スマートEX漏えい､「17万件」は3社の発表文にない

2026年10月26日の夜､「スマートEX」の名前が入った個人情報漏えいの報道が続けて出ました｡
見出しに並んだのは「予約システム」と「17万件」という言葉です｡
同じ日にJR東海･JR西日本･JR九州の3社が連名で出した発表文と､メール配信の委託先であるユミルリンク株式会社の適時開示(第二報)を読むと､この2つの言葉はどちらも発表文に同じ形では書かれていません｡
原資料から見出しまでの間で何が選ばれ､何が落ちたのかを確かめます｡

何が報じられたか
原典に当たる
報道との差分
なぜそうなったか
分からなかったこと
出典

何が報じられたか

10月26日21時19分､共同通信は「JR3社､予約システムの個人情報が漏えい」という見出しで配信しました｡
本文では件数を「確認中」としています｡
その後､中日BIZナビ(21時47分)は「最大17万件」､朝日新聞(22時12分)は「新幹線予約の個人情報17万件流出」､RKB毎日放送(22時16分)は「会員情報約17万件分流出」と､件数を見出しや本文に入れました｡
日本経済新聞は､委託先の漏えい総数と並べて「5162万件へ拡大 JR東海の新幹線予約も」という見出しを付けています｡

各社に共通する事実は次の3点です｡
原因はユミルリンク社への不正アクセスであること｡
漏えいした項目はメールアドレス･会員ID･カタカナ氏名･会員種別であること｡
クレジットカード番号や住所は含まれないこと｡

原典に当たる

3社連名の発表文(2026年10月26日付「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて」)の要点は次のとおりです｡

対象サービスは「エクスプレス予約」と「スマートＥＸ」｡
両サービスはユミルリンク社のメール配信サービスを使っていた
10月16日に同社が不正アクセスを受けた時点では､両サービスの利用者に「影響がない」と報告を受けていた｡
26日になって､第三者に閲覧または取得されたと連絡があった
「ＪＲ東海が保有する『エクスプレス予約』及び『スマートＥＸ』のシステムからの個人情報の漏えいは確認されていません」と明記している
漏えいした情報はメールアドレス､会員ＩＤ､氏名(カタカナ)､会員種別｡
生年月日･住所･電話番号･クレジットカード番号などは「漏えいの可能性はありません」
対象件数は「ユミルリンク株式会社にて確認中」
対象になるおそれがあるのは､配信サービス「Cuenote FC」で販売促進のメールや､熊本地震の影響で発車時刻が変わったことを知らせるメールなどを受け取った会員
同サービスの使用を停止し､同日に個人情報保護委員会へ報告した

ユミルリンク社の第二報(同日付､東証適時開示)には次のように書かれています｡
10月16日6時49分に担当者が異常に気付き､調査の結果､ライブラリの脆弱性を突かれて同社のサポート･品質管理担当者の認証情報を取られていたことが分かった｡
Cuenote FCで不正アクセスが試みられたのは81システム(複数企業が使う3システム､単一企業が使う78システム)｡
このうち49システムで情報漏洩の痕跡が見つかり､漏洩のおそれがある件数は延べ51,628,280件｡
16システムは件数を調べている最中で､延べ件数はこれから増える可能性がある｡
経緯表には､10月22日に全システムのログイン記録をさかのぼる調査を始め､25日21時45分に新たに42システムでデータ出力の記録を確認し､26日12時30分に42社へ連絡したと書かれています｡

報道との差分

項目	原資料	見出し･報道
漏れた場所	委託先のメール配信サービス｡ JR東海が保有する予約システムからの漏えいは「確認されていません」	共同の見出しは「予約システムの個人情報」
件数	3社の発表文では「確認中」	朝日･RKB･中日は17万件｡共同の本文は確認中
対象者	Cuenote FCで販促メールや熊本地震関連のメールを受け取った会員	朝日は本文で触れている｡見出しで限定した社は確認できなかった
5162万件	49システム分を合計した延べ件数｡ JR分の内訳はない	日経は見出しでJRと並べている

