2026年10月14日、ショッピングセンター「ゆめタウン」などを展開する株式会社イズミが、最大約40万件の顧客情報について、外部へ漏えいした可能性を完全には否定できないと発表しました。
対象となるのは「ゆめオンライン」と「ゆめデリバリー」のメールマガジン配信に利用されていた氏名とメールアドレスです。現時点で実際の情報流出や不正利用は確認されておらず、住所・電話番号・クレジットカード番号などは今回の漏えい対象ではありません。
今回の問題は、イズミがメールマガジン配信を委託している事業者が利用する「IDCFクラウド」で、ランサムウェア攻撃が発生したことによるものです。
「ゆめタウンで買い物をした人も対象なのか？」
「ゆめアプリやゆめカードは大丈夫なのか？」
「クレジットカード情報やポイントに影響はあるのか？」
など、気になる点も多いと思います。
この記事では、最大約40万件という数字の意味、対象となるサービスと個人情報、利用者への連絡、IDCFクラウドとの関係を整理します。また、2024年にイズミで発生した別のランサムウェア被害との違いについても説明します。
イズミで最大約40万件の情報漏えいの可能性｜対象者と被害状況を整理
イズミは2026年10月14日、メールマガジン配信に利用していた顧客情報について、外部への漏えいの可能性を否定できないと発表しました。
問題となったのは、同社がメールマガジン配信を委託している事業者が利用する、IDCフロンティアのクラウドサービスです。このクラウド環境がランサムウェア攻撃を受けたことから、保存されていた顧客情報への影響を調査しています。
現時点では情報が外部へ流出した事実や、不正に利用された事実は確認されていません。ただし、漏えいの可能性を完全には否定できないため、イズミは関係各社と連携して調査を続けています。
今回の発表で示された対象件数は最大約40万件ですが、これは約40万人全員の情報が流出したと確定した数字ではありません。
イズミの10月14日付公式発表（PDF）でも、情報流出と不正利用の有無については調査継続中とされています。
対象者は誰？ゆめオンライン・ゆめデリバリーの会員が対象
今回の情報漏えいの可能性があるのは、「ゆめオンライン」と「ゆめデリバリー」のメールマガジン配信に利用されていた顧客情報です。
ゆめオンラインは、イズミが展開するネットショッピングサービスで、ゆめデリバリーは食品や日用品などを注文できる配送サービスです。
イズミの発表では、両サービスのメールマガジン配信用システムに保存されていた氏名とメールアドレスが対象とされています。
ただし、ゆめオンラインやゆめデリバリーの会員全員が今回の対象なのか、それともメールマガジン配信に利用された一部の会員だけなのか、詳しい対象条件は公表されていません。
そのため、これらのサービスを利用したことがあるというだけで、必ず情報漏えいの対象になるとは限りません。
また、最大約40万件は情報の件数として示されており、重複のない40万人が対象だと確定したものでもありません。
イズミは、情報漏えいの可能性がある利用者に対して、準備が整い次第、個別にお詫びのメールを送る方針を示しています。自分が対象かどうか不安な場合は、今後の公式案内を確認する必要があります。
ゆめアプリ・ゆめカードの会員も対象になる？
イズミが運営するサービスには、ゆめオンラインやゆめデリバリーのほか、ゆめアプリ、ゆめカード、ゆめかなどがあります。
今回の発表で名前が挙がっているのは、ゆめオンラインとゆめデリバリーのメールマガジン配信用データです。
そのため、ゆめアプリやゆめカードを利用しているという理由だけで、今回の情報漏えいの対象になるわけではありません。
ただし、ゆめカードやゆめアプリの利用者が、同時にゆめオンラインやゆめデリバリーを利用している場合は、今回の対象となる可能性があります。
利用状況による違いを整理すると、以下のようになります。
| 利用状況 | 対象となる可能性 |
|---|---|
| ゆめオンライン | メルマガ配信情報が保存されていた場合は対象の可能性あり |
| ゆめデリバリー | 同上 |
| ゆめアプリのみ | アプリ利用だけでは対象と判断できない |
| ゆめカードのみ | カード保有だけでは対象と判断できない |
| ゆめタウンの実店舗で買い物のみ | 今回の対象条件には該当しない |
