【インシデント速報】2026年10月4日｜東京メトロ約5.9万件メール漏えい・イープラス返金システム不正アクセス・エネルギー研フィッシング被害
公開
今日のポイント（3行以内）:
①大手の東京メトロでも、別のトラブル調査中に「偶然」不正アクセスが発覚した。②本体サイトではなく「返金システム」「クラウドのメールアカウント」といった脇のシステムが突破口になっている。③完璧な壁より「早く気づく仕組み」と多要素認証（MFA）が、中小企業の現実的な防衛線になる。
東京メトロ「メトロポイントクラブ（メトポ）」約5.9万件のメールアドレス漏えい
東京地下鉄（東京メトロ）は、ポイントサービス「メトロポイントクラブ（メトポ）」の会員サイトが海外からと見られる第三者による不正アクセスを受け、約59,000件のメールアドレスが外部に漏えいした可能性があると公表した。漏えいの対象として確認されているのはメールアドレスで、クレジットカード情報などの漏えいについては言及されていない。
注目すべきは発覚の経緯だ。9月20日にメール配信サービスの不具合を検知し、その原因を調査する過程で、9月25日に「通常では考えにくい異常なアクセス記録」が見つかった。これをきっかけに第三者による不正アクセスが確認され、9月27日に公表に至っている。つまり、攻撃そのものを検知したのではなく、別のトラブルを追いかけていて初めて気づいた形だ。
上場企業で専任のセキュリティ体制を持つ東京メトロですら、不正アクセスを直接検知できず、別件の調査中に偶然たどり着いた。裏を返せば、監視の目が届いていない会員系・ポイント系のシステムは、気づかれないまま長期間アクセスされ得るということである。メールアドレスだけでも、流出すれば利用者を狙ったフィッシングメールの送り先リストとして悪用される危険があり、「メールアドレスのみだから軽い」とは言い切れない点にも注意したい。
中小企業への影響
自社の会員サイトや予約・ポイントシステムが不正アクセスを受けても、「何か動作がおかしい」という別の形でしか表面化しないことが多い。アラートが鳴るのを待っているだけでは、漏えいに数週間〜数か月気づけない。ログが残っていなければ、発覚しても「いつ・どこから・何件」が追えず、謝罪も対応も後手に回る。
推奨対応
- 会員サイト・管理画面のアクセスログを必ず保存し、最低でも週1回は海外IPや深夜の大量アクセスがないか目視確認する
- 管理画面・会員データベースへのログインに多要素認証（MFA）を設定し、海外IPからのアクセスは原則ブロックする
- 「普段と違うアクセスが出たら管理者にメール通知」といった最低限のアラートを仕込み、気づくまでの時間を短縮する
このインシデントは継続追跡中です（詳細記事は順次公開予定）
イープラス（e+）返金管理システムへの不正アクセス、1,463名の個人情報漏えいの可能性
電子チケットサービス「e+（イープラス）」を運営するイープラスは、チケット払い戻しに関する返金情報を管理するシステムが第三者による不正アクセスを受け、返金を申請した1,463名分の個人情報が漏えいした可能性があると9月29日に公表した。対象は払い戻し手続きを行った利用者で、公表時点で漏えいの可能性が示されている。
この事例のポイントは、突破されたのがチケット販売の本体システムではなく「返金管理システム」という脇の仕組みだった点にある。本体の決済基盤は厳重に守っていても、返金処理・問い合わせ対応・キャンペーン応募といった周辺システムは、運用上の必要から外部委託や簡易な作りになっていることが多く、そこが狙われた。返金申請という性質上、氏名や連絡先に加えて口座・取引に関する情報が集まりやすく、たとえ件数が1,463名と限られていても、一人あたりの情報の濃さは軽視できない。
中小企業への影響
自社が「守るべき場所」として思い浮かべるのは、たいてい決済や会員登録といった主要機能だ。しかし攻撃者は、キャンペーンフォーム、問い合わせ管理、返金・返品処理、外部に委託した小さなツールなど、管理の目が薄いサブシステムから入ってくる。守る範囲を本体だけに絞っていると、脇から抜かれる。
推奨対応
- 自社で使っている「主要でないシステム」（フォーム、返金・問い合わせ管理、外注ツール等）を一度棚卸しし、どこに個人情報があるかを洗い出す
- それぞれのシステムに誰がアクセスできるかを見直し、不要なアカウント・過剰な権限を削除する
- 外部委託しているシステムは、委託先のセキュリティ対策と漏えい時の連絡体制を契約書で確認しておく
日本エネルギー経済研究所、フィッシングでMicrosoft 365アカウント6件が乗っ取り被害
日本エネルギー経済研究所は、フィッシング攻撃によって職員のMicrosoft 365アカウント6件が第三者に乗っ取られ、メールやファイルの閲覧・ダウンロードが行われた可能性があると公表した。外部機関からの通知（7月29日）によって問題が判明し、専門家と連携して調査を進めたうえで公表された。
手口はフィッシング、つまり本物そっくりの偽ログイン画面などでID・パスワードを盗み取るものだ。1つのアカウントが乗っ取られれば、その人のメール本文も、クラウド上に保存された添付ファイルも、まとめて攻撃者の手に渡る。今回は6アカウントに広がっており、1通の巧妙なメールが組織全体の情報流出につながることを示している。さらに今回は、自社で異常を検知したのではなく外部機関からの通知で発覚しており、乗っ取られてから気づくまでに時間が空いていたとみられる。クラウドは「ログインできてしまえば社外からでも中身が見える」ため、乗っ取りに早く気づけるかどうかが被害の大きさを左右する。
中小企業への影響
Microsoft 365やGoogle Workspaceを使う中小企業は、いまやごく普通だ。これらはID・パスワードさえ分かれば、社外のどこからでもログインできてしまう。フィッシングは経営者もベテラン社員も踏む。パスワードだけで守っているクラウドは、1人が騙された時点で全情報にアクセスされる状態にある。
推奨対応
- Microsoft 365／Google Workspace等の全アカウントで多要素認証（MFA）を必須にする（これだけでアカウント乗っ取りの大半は防げる）
- 「不審なメールのリンクは踏まない・IDとパスワードを入力しない」を全社員に周知し、定期的に偽メール訓練を行う
- クラウドのサインインログ（海外からのログイン、短時間での大量アクセス等）のアラートを有効にし、乗っ取りを早期に検知する
編集部まとめ
今回の3件に共通するのは「正面の壁より、脇の抜け道と気づく力」だ。大手でも攻撃は直接検知できず、狙われたのは返金システムやクラウドのメールアカウントだった。中小企業が今日できるのは、全アカウントへの多要素認証と、ログを残して異常に早く気づく仕組みづくり。完璧を目指すより、この2つを先に固めることが被害を小さくする。