最終更新：10 月 24 日 19:48（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ メルマガに登録していた人 ／ メール配信を外部に任せている会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
東京メトロのイベントのメルマガに登録したメールアドレスが、配信を任せていた会社から漏れた事故（10 月 23 日の発表まで）
- 東京メトロがイベントのメールマガジン（メルマガ）を送るのに使っていた外部のサービス「ブラストメール」に、外から何者かが入り込んだ（不正アクセス）。登録した人のメールアドレス約 8 万件を取られた
- 取られたのはメールアドレスだけで、ほかの登録情報が取られた可能性はないとしている。イベント情報サイトとメルマガの登録・解除・配信は止まっている
- 登録していた人は、東京メトロを名乗る怪しいメールに気をつける。9 月のメトポ会員向けサービスの件とは別のお知らせ
どうすればいい？
よくある疑問と答え
-
自分は対象？
「東京メトロイベントメールマガジン」に登録していた人です。対象の人へ個別に連絡するかどうかは、お知らせに書かれていません。
→ 登録していた人がやること -
何が漏れた？
メールアドレスだけです。名前などほかの登録情報が取られた可能性はないとしています。
→ お知らせの内容 - パスワードは変えたほうがいい？ 取られたのはメールアドレスだけで、お知らせにパスワードの変更のお願いは書かれていません。気をつけるのは、東京メトロを名乗るメールです。
- 気をつけることは？ 東京メトロを名乗るメールが来ても、すぐにリンクや添付ファイルを開かないでください。最新の案内は、自分で開いた東京メトロの公式サイトで確かめます（この記事での整理）。
-
メトポの件と同じ？
別の件です。9 月 27 日のメトポ会員向けサービスの件は、東京メトロ側のサーバーへの不正なアクセスで、対象の人数も問い合わせ先も違います。
→ 2 つのお知らせのちがい -
メール配信を外部に任せている会社は？
ブラストメールを使っているなら、運営会社ラクスライトクラウドからの連絡と、個人情報保護委員会への連名報告の案内（申し込みは 10 月 29 日まで）を確かめます。
→ 配信を任せている会社がやること
詳しくは：メールマガジンに登録していた人 ／ メール配信を外部に任せている事業者
この記事では、東京メトロの情報漏洩（イベントのメールマガジンに登録されたメールアドレスの流出）について、東京メトロ（東京地下鉄株式会社）の 10 月 23 日のお知らせと、メール配信システム「ブラストメール」を提供するラクスライトクラウドのお知らせだけをもとに、何が起きたのかと、メルマガに登録していた人・メールの配信を外部のサービスに任せている事業者がやることを整理します。
何が起きたか
10 月 23 日のお知らせまでに分かっていることです。東京メトロによると、イベントのメールマガジンを送るのに使っている外部のメール配信サービス「ブラストメール」（運営：株式会社ラクスライトクラウド）で、不正アクセスが起きました。その結果、登録した人のメールアドレス約 8 万件が、第三者に取られたことが分かりました。
入り込まれたのは、東京メトロのシステムではなく、東京メトロが使っている外部のメール配信サービスの側です。
| 項目 | 内容 |
|---|---|
| 対象 | 東京メトロイベントメールマガジンに登録した人 |
| 取られた情報 | メールアドレス約 8 万件 |
| 含まれないもの | メールアドレス以外の登録情報（第三者に取られた可能性はないとしている） |
| 止まっているもの | 東京メトロイベント情報サイトと、メルマガの新規登録・登録解除・配信。安全を確かめ、復旧の作業が終わるまで止める |
| 問い合わせ先 | 問い合わせ窓口（03-6891-0026・平日 9:00〜17:00）と、この件の専用の問い合わせフォーム。この件専用のフリーダイヤルを開く手配をしている |
| 書かれていないこと | 不正アクセスの時期や経路、対象の人へ個別に連絡するかどうか、サービスの再開の時期。新しいことが分かれば、ホームページなどで知らせるとしている |
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 24 日 | ラクスライトクラウドがお知らせを更新（13 時 20 分）。配信先のリストなどの漏えいが確認された契約は 344 件で、すべてに個別の連絡を終えたと公表 |
| 10 月 23 日 | 東京メトロが、イベントメールマガジンに登録されたメールアドレス約 8 万件が第三者に取得されたと公表。イベント情報サイトと、メルマガの登録・解除・配信を止めた。同じ日、ラクスライトクラウドが個人情報保護委員会への連名報告の案内を公開（申し込みは 10 月 29 日まで） |
| 10 月 21 日 | 午前 0 時 30 分、ブラストメールが停止。メールの配信も午前 1 時ごろから止まる（ラクスライトクラウドのお知らせ） |
| 10 月 15 日 | （別の件）東京メトロが、メトポ会員向けサービスのお知らせを更新。影響の範囲は当初のお知らせから変わっていないと公表 |
| 9 月 27 日 | （別の件）東京メトロが、メトポ会員向けサービスへの不正なアクセスで、メールアドレス約 59,000 件が閲覧または取得された可能性があると公表 |
メールマガジンに登録していた人がやること
東京メトロのお願いです。メールアドレスが第三者に取られている可能性があるため、東京メトロを名乗る怪しいメールに十分に気をつけるよう呼びかけています。
- 東京メトロを名乗るメールが届いたら、すぐにリンクを開かない。添付ファイルを開いたり、心当たりのない案内に個人情報やパスワードを入れたりしない（この記事での整理）
- 最新の案内は、メールの中のリンクからではなく、ブックマークなどから東京メトロの公式サイトを開いて確かめる（この記事での整理）
- 聞きたいことは、問い合わせ窓口（03-6891-0026・平日 9:00〜17:00）か、専用の問い合わせフォームへ。この件専用のフリーダイヤルは開く手配をしているとしている
