JR東海とJR西日本、JR九州は、「エクスプレス予約」と「スマートEX」の一部利用者のメールアドレスなどの個人情報が外部に漏えいしたと発表した。
両サービスでは、外部事業者のユミルリンクが提供するメール配信サービスを使用している。10月16日に同社が不正アクセスを受けた際、両サービスの利用者には影響がないとの報告を受けていたが、10月26日に個人情報が第三者に閲覧または取得されたとの連絡があった。
漏えいしたのは、メールアドレス、会員ID、氏名（カタカナ）、会員種別。これ以外の氏名、生年月日、住所、電話番号、クレジットカード番号、カードの有効期限などの個人情報については、漏えいの可能性はないとしている。
対象件数はユミルリンクで確認中。対象となるおそれがあるのは、両サービスの会員のうち、ユミルリンクが運営する「Cuenote FC」を利用して配信したメールの受信者。販売促進のために一部の会員へ配信したメールや、熊本地震の影響で予約列車の発車時刻が変更になったことを知らせるメールなどが該当する。
なお、JR東海が保有する両サービスのシステムからの個人情報の漏えいは確認されていない。
3社は、不正アクセスを受けたメール配信サービスの使用を直ちに停止した。個人情報保護委員会にも報告している。対象となる利用者には、メールなどで個別に連絡する。
