広島のイズミ「ゆめオンライン」「ゆめデリバリー」最大約40万件の個人情報に漏えいの可能性―IDCFクラウドへのランサムウェアによるサイバー攻撃で

「ゆめタウン」などを展開する株式会社イズミは2026年10月14日、「ゆめオンライン」と「ゆめデリバリー」のメールマガジン配信に利用する顧客の氏名、メールアドレス最大約40万件について、外部へ漏えいした可能性を否定できないと発表しました。

原因となったのは、メールマガジンの配信委託先が利用するIDCフロンティアのクラウドサービスへのランサムウェア攻撃です。イズミは対象情報が暗号化されていたと説明し、同日公表時点で外部への漏えいや不正利用は確認されていないとしています。対象会員には準備が整い次第、個別にお詫びのメールを送付する方針です。

イズミの個人情報漏えいの可能性に関するサマリー

• 公表日：2026年10月14日
• 公表企業：株式会社イズミ
• 対象サービス：「ゆめオンライン」「ゆめデリバリー」
• 対象規模：最大約40万件
• 対象情報：メールマガジン配信に利用する氏名、メールアドレス
• 対象外：住所、電話番号、クレジットカード番号など
• 原因となった事案：メール配信委託先が利用するIDCフロンティアのクラウドサービスへのランサムウェア攻撃
• データの状態：漏えいの可能性がある情報は暗号化されている
• 調査状況：外部漏えい・不正利用の事実は確認されておらず、調査継続中
• 今後の対応：対象となる可能性がある顧客に順次メールで個別連絡

メール配信の委託先が利用するIDCFクラウドでランサムウェア攻撃

イズミの発表によると、同社が会員向けメールマガジンの配信を委託する事業者が、IDCフロンティアのクラウドサービスを利用していました。IDCフロンティアから同社クラウドの一部システムがランサムウェア攻撃を受けたとの連絡があり、イズミが保存情報を確認した結果、「ゆめオンライン」「ゆめデリバリー」のメール配信に用いる顧客の氏名・メールアドレスが保管されていることが分かりました。

IDCFクラウドでは10月7日午前3時40分ごろ、東日本第1リージョンの一部システムで障害が発生しました。IDCフロンティアはランサムウェアによる被害を公表し、4ゾーンでデータの取り出し・復元が困難になる見通しを示しています。影響対象は495の企業・自治体とされています。

イズミの事案は、これと関連する委託先・クラウド基盤の侵害による影響です。イズミの会員向けサービスそのものに攻撃者が直接侵入したと公表されたわけではありません。同じ基盤に起因する他社への影響や復旧状況は、IDCFクラウドへのランサムウェア攻撃と影響企業・サービス一覧で整理しています。

最大約40万件の氏名・メールアドレスが対象、情報は暗号化

今回の対象は、両サービスのメールマガジン配信に利用される顧客情報です。イズミは最大約40万件と公表していますが、これは漏えいしたと確定した件数ではありません。「40万人の個人情報が流出した」と人数・被害を断定することはできません。

同社は、漏えいの可能性がある情報が暗号化されていると説明しています。ただし、暗号化の方式や鍵の管理状況などの技術的詳細は公表資料に記載されていません。このため、暗号化という事実だけから外部取得の可能性をゼロと判断することも、情報が第三者に解読されたと判断することもできません。

住所、電話番号、クレジットカード番号などは今回の漏えいの可能性がある情報に含まれないとしています。また、公式発表が対象としているのは「ゆめオンライン」「ゆめデリバリー」のメールマガジン配信用情報であり、ゆめタウンのすべての会員情報が漏えいしたとの発表ではありません。

イズミは対象者に順次メールで連絡、不審な案内に注意

イズミは関係各社と連携して影響範囲の調査を続け、漏えいした可能性がある顧客に対し、準備が整い次第、個別にお詫びの電子メールを送付すると説明しています。

今回の発表で対象とされるのは氏名とメールアドレスです。住所、電話番号、クレジットカード番号などの漏えいが発表されたわけではありません。また、同社は公表時点で情報の外部漏えいや不正利用を確認していません。

その一方、氏名とメールアドレスが第三者に把握された場合には、正規の会員向け案内に見せかけたフィッシングメールや迷惑メールに利用されるおそれがあります。今回の事案に便乗する偽メールが実際に確認されたという意味ではありませんが、今後届く案内の真偽には注意が必要です。

ゆめオンライン・ゆめデリバリー利用者が確認したい漏えい対策

今回の発表だけで、全会員がパスワードを変更したり、クレジットカードを再発行したりする必要があるとは判断できません。まずはイズミの公式案内を確認し、次の対策を取ってください。

1. メールのリンクからログインしない：「漏えい対象の確認」「会員情報の再登録」「返金手続き」「クレジットカードの更新」といった案内が届いても、メール本文のリンクから個人情報を入力しないようにします。公式サイトを自分で開くか、普段利用する正規アプリから確認します。
2. 差出人名だけで本物と判断しない：差出人が「イズミ」「ゆめオンライン」と表示されていても、実際の送信元と一致するとは限りません。宛名に自分の氏名が書かれていても正規メールの証明にはなりません。
3. パスワードと認証コードを教えない：メールへの返信や遷移先で、ログインパスワード、ワンタイムパスワード、SMS認証コードなどを入力するよう求められた場合は、案内元を別経路で確認します。
4. アカウントの利用状況を確認する：普段と異なるログイン通知、注文履歴、登録内容の変更などがないか、正規サービス上で確認します。利用できる場合は多要素認証も設定します。
5. 不審なメールを保存し、安易に開かない：不審な添付ファイルの開封やソフトウェアのインストールを避け、必要に応じてメールを保存してサービス提供元に照会します。

特に「会員情報の確認にはカード番号の入力が必要」などとする案内には警戒してください。今回、イズミが説明した漏えいの可能性がある項目にクレジットカード番号は含まれていません。

不審なリンクを開いた・情報を入力した場合の対応

偽サイトの疑いがあるページを開いただけなのか、パスワードや決済情報を実際に入力したのかで対応は異なります。

既に詐欺被害や不正利用が発生した場合は、警察相談専用電話「#9110」や最寄りの警察署への相談も検討してください。商品・サービスに関する消費者トラブルは、消費者ホットライン「188」でも相談できます。

今回の情報漏えいの可能性自体を理由にカードを再発行する必要があるとするものではありません。不審なメールでカード情報を入力してしまった場合など、別途リスクが生じたときは早急な対応が必要です。

情報システム部門はメール配信委託先のデータ保管先を確認

今回、イズミがメール配信を委託した事業者のさらに先にあるクラウド基盤で攻撃が発生しました。メールマガジンの配信業務では、本文だけでなく、氏名やアドレスなどの配信先情報がどの事業者・地域・システムに保管されるかが、インシデント時の影響範囲に直結します。

企業の情報システム部門とマーケティング部門では、委託先が利用する基盤、保存される情報項目、暗号化と鍵管理、バックアップの場所、事故時の連絡経路を共同で確認する必要があります。また、委託先のシステム障害が発生した場合、メール配信の停止と、顧客情報の漏えい可能性の調査は別の問題として扱い、利用者への通知判断に必要な証跡を確保します。

今回のようにサービス提供元自身への直接侵入ではない事案では、委託先との契約や再委託関係、データ保存期間、削除方法までさかのぼって影響を調べられる体制が対応の出発点になります。

出典

• IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして（2026年10月14日）―株式会社イズミ
• 当社サービスの一部システムへの不正アクセスによる障害について（第3報・2026年10月8日）―IDCフロンティア