東京メトロ、メトロポイントクラブのメールアドレス約5万9000件が閲覧の可能性

事案の概要データ

図解：この事故の構造

何が起きたのか

東京メトロは2026年9月27日、会員サービス「メトロポイントクラブ」が不正アクセスを受け、メールアドレス約5万9000件が閲覧または取得された可能性があると公表しました。防御措置を実施したうえで、原因を調査中としています。

鉄道の運行システムには影響していません。

「メールアドレスだけ」をどう受け止めるか

漏えいしたのがメールアドレスだけであれば、直接的な金銭被害にはつながりません。その意味では、氏名や口座情報が含まれる事案に比べれば軽い部類です。

ただし「東京メトロの会員であることが分かっているメールアドレス」というのは、攻撃者にとって価値があります。「メトロポイントクラブからのお知らせ」を装ったフィッシングメールを送れば、無関係な人に送るより格段に高い確率で開封されるからです。

そのため、この種の漏えいが起きたときは、「メールアドレスだけだから大丈夫」ではなく、「今後そのサービスを名乗るメールに注意してください」という案内をセットで出すことが重要になります。

交通系サービスの情報分離

この事案で評価できるのは、会員サービスへの侵害が鉄道の運行システムに波及しなかった点です。

2026年8月の中部電力の事案でも、業務システムへの侵害が電力供給システムに及ばなかったことが明示されました。重要インフラ事業者では、顧客向けのサービスと、インフラを制御するシステムを分離しておくことが基本になっています。

中小企業であれば、「事務所のパソコンがウイルスに感染しても、工場の機械や店舗のレジは動き続けるか」という問いに置き換えられます。

時系列で見る経過

• 2026年9月「メトロポイントクラブ」への不正アクセスが発生
• 2026年9月不正アクセスを検知し、防御措置を実施
• 2026年9月27日メールアドレス約5万9000件が閲覧または取得された可能性を公表
• 2026年9月27日以降原因と影響範囲の調査を継続

中小企業が学ぶべきポイント

1. メールアドレスだけの漏えいでも、その後のフィッシングの精度を上げる材料になる。
2. 漏えい時は「当社を装うメールに注意」という案内を必ずセットで出す。
3. 顧客向けサービスと、事業の根幹を支えるシステムはネットワークを分離する。
4. 影響していない範囲（運行への影響なし）を明示することで、無用な不安を抑えられる。

出典・参考

• 2026年9月のサイバー攻撃・不正アクセスまとめ - マイナビニュース