IDCFクラウドで止まったのは495の企業・自治体——JR東日本の609万件は、別の面で起きたメール漏えいのおそれ

2026年10月13日

データセンターのサーバーラックが並ぶイメージ（IDCFクラウドのランサムウェア被害に関する記事）

この記事のポイント

いつ：2026年10月7日午前3時40分ごろ、IDCFクラウド東日本リージョン1で障害が始まりました。報道で確認できる最新はIDCFの第4報（10月9日）で、10月13日時点でそれより新しい続報は確認できていません
何が：原因は第三者によるランサムウェア攻撃だとIDCFが説明しています。4ゾーンの顧客データは復元が困難な見通しで、復元は顧客自身のバックアップからのみです
数字の読み方：「495」は契約していて影響を受けた企業・自治体の数で、漏えい件数ではありません。JR東日本の約609万件は重複を含む延べ数で、足し算できません
読者への影響：個人情報の面は、メール配信用の外部サービス経由の漏えいの「おそれ」です。JR東日本は「閲覧または取得された可能性を否定できない」、JR九州は「漏えいの可能性」、Peachは「外部流出は確認されていない」と公表しています
すべきこと：会員はフィッシングに警戒し、事業者側はIDCF利用の有無とバックアップの置き場所を確かめます

本記事は2026年10月13日時点の公表情報にもとづきます。

10月7日午前3時40分、東日本リージョン1で障害——第4報までの経過

IDCFクラウドを提供するIDCフロンティアは、ソフトバンクの子会社です（時事通信）。ランサムウェアとは、データを暗号化し、解除と引き換えに金銭を要求する攻撃です。

10/7〜10/9の経過

日付	IDCFが述べたこと
10/7 午前3時40分ごろ	東日本リージョン1（データセンターの地理的なまとまり）で障害が発生
10/7 第2報	原因は第三者によるランサムウェア攻撃。影響を受けた契約者は495の企業・自治体。リージョン1を遮断して停止し、管理画面（管理コンソール）も一時停止（第2報）
10/8 第3報	影響ゾーン（リージョン内の区画）は4つ。顧客データは復元が困難な見通しで、復元は顧客自身のバックアップからのみ。別環境での再構築を案内（第3報）
10/9 第4報	ソフトバンクと連携し、顧客対応と調査・復旧を進めていると報告（マイナビの報道による）

第4報までに公表されていないこと——侵入経路・復旧時期・持ち出しの有無

「全495組織のデータが消失」とは確認されていません。復旧できる事業者もあると報じられています（ITmedia）。

侵入経路、復旧の時期、IDCF自身からの顧客データ持ち出しの有無は、公表されていません。

SNSでは、合計3.6PB（ペタバイト、約360万GB）を暗号化したという攻撃者名義の画像が拡散しましたが（BleepingComputer）、IDCFの公式確認はなく、被害規模の根拠にしていません。

報道ベースの影響先

サイトが見られなくなったと報じられたのは、茨城県庁、小平市、時事通信社、東武動物公園です。ニッスイは物流子会社の入出荷が止まりました（日本経済新聞）。各社の公式告知は確認できていません。

495の企業・自治体と、メールを受け取っていた個人——混ざりやすい2つの数字

JR東日本・JR九州・Peachの名前が、なぜIDCFの事案に出てくるのでしょうか。JR東日本は10月9日、IDCフロンティアの不正アクセスに伴う、メール配信用の外部サービスからの漏えいのおそれを発表しました。JR九州とPeachも、同じ事案での影響を公表しています。各社がIDCFクラウドをどう使っていたかの詳細は、公表されていません。

契約者の停止と、メール配信経由のおそれ

面1は、495の企業・自治体が受けた停止と復元困難の問題です。面2は、メール配信用の外部サービスを経由した個人情報の面で、約609万・約130万・約189万という件数で語られます。ただし3社の公表の強さは同じではありません（後述）。

母数も数え方も違うので、足しても意味がありません。495社の社名は公式には非公表です（ITmedia）。

面1の例が小平市です。10月8日、ホームページ保守の受託事業者のクラウド基盤が攻撃を受けたと公表しました。フォーム利用者の氏名・住所・電話番号は漏えいした可能性はあるものの、確認はされていません（ITmedia）。市は事業者名を公表せず、IDCFとの結びつけは報道によります。

JR東日本の609万件は重複を含む延べ数——自分が当事者かを確かめる

JR東日本の約609万件は、ビューカード約403万、えきねっと約167万、大人の休日倶楽部約39万の延べ数で、重複を含み、人数ではありません。件数と人数が一致しない例は、当サイトが別の事案として扱った大和証券の漏えいの記事でも取り上げています。

3社の公表内容を比べる

	JR東日本	JR九州	Peach Aviation
件数	延べ約609万件	Web会員のメールアドレス最大約130万件	対象システムの件数は約189万件
情報項目	氏名・住所・電話番号・カード番号は対象外。大人の休日倶楽部は会員番号・カード有効期限・生年月日を含む可能性	メールアドレス	メールアドレス・氏名（英字）・電話番号・予約番号・旅程内容
状態	閲覧または取得された可能性を否定できない	漏えいの可能性	外部流出は確認されていない

出典はJR東日本、JR九州の報道、Peachです。いずれの公表も、漏えいが確定したとは述べていません。

対象になりうるのは誰か

個別通知が届くのか、届くならいつなのかは、公表を確認できていません。現時点では、自分がどのサービスに登録しているかから当たりをつけることになります。

対象は、JR東日本ならビューカード・えきねっと・大人の休日倶楽部の会員、JR九州ならWeb会員です。Peachは旅程表メールなどの配信に関わるシステムの件数を公表しています。登録していれば当事者の可能性があります。

JR東日本が対象外と明示したのは氏名・住所・電話番号・カード番号で、パスワードについての言及は確認できていません。JR九州とPeachについては、カード情報の扱いもパスワードの扱いも、公表を確認できていません。最終的には各社の公式発表で確かめてください。

メールアドレスが流出した前提で気をつけること

以下は公的ガイダンスではなく、編集部の一般的な注意です。

本物らしいメールでも本文のリンクは開かず、公式アプリやブックマークから確認する
Peachは予約番号や旅程内容が対象に含まれるため、予約変更を装う連絡が本物らしく見えることがある。内容が自分の予約と合っていても、本物の証拠にならない
大人の休日倶楽部は生年月日などを含む可能性があるため、入力を求めるページが現れたら手を止める

J:COMは9月、IDCFは10月——「サービスが戻るか」と「データが戻るか」の違い

J:COMでは9月23日、DNSサーバの高負荷で最大約408万件に影響が出ました。これは当サイトでもJ:COM障害の原因はDNS高負荷として扱った別の事案で、IDCFとは関係がありません。

J:COMとIDCFの原因・復旧の違い

	J:COM	IDCF
攻撃かどうか	DDoSかは調査中	ランサムウェア攻撃と公表
サービスの見通し	約9時間続いて復旧（当サイト既報）	全面復旧の時期は示されていない
データの見通し	喪失の公表は確認できていない	復元は困難な見通しで、顧客のバックアップ頼み

ここからは一般的な整理であり、公式説明ではありません。停止は原因が取り除かれれば戻るのが一般的ですが、攻撃でデータが暗号化された場合は、事業者側で戻せないことがあります。J:COMはDDoSかどうかが調査中のため、「障害か攻撃か」で分けず、サービスとデータのどちらが戻るかで見比べるのが編集部の見方です。