州・JRキューポ・ネット予約などを名乗る偽メール（フィッシングメール）が届き、偽サイトでID・パスワードやカード情報を入力させられる。迷惑メールが増える
氏名・住所・電話番号・クレジットカード番号等	「漏えいの可能性はありません」と公表（パスワードは、漏えいした可能性がある情報に挙げられていない）
メールマガジンの件名・本文	「漏えいの可能性はありません」と公表

メールアドレスが漏れた場合：偽メールに注意

今回いちばん気をつけたいのは、JR九州から本物のメールが届く予定があることです。10月15日の続報では、漏えいの可能性があった人に「漏えいの事実は確認されなかった旨の電子メール」を順次送るとしています。この件にからめて「JR九州からのお詫び」「ポイント付与」「パスワード再設定」などをうたう偽メールが届くと、本物の通知との区別がつきにくくなりがちです。公式発表には、このメールの送信元アドレスや件名は書かれていません。メールのリンクからではなく、JR九州の公式サイトやアプリを自分で開いて確認すると安心です。

フィッシングの手口と見抜き方は楽天証券の乗っ取り事件から学ぶセキュリティ対策でも取り上げています。

電話番号は対象外。それでも知らない番号から着信があったら

電話番号は「漏えいの可能性はありません」とされています。それでも、JR九州やカード会社を名乗る知らない番号からの電話が気になるときは、出る前に番号を調べると落ち着いて判断できます。調べ方は迷惑電話番号の検索・調べ方にまとめています。

今やること（公式の案内と一般的な対策）

公式が案内していること

発表そのものに書かれている利用者向けの案内は、個別にメールを順次送ること（第1報は「お詫びの電子メール」、10月15日の続報は「漏えいの事実は確認されなかった旨の電子メール」）だけです。そこで、JR九州が以前からネット予約のトップページに常設している「お知らせ」もあわせて並べます（どの資料に書かれているかを各項目に記載）。

JR九州からのメールが届いたら、リンクを開く前に落ち着いて確認する：漏えいの可能性があった人には「準備が整い次第、個人情報漏えいの可能性のあったお客さまへ、漏えいの事実は確認されなかった旨の電子メールを順次お送りいたします」（10月15日の続報）
同じパスワードを他のサービスでも使っていたら変更する：「当社サービスのログインに必要なパスワードを、他のインターネットサービスで使用しているパスワードと同じものにしている場合は、必ずパスワードを変更してください」（ネット予約トップの常設のお知らせ「パスワードの使いまわしにご注意ください」）
特にメールアカウントと同じパスワードは避ける：同じお知らせは、フリーメールなどと同じパスワードを使っていると「会員情報変更のお知らせやポイント交換申込のメールを、第三者が不正に確認・削除できてしまうため、大変危険です」と書いています

パスワードの変更は必要？

第1報・10月15日の続報とも、パスワードの変更をお願いする記載はありません。漏えいした可能性がある情報にも、パスワードは挙げられていません。この件だけを理由にパスワード変更が必要とは、公式発表では書かれていません。

一方で、JR九州Web会員はメールアドレスがそのままログインIDになっています。JR九州は常設のお知らせで、他のサービスと同じパスワードを使っている場合は「必ずパスワードを変更してください」と案内しています。他のサイトと同じパスワードを使っている人は、この機会に見直しておくと安心です。

一般的な対策（公式の案内ではないもの）

以下は公式発表の案内ではなく、メールアドレスが漏えいした可能性がある場合に一般的に取られる対策です（10月15日の続報で漏えいの事実は確認されなかったとされているため、念のための確認として載せています）。

「JR九州」「JRキューポ」「ネット予約」「お詫び」「ポイント付与」「返金」を名乗るメールのリンクは開かず、公式サイトやアプリを自分で開いて確認する
メールの中でID・パスワード・カード番号の入力を求められても、その場で入力しない
JRキューポの残高や、ネット予約の予約履歴に覚えのないものがないか、公式サイトから確認する
JQ CARDなどクレジットカードの利用明細を、念のため確認する