| 複数サービスを併用 | 対象のメルマガ配信情報が保存されていた場合は可能性あり |
今回の問題は、ゆめタウンの実店舗で買い物をしたすべての人の情報が流出したという発表ではありません。
また、ゆめカード会員全体の情報が今回の攻撃対象になったとも発表されていません。
重要なのは、メールマガジン配信に使用されていた氏名とメールアドレスが、問題のクラウド環境に保存されていたかどうかです。
ただし、個々の利用者がどのように対象を確認できるのかについては、現時点で詳しい方法が案内されていないため、今後の連絡を待つ必要があります。
漏えいした可能性がある情報は氏名とメールアドレス
イズミが今回の漏えい対象として公表している情報は、氏名とメールアドレスの2項目です。
これらはメールマガジンを配信するために利用されていた情報で、問題となったクラウド環境に保存されていました。
イズミによると、漏えいの可能性がある情報は暗号化されています。
ただし、暗号化されていたからといって、外部への流出が絶対に起きていないと断定できるわけではありません。今回の発表では暗号化方式などの詳しい技術情報は示されておらず、安全性について独自に判断できるだけの情報はありません。
現時点では、実際の情報流出や不正利用は確認されていない一方、漏えいの可能性は完全に否定できないため、調査が続けられているという状況です。
なお、メールマガジンの配信先情報が対象になっていることから、仮に氏名とメールアドレスが第三者に知られた場合は、イズミやゆめオンラインを装った不審なメールなどに注意が必要です。
ただし、これは情報が悪用されたと確認されたという意味ではなく、一般的な予防策として注意しておきたい点です。
クレジットカード番号・住所・電話番号への影響は？
ネットショッピングを利用している人にとって気になるのが、クレジットカード情報や住所なども漏えいしたのかという点です。
この点について、イズミは公式発表で、住所、電話番号、クレジットカード番号などの個人情報については、今回の事案による漏えいの可能性はないと説明しています。
そのため、今回の発表を理由に、ゆめオンラインやゆめデリバリーに登録しているクレジットカード番号まで流出したと考える必要はありません。
また、ログインパスワードやゆめかのポイント残高についても、今回公表された漏えい対象情報には含まれていません。
ただし、パスワードやポイントに関して個別の調査結果が詳しく説明されているわけではないため、公式に示された対象項目と、それ以外の情報を区別して考えることが重要です。
現時点では、今回の問題を理由として、すべての利用者が直ちにクレジットカードを停止したり、パスワードを変更したりしなければならないという案内は確認できません。
一方、今後イズミから個別に対応を求める正式な案内があった場合は、その内容に従って確認する必要があります。
なぜ情報漏えいの可能性がある？IDCFクラウドへの攻撃が原因
今回の問題は、イズミの店舗や通販サイトのシステム自体に直接攻撃が行われたという発表ではありません。
イズミがメールマガジンの配信を委託している事業者が利用する「IDCFクラウド」の一部システムで、第三者によるランサムウェア攻撃が発生したことが原因です。
IDCFクラウドを運営するのは、ソフトバンク子会社のIDCフロンティアです。
2026年10月7日午前3時40分頃、同社の東日本リージョン1の一部で障害が発生し、その後、ランサムウェアによる攻撃だったことが確認されました。
影響を受けたのは、IDCFクラウドを利用する495の企業・自治体です。複数の企業が同じクラウド事業者の基盤を利用していたため、一部のシステムが攻撃を受けたことで、さまざまなサービスに影響が広がりました。
イズミでもメールマガジン配信用データが対象環境に保存されていたことが分かり、最大約40万件の氏名とメールアドレスについて、漏えいの可能性を否定できないと発表することになりました。
今回の攻撃では、イズミ以外にもJR東日本やJR九州などが、メール配信サービスに関する情報が第三者に閲覧・取得された可能性を公表しています。
ランサムウェア攻撃の詳しい経緯や495の企業・自治体への影響、バックアップの復元状況については、関連記事「IDCFクラウドにランサムウェア攻撃｜495の企業・自治体に影響、復旧や情報流出は？」で整理しています。
情報は実際に流出したのか？IDCFクラウド第5報との違い
