對象：註冊eki-net或大人的休假俱樂部（JR東日本）、VIEW's NET（VIEW Card）或JR九州Web會員的人，以及委託外部服務寄送會員電子郵件的企業與機構人員。本文根據JR東日本、VIEW Card與JR九州的官方公告，以及發生未經授權存取之雲端服務供應商的通知撰寫，不涉及攻擊手法。
處理中：本文將隨機構公布更多資訊而更新
截至2026年10月19日尚未得知
- 大人的休假俱樂部會員與VIEW Card的後續說明（JR九州：未確認外洩；eki-net：已接獲未發生外洩的通知）
- 確切受影響者（VIEW Card仍在確認中）
- 雲端服務供應商遭入侵的方式
- 道歉郵件寄出時間
- 電子郵件寄送恢復時間
雲端服務供應商於10月14日的第5份報告中表示，在受影響區域的虛擬伺服器中，未發現資料遭查閱或帶離的跡象，並判定沒有資料對外洩漏。接獲上述調查結果後，JR九州於10月15日公布未確認外洩，並表示將寄送電子郵件通知可能受影響的會員。eki-net網站也表示，電子郵件發送服務公司報告已判定eki-net會員的個人資料未外洩。至於大人的休假俱樂部會員與VIEW Card，截至10月19日，我們未找到後續說明。
會員今天應該做什麼
確認自己是否可能受影響
若您註冊了以下任一服務，即可能受影響。人數依各公司所公布的數字，JR東日本與JR九州所列為上限。
- eki-net會員：約167萬人（不含Business eki-net會員）
- 大人的休假俱樂部會員：約39萬人
- VIEW Card會員網站VIEW's NET的使用者：約403萬個電子郵件地址（附有ii標誌的卡片與VIEW法人卡不在範圍內）
- JR九州Web會員：約130萬人
同一個人可能以相同地址註冊多項服務，因此將數字相加並不等於人數。三家公司表示將寄信給可能受影響的人，但在郵件寄達前，請依下列步驟做好準備。
不要從郵件中的連結登入
接下來幾週，若收到自稱來自eki-net、VIEW Card、JR九州、JRE POINT等的郵件或簡訊，請決定不開啟內文中的連結。偽造郵件常用的理由包括：
- 「您的帳戶已被限制」或「自動退會手續」
- 「您的點數即將到期」或「我們將退還您的點數」
- 「需要重新登錄卡片資料」或「為確認身分請更新資料」
VIEW Card表示，若地址已外洩，可能會有可疑郵件寄到這些地址。
確認時，請使用官方應用程式或自己的書籤
若郵件讓您擔心，請關閉郵件，並透過您自己開啟的入口登入：
- 手機中已安裝的官方應用程式
- 您先前自行加入書籤的官方網站
- 官方網站的公告頁面，而非搜尋結果中的廣告
若您的帳戶確實需要處理，登入後的畫面或官方網站的公告中也應會出現相同說明。若沒有，即可忽略該郵件。
也不要依道歉郵件中的連結行事
三家公司表示，準備就緒後會寄送道歉郵件給可能受影響的人。由於真正的道歉郵件已在預期之中，假冒的道歉郵件會更難辨別。
請將道歉郵件視為您屬於受影響範圍的通知，不要在連結頁面上變更密碼或輸入資料。請比對官方網站公告中是否出現相同說明，以確認內容。
若已輸入資料，請立即變更並通報
若您在偽造網站輸入了帳號與密碼，請透過官方應用程式或官方網站變更密碼。若您在其他服務也使用相同密碼，也請一併變更（見如何選擇密碼管理工具）。
若您輸入了卡號或安全碼，請聯絡發卡機構，詢問停卡與補發事宜。VIEW Card的聯絡方式載於其公告中，即VIEW Card服務中心（03-6685-7000，9:00至17:30）。請使用您在官方網站確認過的電話號碼，而非郵件中寫的號碼。
大人的休假俱樂部會員應知道的事
根據JR東日本，大人的休假俱樂部會員除電子郵件地址外，會員編號、信用卡有效期限與出生日期也可能已外洩。卡號、姓名、地址與電話號碼不在範圍內。
- 線上付款通常需要卡號，因此僅憑有效期限與出生日期就用來付款的可能性不高
- 另一方面，一封正確載有您的會員編號、出生日期與有效期限的偽造郵件看起來會很真實。知道正確資料，並不代表寄件人就是真的
- 過去有報導指出，假冒eki-net的偽造網站會要求輸入出生日期、卡片有效期限，甚至安全碼。若有任何流程要求您為「確認」而輸入資料，請勿配合
- 若您將出生日期用作卡片提款密碼或密碼，請趁現在變更
發生了什麼事（依三家公司的公告）
