2026年10月9日、JR東日本が「えきねっと」などで最大約206万件の情報漏えいの可能性を発表した。
「こっちは列車を予約したいだけなのに、あのパズルを何度も解かされる。なんで不正アクセスの方が入れるんだよ！」
そんな反応が出るのも無理はない。切符を買う前に障害物競走をさせられている気分なのに、いきなり情報漏えいのニュース。安全のために我慢してきた手間が、壮大なコントに見えてくる。
ただし、攻撃者がえきねっとのパズルを突破したと確認されたわけではない。実は入口が違う。
1. 何が起きた？
JR東日本の発表は、会員へメールを送るために利用していた外部サービスに関するものだ。メールアドレスを含む送信記録などが、第三者に閲覧・取得された可能性がある。
原因となったのは、IDCフロンティアが提供する「IDCFクラウド」での不正アクセス。同社は10月7日午前3時40分ごろから障害が発生し、データを使えなくして金銭を要求する種類の攻撃だったと発表。企業や自治体など495団体に影響があるとした。
ここは大切。「最大206万件がすべて盗まれた」と確認されたのではなく、「漏えいの可能性がある」。具体的な侵入経路も10月9日時点で調査中だった。
2. 一般人と攻撃者の入口は違う
普通の利用者が向き合うのは、予約サイトの画面だ。パズルなどの機械対策、ログイン、本人確認を経て、自分の列車を予約する。
一方、今回の発表対象は、外部の会社が提供するメール配信関連の仕組み。攻撃者が予約サイトの正面から入って会員情報を取得した、という説明ではない。
駅の改札が難攻不落でも、別の建物にある郵便の倉庫には別の鍵が必要。今回の構図はこれに近い。
利用者「改札に入れません！」
事件「別の建物で起きました」
利用者「は？？？？」
笑えるが、ここは事実関係として分けなければいけない。
3. あのパズルは何を確認している？
「私はロボットではありません」「信号機を選んでください」。
こうした確認の目的は、主に機械による大量アクセスや迷惑な操作を減らすことだ。人間の善悪を判定するものではないし、他人の情報を見る許可証でもない。
悪いことをする人間だって人間である。パズルを解けたからといって、他人の予約や何百万件もの情報を読める権利は発生しない。パズル、パスワード、追加の本人確認、データの閲覧制限はそれぞれ違う役割だ。
架空の会話をすると、
利用者「私は人間です！」
パズル「確認しました」
利用者「予約できますか？」
パズル「それは次の担当です」
人間であることは確認した。善人かは聞いていない。予約できるかすら別問題。
4. なぜ一般利用者の方が何度も止められる？
報道後には、「正解したのにまたパズル」「画面が重い」「金額が変わらない変更でも支払いの確認を求められる」といった不満が目立った。
一般論として、機械による不正操作を見分ける仕組みは、正しい利用者を疑ってしまうことがある。接続環境や通信の不具合によって余計な確認が増えることもある。
ただし、これらがえきねっとの個別の不具合の原因だと立証されたわけではない。利用者の体験と、技術的な原因の確定は分けよう。
それでも「こっちばかり頑張って防犯ゲームしていたのに」と感じるのは自然だ。
5. もしパズルを解いたら206万件が出てきたら？
ここからは完全に架空のコント。
攻撃者「会員情報を全部ください」
パズル「横断歩道をすべて選択してください」
攻撃者「選びました！」
パズル「正解！206万件をプレゼント！」
そんなわけがない。
もし本当に一問解いただけで情報を持ち出せるなら、もはや保護ではなく「206万件を賭けた脱出ゲーム」だ。今回そんな仕組みだったという証拠はない。
面白い例えと、実際に起きた事件を混同してはいけない。
6. 漏えいの可能性がある情報は？
JR東日本が10月9日に示した最大件数は次のとおり。
- えきねっと：約167万件。メールアドレス。法人向けのビジネスえきねっと会員は含まない。
- 大人の休日倶楽部：約39万件。メールアドレス、会員番号、生年月日、クレジットカードの有効期限。
合計は最大約206万「件」。206万人の異なる人が被害を受けたと確認された数ではない。
JR東日本は氏名、住所、電話番号、クレジットカード番号などは今回の漏えい可能性の対象ではないと説明した。カードの有効期限とカード番号は別物だ。
7. 利用者が気を付けること
メールアドレスだけでも「このサービスを使っている人」と分かれば、そっくりな偽メールを送りやすくなる。
JR東日本は対象者に準備ができ次第メールで通知するとした。だからこそ、本物の案内に見せた偽メールが紛れる可能性には注意したい。
「予約無効」「カードを更新」「今すぐ確認」と届いても、本文のリンクをいきなり押さず、普段使う公式サイトやアプリを自分で開いて確認する。不審な画面にパスワードを入力したなら、公式サイトから変更し、使い回した別のサービスも確認する。
今回の発表ではパスワード自体は漏えいの可能性がある情報に含まれていない。この発表だけで全員に緊急変更が必要だと断定するのも違う。続報は公式発表で確認しよう。
8. パズルを厳しくするだけでは足りない
パズルに意味がないわけではない。機械による大量の迷惑操作を抑える役割がある。
ただ、利用者が正面入口で苦労しても、外部サービスの情報の置き場所まで守ってくれるわけではない。預ける情報の量を減らし、閲覧できる人を絞り、異常を早く見つけ、止まっても復旧できるようにすることが必要だ。正しい利用者への過剰な負担も減らしたい。
今回どの対策が破られたかは、詳しい調査を待つ必要がある。
一番の皮肉は、一般ユーザーには難攻不落の改札。ニュースになった侵入先は、別の建物。
パズル「人間であることは確認しました」
利用者「じゃあ個人情報も安全？」
パズル「そこは担当していません」
……担当してくれ。