2026年10月14日時点で、イズミは氏名やメールアドレスが外部へ流出した事実や、不正利用された事実は確認されていないと説明しています。
一方、同じ10月14日にはIDCフロンティアが今回のランサムウェア攻撃に関する第5報を公表し、障害の影響を受けた4つのゾーンの仮想サーバー内に保存されていたデータについて、外部への流出はなかったと判断したことを明らかにしました。
これは、外部のセキュリティ専門企業と連携して調査した結果、仮想サーバー内のデータが外部へ持ち出されたことを示す痕跡などが確認されなかったためです。
ただし、ここで注意したいのは、IDCフロンティアによる仮想サーバー内のデータに関する判断と、イズミが公表したメールマガジン配信用データの漏えい可能性は、そのまま同じ結論として扱えないという点です。
イズミは自社の対象情報について、漏えいの可能性を完全には否定できないという説明を維持しています。
また、IDCフロンティアの第5報では、仮想サーバー内のデータとは別に、管理画面である「IDCFクラウドポータル」において48社の登録情報への不正な照会が確認されたことも明らかになっています。ただし、この登録情報が外部へ持ち出された痕跡は確認されていません。
この48社の登録情報は、イズミが発表した最大約40万件の顧客情報と同じものではありません。
そのため、今回のイズミの発表については、「情報流出は確認されていないが、可能性を完全には否定できず調査中」という説明が、現時点で最も正確です。
IDCフロンティアの第5報（2026年10月14日）では、調査結果や復旧対応の進捗を確認できます。
ゆめオンラインやゆめデリバリーは使える？店舗への影響は？
今回の情報漏えいの可能性について、イズミの10月14日の公式発表では、ゆめオンラインやゆめデリバリーのサービス停止、ゆめタウンなどの実店舗の営業停止については説明されていません。
また、ゆめアプリやゆめカード、ゆめかポイントなどに障害が発生しているという案内も、今回の発表には記載されていません。
そのため、今回の問題によって、イズミが運営するすべてのサービスが利用できなくなったという事実は確認できません。
ただし、公式発表にサービス停止の記載がないことだけで、個別の機能がすべて通常どおり使えると保証することもできません。
今回の問題は主にメールマガジン配信に使用されていた情報に関するものであり、商品の注文、配送、店舗での買い物といった機能への影響については、各サービスの最新のお知らせを確認する必要があります。
今後、利用者に必要な手続きやサービスへの影響が判明した場合には、イズミから追加の案内が出される可能性があります。
対象者へのメールはいつ届く？不審なメールへの注意点
イズミは今回の件について、情報漏えいの可能性がある利用者に対し、準備が整い次第、個別にお詫びのメールを順次送る方針を示しています。
ただし、10月14日の公式発表では、メールの送信開始日や送信完了予定日、対象者を個別に確認できる専用ページなどは案内されていません。
そのため、現時点でメールが届いていないからといって、必ず今回の対象外だと判断することはできません。
今後の案内を確認するとともに、イズミやゆめオンラインなどを装う不審なメールやSMSにも注意が必要です。
特に今回、対象となる可能性がある情報には氏名とメールアドレスが含まれているため、仮にこれらが第三者に知られた場合、実際の名前を使って信頼できる連絡に見せかけることも考えられます。
例えば「情報漏えいに伴う本人確認」「ゆめカードの利用停止」「ポイント失効を防ぐための手続き」などを口実に、偽サイトへ誘導するメールには注意してください。これは今回そのような詐欺が確認されたという意味ではなく、一般的な注意点です。
不審な連絡が届いた場合は、メール本文のリンクを安易に開かず、普段利用している公式サイトやアプリからお知らせを確認するとよいでしょう。
また、今回の発表ではクレジットカード番号の漏えいの可能性はないと説明されているため、メールで突然カード番号や暗証番号の入力を求められた場合には、特に慎重な確認が必要です。
2024年のゆめカード最大778万件の問題とは別件
イズミでは今回とは別に、2024年にもランサムウェアによるシステム被害が発生しています。
2024年2月には、イズミグループの一部サーバーが第三者による不正アクセスを受け、データが暗号化されるなどの障害が発生しました。
