JR四国、ツアーWeb会員 約3万件の個人情報漏えいの可能性　ブラストメールへの不正アクセスが波及

四国旅客鉄道株式会社（JR四国）がメール配信に利用する外部サービス「ブラストメール（blastmail）」への不正アクセスを受け、「JR四国ツアーWeb会員」の登録情報約3万件が外部から閲覧・取得された可能性があることが分かりました。KSB瀬戸内海放送が2026年10月22日13時52分に報じたものです。対象となる情報は氏名、生年月日、住所、メールアドレスなどで、実際に取得された情報の有無や範囲は調査中とされています。

今回の不正アクセスが確認されたのは、JR四国がメール配信に使用する外部サービスの運営元です。JR四国の鉄道運行システムや予約システムに侵入されたとする発表ではありません。同日、同社はPHPの重大な脆弱性に対する予防措置として公式Webサイトを一部停止していますが、こちらは別の事象です。

JR四国ツアーWeb会員への影響のサマリー

• 公表・報道日：2026年10月22日。KSB瀬戸内海放送がJR四国による発表を報道。
• 関係企業：四国旅客鉄道株式会社（JR四国）、株式会社ラクスライトクラウド（ブラストメール運営元）。
• 対象サービス：JR四国ツアーWeb会員向けメールマガジンの配信先情報。
• 影響規模：約30,000件。漏えいが確定した件数や、重複を除いた実人数を意味するものではありません。
• 対象情報：会員登録時に入力した氏名、生年月日、住所、メールアドレス。
• 確認状況：対象情報の一部を第三者が閲覧または取得した可能性を否定できず、範囲を調査中。
• JR四国は、不審なメール・SMSのリンクや添付ファイルを開かず、パスワードや認証コードを入力しないよう注意を呼びかけています。
• 同日実施した公式Webサイトの一部停止は、PHP脆弱性への予防対応であり、ブラストメールへの侵害とは切り分ける必要があります。

JR四国ツアーWeb会員の配信先情報が対象　生年月日・住所も含む

KSBの報道によると、JR四国がメールマガジンを配信していた「JR四国ツアーWeb会員」について、登録時に提供された氏名、生年月日、住所、メールアドレスが影響対象になっています。メールアドレスだけでなく、個人の特定や連絡内容の具体化につながる情報が組み合わされている点が特徴です。

ただし、約3万件という数字は漏えいの可能性がある登録情報の規模です。約3万人の情報がすべて持ち出されたと確定したものではありません。また、パスワードやクレジットカード情報が今回の対象に含まれたという情報はありません。

原因はブラストメール運営元への侵入　APIサーバー2台から情報を持ち出し

ブラストメールの親会社である株式会社ラクスは10月21日付の第2報で、第三者が運営子会社ラクスライトクラウドのAPI用サーバー2台へ侵入し、コマンドを実行した上で販売管理システムやサービスのデータベースへ接続し、情報を持ち出したことを公表しました。

同社によると、販売管理システムに保存されていた全契約者の会社名、担当者名、連絡先、契約・支払い履歴などが持ち出されています。さらに、一部契約者についてはメール配信先リストなどの漏えいも確認されています。ここでいう「一部契約者の配信先リストの漏えい確認」を、そのまま「JR四国の約3万件すべての漏えい確認」と読み替えることはできません。

ブラストメールへの不正アクセスは、多数の企業・自治体のメール配信に影響しています。公表済みの影響組織、登録件数および漏えいの確定・未確定の区別は、セキュリティ対策Labのブラストメール不正アクセス影響先まとめで整理しています。

氏名・生年月日・住所を用いた偽旅行案内やフィッシングに注意

氏名、生年月日、住所、メールアドレスが組み合わされると、旅行予約の確認、キャンペーン当選、会員情報の再確認などを装い、本人に関連があるように見せた連絡に悪用されるおそれがあります。これは想定される二次被害のリスクであり、今回の登録情報を利用した詐欺が確認されたことを意味しません。

利用者は、JR四国を名乗るメールやSMSから直接ログインせず、公式サイトや普段利用する正規の手段から通知内容を確認することが対策となります。問い合わせに必要な場合も、メール本文に記載された電話番号やURLをそのまま信用せず、公式窓口を確認してください。

なお、不審な連絡への気づきと社内報告の対応を点検する場合には、標的型攻撃メール訓練の基本と運用方法も参考になります。

同日のPHP脆弱性対応によるサイト停止は別事象

JR四国は10月22日午前11時頃から、プログラミング言語「PHP」の脆弱性への対応として、公式サイト内のページを順次停止しました。共同通信によると、列車運行情報のWeb閲覧や一部の予約に影響が生じた一方、列車の運行自体に影響はなく、チケットアプリ「しこくスマートえきちゃん」でのきっぷの購入・利用にも影響はないと説明しています。

この公式サイト停止について、共同通信は外部からの不正アクセスが確認されていないと報じました。メール配信委託先「ブラストメール」の不正アクセスとは原因・対象システムが異なり、同日に起きたという理由で両者を同一のサイバー攻撃と扱うことはできません。

メール配信委託先を利用する企業が確認したい事項

利用企業の担当部門は、配信先リストに保存した項目や会員登録期間、委託先での漏えい有無と確定範囲、対象者への連絡手段を整理する必要があります。氏名・住所・生年月日を外部配信サービスへ渡している場合は、メールアドレスだけを登録しているケースと二次被害の想定が異なります。

また、外部のメール配信サービスが停止した際には、利用者へ正規の情報を届ける代替手段と、偽通知が出回った場合の問い合わせ対応を同時に検討することが実務上の論点となります。

出典

• JR四国 メルマガ会員3万件の個人情報が漏えい可能性 クラウドサービスに不正アクセス ― KSB瀬戸内海放送（2026年10月22日）
• 【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について ― 株式会社ラクス（2026年10月21日）
• JR四国がサイト一時停止 PHP、運行情報に影響 ― 共同通信／熊本日日新聞（2026年10月22日）