パスワードの使い回しを見直す方法はパスワード流出の真相と安全対策でも解説しています。

補償・お詫びはある？

2026年10月9日の発表には、「ご利用のお客さまに多大なるご心配をおかけしておりますことを、深くお詫び申し上げます」というお詫びの言葉と、対象者に「お詫びの電子メール」を送るという記載はありますが、補償・お詫び金・ポイント付与などの記載はありません。10月15日の続報（漏えいの事実は確認されず）にも記載はありません。訴訟や賠償についての記載もありません。

「補償の手続き」「JRキューポを付与」「返金」をうたうメールやSMSが届いても、公式発表にはそうした手続きの案内はありません。リンクを開かず、公式サイトのお知らせを自分で確認してください。

経緯・原因と公表の履歴

原因について、公式発表は次のように書いています（推測は加えていません）。

JR九州：「IDC フロンティア社で発生した不正アクセスに伴い、お客さまの電子メールアドレスが漏えいした可能性があることが判明いたしました。また、『JR 九州 Web 会員』向けメール配信用外部サービスが一部使用できない状況となっております」
IDCフロンティア：「第三者からの不正アクセス（ランサムウェア攻撃）」（第3報）。10月14日の第5報では、侵入経路や各種ログ、外部への持ち出し痕跡の有無などを調査した結果として、「当社としては外部へのデータの流出はなかったと判断しています」

JR九州の発表には、漏えいの可能性が判明した日付は書かれていません。

日付	公表・出来事
2026年10月7日午前3時40分頃	IDCFクラウドで不正アクセスによる障害が発生（IDCフロンティアの発表）
2026年10月7日	IDCフロンティアが「当社サービスの一部システムに対する不正アクセスについて」を公表し、第2報でランサムウェア攻撃によるものと公表
2026年10月8日	IDCフロンティアが第3報。影響範囲を495の企業や自治体と公表
2026年10月9日	JR九州が「IDC フロンティア社で発生した不正アクセスに伴うメールアドレス等漏えいの可能性について」を公表。JR九州メールマガジンは配信できない状態と案内
2026年10月9日	IDCフロンティアが第4報。親会社のソフトバンクと連携した対応体制を公表。同じ日にJR東日本・ビューカードも漏えい可能性を公表
2026年10月14日	IDCフロンティアが第5報。仮想サーバー内のデータについて「外部へのデータの流出はなかったと判断」、スナップショット機能を使っていた194のお客さまはバックアップデータの取り出しが可能と公表
2026年10月14日	JR九州が、IDCフロンティア社の調査の結果、個人情報漏えいの事実は確認されなかった旨の報告を受ける（JR九州の続報による）
2026年10月15日	JR九州が続報を公表。約130万件の電子メールアドレスについて「漏えいの事実は確認されませんでした」。漏えいの可能性があった人へ、その旨のメールを順次送付するとし、メールマガジンは配信できない状況が続いていると案内。同じ日にJR東日本・ビューカードも、メール配信用外部サービス会社から漏えいがなかったと判断したとの報告を受けていると発表を更新
2026年10月18日	IDCフロンティアが第6報。「IDCFクラウドバックアップ」の提供を再開（スナップショット機能は停止中）

2026年10月25日に確認した時点で、JR九州の最新の発表は10月15日の続報で、それ以降の続報はありません（「最近のトピックス」のお知らせ一覧とWeb会員ポータルの「重要なお知らせ」で確認）。IDCフロンティアのお知らせは第6報（10月18日）が最新です。メールマガジンの再開日は書かれておらず、再開のお知らせも見当たりませんでした。

ほかの情報漏えい事案

同じ時期に公表されたほかの事案も、公式発表をもとに整理しています。電話番号やパスワードが含まれる事案は、取るべき行動が今回とは異なります。

えきねっと・JR東日本の情報漏えい、自分は対象？漏れた項目と今やること（同じIDCF経由・メールアドレスなど）
skyticket情報漏えい、自分は対象？漏れた項目と今やること（約1,464万件・ハッシュ化したパスワードを含む）
ブックオフ情報漏えい、自分は対象？漏れた項目と今やること（10月9日発表）
焼肉きんぐアプリの情報漏えい、自分は対象？漏れた4項目と今やること（電話番号を含む）
2026年国内の情報漏えい・サイバー攻撃一覧（毎日更新）（IDCFクラウド障害の影響を公表した組織の表もあります）