JR東日本、VIEW Card與JR九州各自於2026年10月9日發布公告。三家公司均表示，其用來寄送會員電子郵件的外部電子郵件發送服務，因雲端服務供應商發生未經授權存取而受到影響。公告並未說明三家公司是否使用同一家電子郵件發送服務。
2026年10月7日（週三）約凌晨3時40分
雲端服務供應商雲端平台的部分區域，因第三方未經授權存取而發生障礙（依該供應商說明）。同日，該供應商將原因歸為勒索軟體攻擊，並將受影響區域與網路隔離。10月7日
根據VIEW Card，該公司得知其使用的外部電子郵件發送服務部分無法使用，且電子郵件地址可能已外洩。10月8日
雲端服務供應商發布第3份報告：受影響的企業與地方政府共495家，受影響區域內儲存的資料預計難以取回或復原。10月9日
JR東日本、VIEW Card與JR九州宣布，電子郵件地址等資料可能已外洩。會員電子郵件發送部分無法使用。雲端服務供應商發布第4份報告，說明其因應架構。10月10日
本站查核了三家公司與雲端服務供應商的公告頁面。無後續說明。10月14日
雲端服務供應商發布第5份報告。其在受影響區域的虛擬伺服器中，未發現資料遭查閱或帶離的痕跡，亦無相關事實佐證，並判定沒有資料對外洩漏。報告表示，目前尚未發現資訊遭不當利用或其他二次損害。未受影響的區域仍在調查，以確認其安全。此外，該供應商也公布，其客戶管理入口網站中有48家客戶企業的登錄資料遭不當查詢（但未發現被帶離的痕跡）。10月15日
JR九州發布續報：根據供應商的調查結果，未確認約130萬名JR九州Web會員的電子郵件地址外洩。其電子報將於系統安全性重新確認後恢復發送。eki-net網站表示，當日電子郵件發送服務公司告知其，eki-net會員個人資料未外洩（10月19日查核）。10月18日
雲端服務供應商發布第6份報告：安全性確認已完成，正在恢復備份服務（快照功能仍暫停）。
- JR東日本：eki-net
- 約167萬名會員（上限）。電子郵件地址。不含Business eki-net會員
- JR東日本：大人的休假俱樂部
- 約39萬名會員（上限）。電子郵件地址、會員編號、信用卡有效期限、出生日期
- VIEW Card：VIEW's NET
- 約403萬個電子郵件地址。附有ii標誌的卡片與VIEW法人卡不在範圍內。受影響者確認作業進行中
- JR九州：JR九州Web會員
- 約130萬人（上限）。電子郵件地址。電子報的主旨與內文亦不在範圍內
- 不在範圍內
- 姓名、地址、電話號碼、信用卡號及類似資料（三家皆然）
- 外洩階段
- 包含電子郵件地址的郵件紀錄資料，「無法排除」已被閱覽或取得（JR東日本、JR九州，10月9日）。JR九州其後表示未確認外洩（10月15日）
- 服務影響
- 會員電子郵件發送部分無法使用。JR九州無法寄送電子報
- 後續處理
- 準備就緒後，將個別寄送道歉郵件給可能受影響的人（三家皆然）。VIEW Card表示，將與電子郵件發送服務的營運商檢討安全措施
- 聯絡方式
- VIEW Card服務中心 03-6685-7000（9:00至17:30；載於其公告）
其他企業也就同一雲端平台遭未經授權存取一事公布了影響。例如高島屋於10月9日表示，其「高島屋網路商店」及其他網站電子報的發送承包商所使用的雲端平台發生障礙，會員電子郵件地址等資料存放於該處。該公司表示，截至10月9日，尚未確認會員資料外洩。
已知與未知事項
以下為2026年10月19日的狀態。待後續說明發布後，我們將更新此表。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 雲端服務供應商遭未經授權存取 | 第三方勒索軟體攻擊（依該供應商說明） | 已確認 |
| 對三家公司電子郵件發送的影響 | 會員電子郵件發送部分無法使用 | 已確認 |
| 電子郵件地址與其他資料外洩 | 無法排除資料已被閱覽或取得（三家公司10月9日公告）。JR九州於10月15日表示未確認外洩；eki-net表示已接獲未發生外洩的通知 | JR九州：未確認外洩／eki-net：已接獲未外洩通知／大人的休假俱樂部、VIEW Card：無後續說明 |
| 可能外洩的項目 | eki-net、VIEW's NET、JR九州Web會員：電子郵件地址。大人的休假俱樂部：電子郵件地址、會員編號、卡片有效期限、出生日期 | 已公布 |
| 姓名、地址、電話號碼、卡號 | 無外洩之虞（三家皆然） | 已公布為範圍外 |
