はじめに
2026年10月下旬、メール配信サービス「アララメッセージ」を運営するアララ株式会社が不正アクセスを受けました。11月2日の第2報では、契約企業の会員情報などが外部に持ち出され（持ち出された恐れのあるものを含む）、メールアドレスは約7,700万件、対象の契約企業は最大約380社と推計されています。同じ週には、ビックカメラグループやアソビューなど、利用企業からの公表も相次ぎました。
メール配信サービスの事故は、10月にも別のサービスで起きたばかりです。委託先SaaSを台帳で管理する、契約前に確認項目を決めるといった基本は、ブラストメール不正アクセスの記事で整理しました。今回はそこから一歩進めて、「委託先にどんなデータと認証情報を渡しているか」を発注側がどう管理するかを、コンサルタントの視点で考えます。
何が起きたのか
アララの第2報（2026年11月2日）と、利用企業の公表・報道をもとに整理すると、概要は次のとおりです。
- 最初の発表（10月29日）：共用環境の1システムが不正アクセスを受け、メールアドレス約301万件が持ち出されたと公表。原因はWebサーバーの脆弱性とされた
- 第2報（11月2日）：共用環境に加え、契約企業ごとの環境（サーバー97台）にも侵入されていたことが判明。メールアドレスのほか、契約企業が登録していた氏名・性別・生年月日・電話番号・住所などの会員情報（項目は企業により異なる）も持ち出されたと説明。件数は精査中で、今後変わる可能性があるとしている
- 不正なメール送信：サービスの一部が不正に使われ、10月28日から30日にかけて、クレジットカード会社を装った不審なメールが最大約713万通送られた
- サービス：10月31日に全面停止。再開時期は未定で、再開時には契約企業に管理画面のパスワードやAPIキーの再設定を求める予定
- 利用企業への影響：ビックカメラ・コジマ・ソフマップは11月2日、メールマガジン会員のメールアドレス約1,490万件が漏えいした可能性があると発表。アソビューは11月3日、会員情報15,821,184件（メールアドレス、氏名、電話番号、購入・利用履歴など）が流出したと発表。11月2日にアララから報告を受けた当日に配信をすべて止め、管理画面のパスワードやAPIキーなどを無効にしたと説明している
注目したいのは、わずか数日で「共用環境の1システム・約301万件」から「97台・約7,700万件」へと範囲が大きく広がった点です。件数は今後も変わる可能性があるため、最新情報は各社の発表を確認してください。
なぜ被害がここまで広がったのか
今回の事案から読み取れる、組織やプロジェクトに共通する背景は3つあります。
1つ目は、委託先への集中です。 メール配信のような共通の機能は、多くの企業が同じサービスを使います。1社が侵入されると、数百社の顧客データが同時に危険にさらされます。攻撃する側から見れば、効率のよい標的です。
2つ目は、連携するデータが少しずつ増えることです。 メールを送るだけならメールアドレスがあれば足ります。しかし「誕生日にクーポンを送りたい」「最近使っていない人に案内したい」「行った施設に合わせておすすめしたい」といった要望が出るたびに、生年月日や最終ログイン日、利用履歴などの項目が連携に足されていきます。1つ1つはもっともな要望でも、気づけば配信サービスに「顧客データベースの写し」ができあがっています。
3つ目は、「環境が分かれているから安全」という思い込みです。 今回は、最初に見つかった共用環境だけでなく、契約企業向けの環境（サーバー97台）にも、サービス側のサーバーを経由して侵入されたと説明されています。環境が分かれていても、運営会社側の仕組みが破られれば守りきれないことがある、ということです。
コンサルタントならこう考える：発注側が整えるべき4つの仕組み
ニュースでは「不審なメールに注意」という利用者向けの呼びかけが中心です。発注側として考えたいのは、委託先が事故を起こしても被害を小さくし、すぐ動ける状態を作ることです。
1. 連携する項目を「仕様」として決め、変更には承認を通す
まず、委託先に渡している項目を「データ連携の仕様」として文書にします。ポイントは、項目を足すときに情シスや個人情報の管理部門が確認する手続きを作ることです。マーケティング部門が配信ツールの画面からCSVを取り込めば、誰にも知られずに項目が増えてしまいます。