よくある質問

JR九州Web会員のメールアドレスは、結局漏れていなかったのですか？

A. JR九州は10月15日の続報で、IDCフロンティア社の調査結果に基づき、約130万件の電子メールアドレスについて「漏えいの事実は確認されませんでした」と公表しています。IDCフロンティアも10月14日の第5報で、影響を受けたゾーンの仮想サーバー内のデータについて「当社としては外部へのデータの流出はなかったと判断しています」としています。2026年10月25日の確認時点で、JR九州からそれ以降の続報はありません。

JR九州Web会員です。自分が対象かどうか調べる方法はありますか？

A. 公式発表に、対象かどうかを調べるページの案内はありません。JR九州は10月15日の続報で、漏えいの事実は確認されなかったと公表し、漏えいの可能性があった人には準備が整い次第、その旨の電子メールを順次送るとしています。届いたメールのリンクは開かず、公式サイトを自分で開いて確認してください。

メールマガジンを受け取っていない人や、退会した人も対象ですか？

A. 公式発表には記載がありません。発表に書かれているのは、影響を受けたサービスが「JR九州Web会員向けのメールマガジン（JR九州メールマガジン）」であることと、対象件数が「JR九州Web会員：約130万件（最大）」であることだけです。

パスワードは変更したほうがいいですか？

A. 今回の発表に、パスワードの変更をお願いする記載はなく、漏えいした可能性がある情報にもパスワードは挙げられていません。ただし、JR九州はネット予約のトップページで、他のインターネットサービスと同じパスワードを使っている場合は必ず変更するよう常設のお知らせで案内しています。

JQ CARDのクレジットカード番号は漏れましたか？

A. JR九州は、氏名・住所・電話番号・クレジットカード番号等の個人情報は「漏えいの可能性はありません」と公表しています。第1報で漏えいした可能性があるとされたのは電子メールアドレスだけで、それも10月15日の続報で「漏えいの事実は確認されませんでした」とされています。

補償やお詫びはありますか？

A. 10月9日の発表、10月15日の続報とも、補償・お詫び金・ポイント付与の記載はありません。続報では漏えいの事実は確認されなかったとしています。「補償」「ポイント付与」「返金」をうたうメールやSMSのリンクは開かないでください。

あわせて読みたい：メールアドレス等が漏えいした可能性があるフジテレビの事案

あわせて読みたい：メールマガジンの宛先が流出したピッコマの件

あわせて読みたい：メールアドレスが漏えいしたガンダムベース会員の件

まとめ

JR九州は2026年10月9日、IDCフロンティアでの不正アクセスに伴い、JR九州Web会員の電子メールアドレスが漏えいした可能性があると公表した
10月15日の続報で、IDCフロンティア社の調査結果に基づき「漏えいの事実は確認されませんでした」と公表。漏えいの可能性があった人には、その旨のメールを順次送る
IDCフロンティアは10月14日の第5報で、影響を受けたゾーンの仮想サーバー内のデータについて外部へのデータの流出はなかったと判断し、10月18日の第6報でバックアップサービスを再開した（スナップショット機能は停止中）
対象件数は約130万件（最大）。漏えいした可能性があるのは電子メールアドレスだけで、氏名・住所・電話番号・クレジットカード番号等とメールマガジンの件名・本文は「漏えいの可能性はありません」
影響を受けたのはJR九州メールマガジンで、10月15日の続報でも配信できない状況が続いているとされた（再開日の記載なし・2026年10月25日の確認時点で再開のお知らせは見当たらない）
照会ページ・退会済みの扱い・本件専用の窓口・パスワード変更の依頼・補償の記載はない
偽メールには引き続き注意。メールのリンクは開かず、公式サイトを自分で開く。他のサービスと同じパスワードを使っている人は、JR九州の常設の案内どおり変更しておく

この記事は、2026年10月15日のJR九州の続報と、IDCフロンティアの第6報（10月18日）までの情報（2026年10月25日確認）で書いています。続報が出た場合は、公式のお知らせを優先してください。