小売のイズミ（広島市）、委託先クラウドのランサムウェア被害で会員約40万件が対象に

項目	内容
発生・公表日	IDCFクラウドの障害発生: 2026年10月7日午前3時40分ごろ / イズミの公表: 10月14日
対象組織・業界	株式会社イズミ（広島市東区）／「ゆめタウン」などを運営する小売
攻撃手法	委託先が使う「IDCFクラウド」へのランサムウェア攻撃（侵入経路は未公表）
対象サービス	ネット通販「ゆめオンライン」、配送サービス「ゆめデリバリー」のメールマガジン配信
対象件数	最大約40万件（流出が確認された件数ではない）
対象情報	氏名・メールアドレス
情報源	イズミ「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして」（2026年10月14日）、中国新聞デジタル（10月14日）、RCC中国放送（10月14日）、IDCフロンティア「第2報」（10月7日）・「第5報」（10月14日）、東海旅客鉄道「株式会社ＩＤＣフロンティアで発生した不正アクセスに伴うメールアドレス等漏えいの可能性について」（10月13日）、九州旅客鉄道「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等漏えいの可能性について」（10月9日）

概要

小売のイズミ（広島市）は2026年10月14日、会員情報が漏えいした可能性があると公表しました。

同社はメールマガジンの配信を外部の事業者に委託しています。その事業者が使うクラウドが、ランサムウェア攻撃を受けました。クラウドは、IDCフロンティアの「IDCFクラウド」です。

イズミが確認したところ、この環境に会員の氏名とメールアドレスが保管されていました。対象は「ゆめオンライン」と「ゆめデリバリー」の会員で、最大約40万件です。

イズミは、外部への流出や不正利用は確認されていないとしています。対象の情報は暗号化されていると説明しています。住所・電話番号・クレジットカード番号は、本件で漏えいする可能性はないとしています。

IDCフロンティアは同じ10月14日、調査の第5報を公表しました。被害を受けた4つのゾーンでは、仮想サーバー内のデータが持ち出された痕跡は見つかっていません。同社は、外部への流出はなかったと判断しています。イズミの公表は、この判断には触れていません。

対象の会員には、準備が整い次第、おわびのメールを順に送るとしています。メール配信を委託している事業者の名前は公表されていません。

IDCフロンティアによると、被害は495の企業・自治体に及んでいます。イズミと同じく、メール配信を通じて影響を受けた組織がほかにもあります。

組織	IDCFクラウドとの関係	対象件数	対象の情報
イズミ	メールマガジン配信の委託先が利用	最大約40万件	氏名・メールアドレス
JR東海	ECサイトのメール配信を担う外部事業者が利用	約1万5,000件	メールアドレス、送ったメールの本文に書かれた氏名・住所・電話番号・注文内容など
JR九州	メールマガジン配信用の外部サービスが影響（関係の詳細は非公表）	最大約130万件	メールアドレス
ピーチ	予約関連メールの配信システムが稼働	約189万件	メールアドレス・氏名・電話番号・予約番号・旅程内容

JR東海では、配信先のアドレスに加えて、送ったメールの本文も対象になりました。JR九州も、メールアドレスを含むメールのログデータが閲覧・取得された可能性があるとしています。

IDCFクラウドの被害の経過はIDCフロンティアの記事に、委託先の被害が複数の組織に広がった事例はまとめ記事に載せています。

同じ基盤の被害でも、委託先に預けていた情報によって影響は変わります。イズミの対象は、氏名とメールアドレスでした。旅程表を送るピーチでは電話番号や旅程まで、JR東海では送ったメールの本文まで対象になりました。

委託先に渡す項目と、送信後の本文やログを残す期間を確かめ、配信に必要な範囲に絞ります。委託先のさらに先の基盤が攻撃を受けても、影響する情報を限ることができます。

判明次第、本記事に追記します。

日時	内容
2026-10-15	第一報を公開