| 人數 | eki-net約167萬、大人的休假俱樂部約39萬、VIEW's NET約403萬、JR九州Web會員約130萬（JR東日本與JR九州公布的是上限；VIEW Card的數字未標示為上限） | 已公布 |
| 確切受影響者 | VIEW Card仍在確認中 | 調查中 |
| 入侵方式 | 供應商調查中（第5份報告中仍未公開） | 調查中 |
| 虛擬伺服器內資料是否遭帶離 | 受影響區域的虛擬伺服器中，未發現資料遭查閱或帶離的痕跡；供應商判定沒有資料對外洩漏（供應商10月14日第5份報告）。JR九州據此表示未確認外洩，eki-net表示已接獲未外洩通知；大人的休假俱樂部會員或VIEW Card無後續說明（截至10月19日） | 供應商報告未外洩 |
| 個別道歉郵件 | 準備就緒後寄出（三家公司，10月9日）。JR九州將寄送郵件告知受影響會員未確認外洩（10月15日） | 已規劃 |
| 電子郵件發送恢復 | JR九州電子報將於系統安全性重新確認後恢復（無日期） | 未定 |
僅有電子郵件地址可能造成什麼影響
已公布的核心項目是電子郵件地址。單靠電子郵件地址，無法讓人登入您的帳戶或使用您的卡片。一般而言，可能發生的情況包括：
- 知道該地址屬於eki-net會員後，寄來假冒eki-net的偽造郵件
- 在搭乘鐵路人潮增加的時期（新年假期、連假），寄來以訂位或點數為理由的偽造郵件
- 若您在多項服務使用同一地址，可能被一併鎖定
假冒eki-net的偽造郵件，早在本事件之前就已多次被通報。本事件是否使這類郵件增加，目前不得而知，但無論如何，應對方式都相同。
JR東日本
eki-net、大人的休假俱樂部
VIEW Card
VIEW's NET
JR九州
JR九州Web會員
↓ 會員電子郵件交由外部服務寄送（傳遞地址及其他資料）
外部電子郵件發送服務
保存收件地址與發送紀錄（日誌）
↓ 運作於
雲端服務供應商的平台
10月7日遭勒索軟體攻擊；495家企業與地方政府受影響（依該供應商說明）
本站觀點：會員編號或出生日期正確，並不能證明郵件為真
此次，大人的休假俱樂部除電子郵件地址外，還涉及會員編號、出生日期與卡片有效期限等通常僅在會員與公司之間使用的資訊。當這些資料在郵件中正確出現時，人很容易相信其為真。
判斷標準應是「您從哪裡開啟頁面」，而非「資料是否正確」。若您自行開啟的官方應用程式或書籤頁面中沒有相同公告，無論郵件多麼精準，都不要依其行事。此標準適用於任何自稱來自任一公司的郵件。
致委託外部服務寄送會員電子郵件的企業與機構
事件原因尚未詳細公布，因此本節不評斷雲端服務供應商的安全性。已公布的事實顯示，您交給電子郵件發送委外廠商的資料內容，決定了外洩時的風險大小。此次部分服務只交出了電子郵件地址，另一些服務則也將出生日期與會員編號交給了廠商。
列出您交給廠商的項目
請逐一列出各項服務交給電子郵件發送服務的項目。除收件地址外，也請檢查是否將姓名、會員編號、出生日期、點數餘額或卡片有效期限交出，用以合併到郵件內文中。
也請確認發送紀錄（寄送日誌）或過去寄出郵件的內文是否仍保存於廠商處。JR東日本與JR九州將可能外洩的資料描述為「電子郵件日誌資料」。
減少交出的項目，並設定日誌保存期限
不需要用於合併的項目就不要交出。即使生日郵件需要日期，也可考慮以「本月生日」等衍生值取代出生日期本身。
請在契約中規定廠商保存的發送日誌與郵寄名單的保存期限，並於期限屆滿時要求刪除。也請確認已退會會員的地址是否仍留在郵寄名單中。
掌握委外廠商所使用的雲端
如本次事件所示，問題可能不在委外廠商本身，而在其使用的雲端平台。請要求廠商提供其保存資料的雲端與分包商清單，並確認其通知障礙或外洩的期限。
根據日本《個人資訊保護法》，委託處理個人資料的業者，必須監督受託方。通報義務與對當事人的通知，已在TEMAIRAZU事件中說明。
在服務中斷時，準備其他聯絡方式
三家公司都發現會員電子郵件發送部分無法使用，但仍需寄送道歉郵件給受影響的人。請預先決定，當寄送服務無法使用時，要以什麼方式通知人（會員網站或應用程式的公告、備用寄送管道）。
雲端服務供應商起初表示，受影響區域的資料預計難以取回或復原。其於10月14日的第5份報告中表示，已確認備份資料安全，且在受影響的495家企業與地方政府中，使用其快照功能（可保存某一時點資料狀態的功能）的194家客戶，可以取回備份資料。10月18日的第6份報告則表示，安全性確認已完成，正在恢復備份服務（快照功能仍暫停）。請將郵寄名單的原本保存在自己這一端，避免只存在於委外廠商處（見備份基礎）。