その後、同年5月9日に公表された調査結果では、ゆめカード会員情報の一部について、最大778万2009件が第三者に閲覧された可能性を完全には否定できないと説明しています。
対象情報には、氏名、電話番号、住所、生年月日、性別、ポイント管理番号が含まれていました。また、グループ会社のアルバイト応募者情報の一部も対象となっていました。
ただし、2024年の件についても、外部への情報流出の痕跡や不正利用は確認されていないと説明されています。
今回の2026年の問題と、2024年の被害の違いを整理すると以下のようになります。
| 比較項目 | 2024年の被害 | 2026年の今回 |
|---|---|---|
| 攻撃先 | イズミグループのサーバー | 委託先が利用するIDCFクラウド |
| 対象件数 | ゆめカード会員情報の一部、最大778万2009件 | 最大約40万件 |
| 主な情報 | 氏名、住所、電話番号、生年月日、性別、ポイント管理番号 | 氏名、メールアドレス |
| カード番号 | 漏えい対象外 | 漏えい対象外 |
| 情報流出 | 確認されず | 確認されず、調査中 |
最も大きな違いは、2024年はイズミグループ自身のサーバーが攻撃を受けたのに対し、今回はメールマガジンの配信委託先が利用しているクラウド環境で攻撃が発生したという点です。
また、対象となる情報の種類や件数も異なります。今回、ゆめカード会員情報が最大778万件規模で再び漏えいしたという発表ではありません。
この2件が同じ攻撃者によるものなのか、技術的に関連しているのかといった情報も確認されていません。そのため、2024年の被害と今回の件は別の事案として整理する必要があります。
2024年の詳しい調査結果は、イズミが2024年5月9日に公表した公式資料で確認できます。
イズミの情報漏えいの可能性は今後どうなる？
2026年10月14日にイズミが発表した今回の問題では、ゆめオンラインとゆめデリバリーのメールマガジン配信に利用していた氏名・メールアドレスについて、最大約40万件の漏えいの可能性を否定できないとしています。
一方、現時点で実際の外部流出や不正利用は確認されておらず、住所、電話番号、クレジットカード番号などは今回の漏えい対象ではありません。
今回の原因となったのは、メールマガジン配信の委託先が利用するIDCFクラウドへのランサムウェア攻撃です。イズミは関係各社と連携して調査を続けており、対象となる可能性がある利用者には個別にメールで連絡する方針です。
また、2024年にもイズミでランサムウェア被害が発生していますが、今回とは攻撃を受けたシステムや対象情報が異なるため、混同しないことが重要です。
今後は、実際に情報が流出したかどうかの調査結果、対象者へのメール通知、メールマガジン配信への影響、追加の安全対策などが公表されるかを確認する必要があります。
ゆめオンラインやゆめデリバリーを利用している人は、イズミからの公式案内を確認し、不審なメールやSMSに注意しておくとよいでしょう。
主な参考資料と確認日
情報確認日：2026年10月15日。イズミの10月14日付公式発表と、IDCフロンティアの10月14日付第5報を確認しています。対象となるのは最大約40万件の氏名・メールアドレスであり、実際の外部流出や不正利用は確認されていません。対象者への個別通知、影響範囲の調査結果、サービスへの影響などについては今後の公式発表を確認する必要があります。
- 株式会社イズミ「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性につきまして」（2026年10月14日）
- IDCフロンティア「【第5報】不正アクセスによる障害に関する調査の進捗について」（2026年10月14日）
- FNNプライムオンライン・テレビ新広島「イズミに不正アクセス 会員メルマガ配信システム 最大40万件の会員情報が漏えいの可能性」（2026年10月14日）
- テレ朝NEWS「ゆめタウン展開のイズミ 最大40万件の会員情報漏洩の恐れ」（2026年10月14日）
- 株式会社イズミ「当社システムに対する外部攻撃に伴う個人情報に関するお知らせとお詫び」（2024年5月9日）
- イズミ・ゆめタウン公式サイト「当社システムに対する外部攻撃に伴う個人情報に関するお知らせとお詫び」（2024年）
コメント