確認のときは「その項目がないと、どの施策ができないか」を聞きます。たとえば年代別の配信なら、生年月日ではなく年代だけで足ります。住所ではなく都道府県で足りることも多いはずです。同じ施策でも、渡すデータの粒度は下げられる、という発想が大切です。
2. 委託先に預けている「鍵」を棚卸しする
見落とされがちなのが、データではなく認証情報です。配信サービスと自社の会員システムをつなぐAPIキー、配信サービスの管理画面のアカウント、自社ドメインからメールを送るための設定などがこれにあたります。
委託先が侵入されると、こうした鍵が悪用されて、自社のシステムへの入り口になったり、自社の名前で不正なメールが送られたりするおそれがあります。台帳には、委託先ごとに「どの鍵を発行しているか」「誰が無効にできるか」「無効にすると何が止まるか」を書いておきましょう。今回アソビューは、アララから報告を受けた当日に配信を止め、管理画面のパスワードやAPIキーを無効にしたと説明しています。この速さは、鍵の場所と止め方が分かっていてこそ実現できます。
3. 「第1報の数字は増える」前提で初動を組む
今回、件数は数日で大きく変わりました。委託先の事故では、最初の報告が一番小さいことが珍しくありません。そこで、初動のルールとして次のことを決めておくことをおすすめします。
- 委託先の第1報だけで「当社は影響なし」と公表しない（「確認中」と伝える）
- 影響範囲は、委託先の報告を待つだけでなく、自社の台帳から「最大でここまで」を先に見積もる
- 委託先に、自社が対象かどうか、どの項目が対象かを個別に回答してもらう期限を伝える
4. 同じ業種の委託先で事故が起きたら、自社の委託先も点検する
この秋は、メール配信サービスでの事故が続いています。こうしたときは「うちの委託先ではない」で終わらせず、同じ種類のサービスを使っていれば点検する合図にしましょう。具体的には、管理画面の多要素認証、アクセス元の制限、不要なアカウントの削除、古い配信リストの削除などを確認します。点検の項目をあらかじめ決めておけば、ニュースを見た日のうちに動けます。
明日からできる3つのこと
1. メール配信など、顧客データを渡しているサービスごとに「連携している項目」を一覧にし、使っていない項目に印をつける
2. 委託先に発行しているAPIキーや管理画面のアカウントを洗い出し、無効にする手順と担当者を決める
3. 「委託先の第1報で影響なしと言わない」「最大の影響範囲を自社で見積もる」を初動の手順に書き足す
まとめ
アララメッセージへの不正アクセスは、1つの委託先の事故が数百社の顧客に及ぶことを改めて示しました。委託先のセキュリティを発注側が直接守ることはできません。しかし、渡すデータを最小にし、渡している鍵を把握し、範囲が広がる前提で初動を組んでおくことはできます。委託先選びと同じくらい、「渡し方」と「止め方」を仕組みにしておくことが、被害を小さくする近道です。
参考
- アララ株式会社「当社が提供する『アララメッセ－ジ』への不正アクセスによる情報流出およびサービス停止について（第２報）」（2026年11月2日）
- アソビュー株式会社「委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ」（2026年11月3日）
- ITmedia NEWS「メルアド7700万件流出か アララメッセージの不正アクセスで続報 共通環境から契約企業のサーバへ侵入 悪用も確認」（2026年11月4日）
- ITmedia NEWS「ビックカメラG、メールアドレスなど約1490万件漏えいの可能性 委託先への不正アクセスで」（2026年11月4日）
- ITmedia NEWS「アソビュー、会員情報1582万件流出 最終ログイン日や利用施設も メール委託先・アララ不正アクセスで」（2026年11月4日）
執筆者プロフィール：SIer（元請け）とITコンサルファーム（発注側支援）、両方の立場でプロジェクトに従事（通算9年）。要件定義からベンダーマネジメントまで一貫して対応し、基幹システム刷新・DX推進プロジェクトに多数従事。
コメント