關於客戶如何因應提供者發生事故，請見當您的網站主機供應商遭入侵時；至於勒索軟體本身，請見什麼是勒索軟體。
資料來源（公開紀錄）
本文事實根據以下公開資訊撰寫。我們未推測未公布的數字、入侵手法或資料是否遭帶離。依照本站政策，文中以角色稱呼雲端服務供應商與電子郵件發送服務。
- 東日本旅客鐵道株式會社，〈關於〔雲端服務供應商〕發生未經授權存取所致之電子郵件發送用外部服務電子郵件地址等可能外洩〉（2026年10月9日，日文） — jreast.co.jp
- 株式會社VIEW Card，〈關於〔雲端服務供應商〕發生未經授權存取所致之電子郵件發送用外部服務電子郵件地址可能外洩〉（2026年10月9日，日文） — jreast.co.jp
- 九州旅客鐵道株式會社，〈關於〔雲端服務供應商〕發生未經授權存取所致之電子郵件地址等可能外洩〉（2026年10月9日，日文） — jrkyushu.co.jp
- 雲端服務供應商，〈【第2報】關於本公司部分服務系統遭未經授權存取〉（2026年10月7日，日文） — idcf.jp
- 雲端服務供應商，〈【第3報】因本公司部分服務系統遭未經授權存取所致之障礙〉（2026年10月8日，日文） — idcf.jp
- 雲端服務供應商，〈【第4報】針對未經授權存取所致障礙的因應體制〉（2026年10月9日，日文） — idcf.jp
- 雲端服務供應商，〈【第5報】未經授權存取所致障礙之調查進度〉（2026年10月14日，日文） — idcf.jp
- 雲端服務供應商，〈【第6報】備份服務恢復提供〉（2026年10月18日，日文） — idcf.jp
- 九州旅客鐵道株式會社，〈關於〔雲端服務供應商〕發生未經授權存取所致之電子郵件地址等可能外洩（續報）〉（2026年10月15日，日文） — jrkyushu.co.jp
- eki-net（JR東日本）首頁重要公告（2026年10月19日查核，日文） — eki-net.com
- 株式會社高島屋，〈暫停「高島屋網路商店」、TBEAUT與Takashimaya Fashion Square電子報發送之致歉與通知〉（2026年10月9日，日文） — takashimaya.co.jp
- 過去假冒eki-net的偽造郵件案例：INTERNET Watch，警告假冒JR東日本、主旨為「[eki-net] 已確認的資訊」的網路釣魚郵件（2022年1月5日，日文） — internet.watch.impress.co.jp
更新紀錄
2026-10-19：反映JR九州的續報（10月15日：未確認外洩）、eki-net的公告（已接獲eki-net會員個人資料未外洩的報告），以及雲端服務供應商第6份報告（10月18日：備份服務恢復）。截至10月19日，大人的休假俱樂部會員與VIEW Card仍無後續說明。
2026-10-15：反映雲端服務供應商第5份報告（10月14日）：該供應商判定受影響區域虛擬伺服器的資料未對外洩，部分客戶可取回備份資料。截至10月15日，JR東日本、VIEW Card與JR九州的公告頁面均無續報（本站依各公司清單查核）。
2026-10-11：更正人數的描述（JR東日本與JR九州公布的是上限；VIEW Card約403萬的數字未標示為上限）。
2026-10-10：初版，依據JR東日本、VIEW Card與JR九州10月9日的公告，以及雲端服務供應商第1至第4份報告（10月7日至9日）撰寫。截至10月10日無後續說明。
延伸閱讀
- 另一起電子郵件發送業者事件：電子郵件發送服務「Blastmail」遭未經授權存取
- 辨識偽造郵件：什麼是網路釣魚 ／ 您自己的電子郵件地址寄出垃圾郵件
- 保護帳戶：如何選擇多因素驗證 ／ 如何選擇密碼管理工具
- 委外廠商與提供者事件：TEMAIRAZU事件 ／ 當您的網站主機供應商遭入侵時 ／ 防災通知服務SpeeCAN RAIDEN遭未經授權存取 ／ Ymirlink的電子郵件發送服務Cuenote FC遭未經授權存取
- 以電子郵件地址為核心的事件：卡普空CAPCOM ID遭入侵事件
- 2026年其他事件：2026年資料外洩與網路攻擊一覽（日本及全球）