- メルマガの登録解除も止まっている。解除したい場合は、再開のお知らせを待つ（この記事での整理）
次に読む：個人情報が漏れたと連絡が来たときにやること ／ 同じ時期にメルマガを止めた千葉日報社の件と、不審メールの見分け方
メール配信を外部のサービスに任せている事業者がやること
メルマガやお知らせのメールを、外部の配信サービスで送っている会社向けです。ブラストメールを使っている会社には、ラクスライトクラウドの案内があります。
- ラクスライトクラウドからの個別の連絡が来ているかを確かめる。配信先のリストなどの漏えいが確認された契約には、個別に連絡を終えたとしている
- 個人情報保護委員会への報告を、ラクスライトクラウドとの連名にするかを決める。申し込みは 2026 年 10 月 29 日まで。連名報告は委員会への報告に限られる。配信先のリストなどの漏えいが確認された場合、読者など本人への通知は自社で行う
- 東京メトロのお知らせのように、取られた情報と含まれない情報、止めたもの、問い合わせ先、自社を名乗るメールへの注意を、自社のサイトのお知らせで伝える（この記事での整理）
ブラストメール以外の配信サービスを使っている会社も、預けている配信先のリストの中身と、事故のときに自社がやることを、この機会に確かめておくと安心です（この記事での整理）。
技術的な詳細（システム担当者向け）
ここからは、メール配信や外部サービスとの連携を担当しているエンジニア向けです。配信に使われていたサービスの側の状況です。ブラストメールは、株式会社ラクスの子会社で、メール配信のサービスを提供する株式会社ラクスライトクラウドのメール配信システムです。
| 観点 | 発表の内容 |
|---|---|
| 侵入と持ち出し | 外部の第三者が同社の API 用のサーバー 2 台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続して、データを持ち出した |
| 侵入の経路 | 詳細は調査中 |
| 契約者情報以外の漏えい | 配信先のリストなど、配信に関する情報の漏えいが確認された契約は 344 件。すべてに個別の連絡を終えた。外部機関の調査の進み具合によって変わる可能性がある |
| サービスの停止 | 2026 年 10 月 21 日 0 時 30 分から停止中で、管理画面と API が使えない。メールの配信も 10 月 21 日 1 時ごろから止まっている。再開の日時は未定 |
| 連名報告 | 個人情報保護委員会への報告に限られる。申し込みは 10 月 29 日まで。配信先リストの漏えいが確認された契約者は、本人への通知を自社で行う |
この記事での整理です。配信サービスが止まると、管理画面も API も使えず、配信先のリストを書き出すこともできなくなります。自社で配信先のリストの控えを持っているか、配信サービスとつないでいるフォームや会員の仕組みが止まったときにどうなるかを確かめておくと、復旧と本人への通知を進めやすくなります。
9 月のメトポ会員向けサービスの件とは別のお知らせ
東京メトロは、2026 年 9 月 27 日にも、メールアドレスに関わる別のお知らせを出しています。メトポ会員向けサービスで第三者による不正なアクセスが行われ、メールアドレスが閲覧または取得された可能性があるという件です。対象のサービスも問い合わせ先も違うので、登録しているサービスごとにお知らせを確かめてください。
| 項目 | イベントメールマガジン | メトポ会員向けサービス |
|---|---|---|
| 公表 | 2026 年 10 月 23 日 | 2026 年 9 月 27 日（10 月 15 日に更新） |
| 起きた場所 | 配信に使っていた外部のメール配信サービス（ブラストメール） | メールが送れないため東京メトロの側で配信を止めているメールアドレスを入れたサーバー |
| 対象の情報 | メールアドレス約 8 万件が第三者に取られた | メールアドレスが閲覧または取得された可能性（約 59,000 件）。サーバーにメールアドレス以外の会員情報は入っていない |
| 対象の人への連絡 | お知らせには書かれていない | メトロポイントクラブ事務局（i.metpo@tokyometro.jp）からメールで連絡する。別の手続きや外部サイトへの移動をお願いすることはないとしている |
| 問い合わせ先 | 03-6891-0026（平日 9:00〜17:00）と専用の問い合わせフォーム | 0120-162-837（9:00〜17:00）と専用の問い合わせフォーム |
メトポ会員向けサービスの件では、不正なアクセスをされた箇所を特定し、防ぐための対策をしたとしています。10 月 15 日の更新でも、影響の範囲は当初のお知らせから変わっていないとしています。10 月 23 日のイベントメールマガジンのお知らせは、この件との関係にはふれていません。
自社で見直すこと
メルマガの配信のように、顧客のメールアドレスを外部のサービスに預ける仕事は、多くの会社にあります。預けた先で事故が起きても、登録者への説明は自社にも求められます（この記事での整理）。
- メールアドレスを預けているサービスを一覧にする メール配信・フォーム・予約・ネットショップなど、顧客のメールアドレスを預けているサービスと、それぞれの事故のお知らせを見る場所を控えておく。
- 配信が止まったときの連絡の手段を決めておく 配信のサービスが止まると、メールでの連絡も登録解除もできなくなる。自社のサイトにお知らせを載せる手順と、問い合わせを受ける窓口を決めておく。
- 自社から送るメールの差出人を公式サイトに書いておく どのアドレスから、どんな内容のメールを送るかを公式サイトに書いておくと、自社を名乗るメールと見分けてもらいやすくなる。東京メトロがメトポの件で、送るアドレスと「お願いしないこと」を先に伝えたのも一つの方法。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、お知らせの掲載や安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
