東京メトロ「メトポ」約5万9千件の情報漏えいの可能性、漏れたメールアドレスで何をされるのかまとめました

2026年9月27日、東京地下鉄株式会社（東京メトロ）は、ポイントサービス「メトロポイントクラブ（メトポ）」の会員向けサービスで第三者による不正なアクセスがあり、メールアドレスが閲覧または取得された可能性があると公表しました（約59,000件）[1]。対象のサーバーにはメールアドレス以外の会員情報は含まれていないとしていますが、それで安心とは言い切れません。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたメールアドレスが悪用されうる場面と、メトポの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 漏れた可能性があるのはメールアドレスだけとされる一方、メトポではメールアドレスがログインのIDにもなります。
• 他のサービスと同じパスワードを使っている人は、メトポのWEBパスワードを変えておくと安心です。東京メトロをかたるメールのリンクは開かないようにしましょう。
• 会社側がまず見直したいのは、ログインと、PASMOへのポイントのチャージなど「お金に近い操作」の確かめ方です。

なお、本記事は公表文や東京メトロのニュースリリースなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

報道によると、9月20日にメトポのメール配信サービスで不具合が起き、調べる中で9月25日に通常と異なる利用記録が見つかったとされています[2]。

同社は、対象の会員にはメールで連絡するとしたうえで、別途の手続きや外部サイトへの移動を求めることはないので、同社を装った不審なメールに注意してほしいと呼びかけています[1]。案内は「メトロポイントクラブ事務局」の名前で送るとしています。

漏れたメールアドレスで、何ができてしまうか

漏れた可能性があるのはメールアドレスだけとされています。ただ、メトポでは、メールアドレスがそのまま「ログインのID」として使えます。会員サイトへのログインには、メトポお客様番号またはメールアドレスと、WEBパスワードが必要とされています[3]。

ここで一つ、今回ならではの点があります。対象は「送信不能で配信を止めていたメールアドレス」とされています[1]。もし今は使っていないアドレスを登録したままの会員がいれば、同社からの案内メールが届かず、自分が対象かどうかに気づきにくい可能性があります。これは公開情報からの当社の見立てです。

メトポで認証が使われる場所

公表文と東京メトロのニュースリリースから、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、不正なアクセスをされた箇所の特定と防止の対策を実施したとしています[1]。一方で、会員のログインやパスワード再設定の確かめ方を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. ポイントのチャージと交換に、追加の確認を入れる。PASMOへのチャージや提携先への交換は、ポイントが外へ出ていく場面です。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。
2. ログインを「メールアドレスとパスワード」だけにしない。メールアドレスが知られた会員にとって、残る守りはパスワードだけになります。パスワードを使い回している人ほど影響を受けやすい形です。
3. パスワード再設定と登録情報の変更で、メール以外の確認を足す。メールだけで完結する形だと、偽メールに引っかかった人や、メールを乗っ取られた人を守れません。

あわせて、対象の会員への案内がメールで届かない場合に備え、公式サイトで自分が対象かを確かめられる道を用意しておくと、偽の連絡との見分けを助けられます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回漏れた可能性があるのはメールアドレスでした。メールアドレスも電話番号も、もともと人に教えることが前提の情報です。知られてしまうことを前提に、認証を組み立て直す必要があります。

ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、漏えいで第三者に知られてしまう可能性があります。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[5]。また米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[6]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

ポイントのチャージや交換といった大事な場面から「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら