四国旅客鉄道（JR四国）は2026年10月22日、メールマガジンの配信に利用している株式会社ラクスライトクラウドのサービスで第三者による不正アクセスが発生し、「JR四国ツアーWeb メールマガジン」の登録者最大約3万件の個人情報が漏えいした可能性があると発表した。対象となりうるのは、登録時に入力された氏名、生年月日、住所、メールアドレスである。現在、メールマガジンは配信できない状態になっている。
配信ツールとして使っていた外部サービスが被害に
JR四国によると、同社は「JR四国ツアーWeb メールマガジン」の配信ツールとして、ラクスライトクラウドが提供するメール配信サービス「blastmail」を利用していた。今回の不正アクセスは、このサービス側で発生したもので、JR四国自身のシステムへの侵入について同社は触れていない。
漏えいした可能性があるのは、同メールマガジンに登録した利用者の個人情報で、対象件数は最大で約3万件。同社は、一部の利用者の個人情報が閲覧または取得された可能性を否定できない状況だとしている。漏えいの有無や範囲は現在調査中である。
同社は、新たな事実が判明しだい速やかに知らせるとしており、対象となる可能性のある利用者には、準備が整いしだい、おわびの電子メールを順次送るという。
偽のメールやSMSに注意を呼びかけ
JR四国は利用者に対し、同社や関係会社を装った不審なメールやSMS（携帯電話番号宛てに届く短いメッセージ）に注意するよう呼びかけている。不審なメールに記載されたURLにアクセスしたり、添付ファイルを開いたり、パスワードや認証コードを入力したりしないよう求めている。
今回対象となりうる情報には、氏名やメールアドレスに加えて、生年月日と住所も含まれる。旅行商品の案内を受け取るために登録した情報であるため、ツアーの予約確認や旅行代金の案内を装ったメールは、本物と誤認されるおそれがある。心当たりのない連絡は、メール内のリンクからではなく、公式サイトなどの正規の窓口から確認するのが安全である。
委託先への攻撃でも、情報が漏れる可能性
メール配信や顧客管理などをクラウドサービスに任せる企業は多い。今回のように委託先のサービスへの攻撃で個人情報の漏えいが懸念される場合も、利用者にとっては「JR四国に登録した情報が漏れたかもしれない」という問題になる。発表や利用者への連絡、問い合わせ対応を担うのも、委託した企業自身である。
外部サービスを選ぶ際は、機能や価格だけでなく、セキュリティ対策の状況や、事故が起きたときにどの程度速やかに報告を受けられるかを確認しておきたい。また、メールマガジンの配信に生年月日や住所まで本当に必要なのかを見直し、預ける情報を必要最小限に絞ることも、被害を小さくするための有効な備えになる。
同じ手口に、自社は備えられていますか？