選択･省略･強調の3つで整理すると､見出しが選んだのは「スマートEX」「予約」という分かりやすいサービス名と大きな数字です｡
落ちたのは､漏れた場所が予約システムではなくメール配信の委託先だという点と､対象が一部のメールを受け取った会員に限られるという点です｡
強調されたのは件数で､この件数は3社の発表文には書かれていません｡

なぜそうなったか

1つ目は「予約システム」という言葉です｡
読む人にとって､スマートEXは予約サービスの名前です｡
短い見出しで「新幹線予約のメール配信を委託していた会社のシステム」と書くのは難しく､サービス名とシステムが1語にまとめられやすい構造があります｡
共同の本文は「予約システムに登録されたメールアドレス」としており､登録された場所としては間違っていません｡
ただし発表文が否定しているのは「予約システムから漏れた」ことであり､見出しの「予約システムの個人情報が漏えい」はその区別が読み取りにくい形になっています｡

2つ目は17万件です｡
3社の発表文は件数を「確認中」としていて､最初に出た共同の配信も同じ扱いでした｡
そのおよそ30分〜1時間後に出た3社の報道は､そろって約17万件と書いています｡
発表文とは別の場で示された数字を各社が取材で得た可能性はありますが､資料からは確認できません｡
配信時刻の差は､発表文だけで書いた記事と､追加の情報で書いた記事の差として説明できます｡

3つ目は｢当初は影響なし｣が変わった理由です｡
ユミルリンク社の経緯表では､さかのぼり調査で新たに42システムが見つかったのが25日夜､該当する42社に連絡したのが26日昼で､3社の発表は同じ26日です｡
時系列は合っていますが､JRの分がこの42システムに入っているかどうかは､どちらの資料にも書かれていません｡

4つ目は5162万件を並べることです｡
この数字は49システムの延べ件数の合計で､同じメールアドレスが別のシステムに入っていれば重ねて数えられます｡
JR分との比を出したり､JRがその一部だと読んだりできる内訳は公開されていません｡

分からなかったこと

17万件という数字の出どころは､3社の発表文とユミルリンク社の第二報からはたどれませんでした｡
3社それぞれの内訳も公表されていません｡
ユミルリンク社の「延べ件数」で重複をどう扱っているかは､第二報に定義が書かれていません｡
JRの分が10月25日に見つかった42システムに入るかどうかも分かりません｡
一部の報道は両サービスの総会員数にも触れていましたが､原典を確認できなかったため､この記事では数字を書いていません｡

出典

東海旅客鉄道･西日本旅客鉄道･九州旅客鉄道「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて」2026年10月26日 https://www.jrkyushu.co.jp/common/inc/news/newtopics/__icsFiles/afieldfile/2026/10/26/261026_info_ex-service_data_breach.pdf
ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告(第二報)」2026年10月26日 https://ssl4.eir-parts.net/doc/4372/tdnet/2898564/00.pdf
共同通信「JR3社､予約システムの個人情報が漏えい」2026年10月26日 https://news.yahoo.co.jp/articles/2e4ffc08bc0806e73e8b3a0e2e7f98dc93233144 (検出元: https://www.47news.jp/15142142.html)
朝日新聞「新幹線予約の個人情報17万件流出」2026年10月26日 https://news.yahoo.co.jp/articles/b7bca3752d568962d5fd9f47a56cbd8d0ce47b19
RKB毎日放送「『スマートEX』など新幹線ネット予約で会員情報約17万件分流出」2026年10月26日 https://news.yahoo.co.jp/articles/cb3139606b55a528fb07a14470d77ab1f5f4dc7f
中日BIZナビ「『エクスプレス予約』『スマートEX』のメール配信委託先から個人情報が流出」2026年10月26日 https://biz.chunichi.co.jp/news/article/10/132255/
日本経済新聞「ユミルリンクの情報漏洩､5162万件へ拡大 JR東海の新幹線予約も」2026年10月26日 https://www.nikkei.com/article/DGXZQOUC2698H0W6A021C2000000/