メール配信の情報漏洩が相次ぐ｜委託先の「影響なし」後に企業が確認すること

何が起きたのか？

2つのメール配信サービスで、利用企業が登録した宛先リストなどが外部に持ち出されました。どちらも第一報の後に範囲が広がり、アララでは配信機能が不審メールの送信にも使われました^[2][4]。

1. 10月16日

   ユミルリンクが不正アクセスを確認

   担当者が一部システムで不正アクセスが生じていることを確認しました^[1]。

2. 10月19日

   Cuenote FCの第一報

   専用ASPプランの合計5システムで、メールアドレスを含む情報が延べ約900万件出力されたと試算しました^[1]。

3. 10月26日

   Cuenote FCの第二報

   情報漏洩を確認したCuenote FCは49システム、延べ51,628,280件に増えました^[2]。

4. 10月28日

   アララメッセージで不審メールと持ち出し

   3時59分頃から不審メールの送信が始まり、共用環境の管理画面への不正ログインと持ち出しも確認されました^[4][5]。

5. 10月29日

   アララの第1報

   1システム（共用環境）のメールアドレス約301万件の流出として公表しました^[3][4]。

6. 11月2日

   アララの第2報

   契約企業の環境のサーバー97台に範囲が広がり、メールアドレスは約77百万件、10月31日にアララメッセージの提供をすべて停止したと公表しました^[4]。

7. 11月6日

   第3報と政府の対策

   別のクラウド環境からの持ち出しも判明し、合計は81,329,467件になりました^[5]。同じ日に政府が緊急対策パッケージを取りまとめました^[16]。

利用組織は民間企業に限りません。総務省は、英文ニューズレターの配信でアララのメール配信サービスを使っており、メールアドレス775件と氏名21件が流出したと公表しました^[11]。piyokango氏の集計では、11月6日時点で組織自身の公表にアララとの関係が書かれていることを確認できたものが176の組織とサービスにのぼります^[19]。これは各組織の公表を集めた数で総数ではなく、地域通貨9サービスを含み、中継事業者8社を除いています^[19]。

なぜ1社の侵害が多くの企業に広がったのか？

多くの企業の宛先リストが1つの事業者に集まり、運用の認証情報やサーバー間のつながりが足場になったためと考えられます（編集部の見方）。原因として両社とも脆弱性を挙げていますが、アララは侵入の開始時期と経路を調査中で、脆弱性の詳細は両社とも公表資料に記されていません^[2][4]。

Cuenote FC：サポート担当者の認証情報が足場に

ユミルリンクは、プログラムの脆弱性からサポート・品質管理担当者の認証情報が取得され、不正プログラムの設置とデータベースからのデータ出力、他システムへの認証の試行、不正プログラムを介した他システムのデータ参照、セッション情報を使った不正ログインを確認したと説明しています^[2]。Cuenote FCについては原因を「ライブラリの脆弱性」と記載しています^[2]。

不正アクセスが試行されたのは、複数企業で使うシステムが3、単一企業で使うシステムが78でした。情報漏洩の痕跡を確認したのは前者が0、後者が49です^[2]。専用の環境を契約していても、事業者側の共通の担当者アカウントなどを通じて影響を受けうることがわかります（編集部の見方）。

アララメッセージ：サーバーを経由して多数のサーバーへ

アララは、第三者が本サービスのサーバーに不正にアクセスし、そこを経由して多数のサーバーに侵入し、データベースの内容を持ち出したと説明しています^[4]。原因については、当初の「Webサーバーの脆弱性」に「システム環境における問題」が加わりましたが、侵入の開始時期と経路は調査中です^[4]。

配信機能そのものも悪用されました。送信元は news@arara.com で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などです。送信先は第三者が外部から持ち込んだメールアドレスで、この送信に伴うメールアドレス以外の流出は確認されていないとしています^[4]。実在の配信基盤から届くメールは、送信元の確認だけでは見分けにくくなります（編集部の見方）。

「影響なし」の連絡はどこまで信じてよいのか？

その時点の調査結果として受け止め、確定した結論として扱わないことです。ここでは、流出に含まれない、または確認されていないという連絡をまとめて「影響なし」と呼びます。今回は、そうした連絡や報告を受けた企業が、後から対象と知らされた例を自ら公表しています^{[6][7][9][10]}。

事業者が説明を変えること自体は、調査が進めば起こりえます。アララも、影響の範囲が第1報を大きく上回ることが判明し、内容を重ねて改めることになったと認めています^[20]。ユミルリンクの案内も「当社から個別連絡のないお客様については現時点でご利用環境の情報漏洩が確認されておりません」という表現で、将来にわたる保証ではありません^[2]。

個別の連絡の訂正もありました。アララは、10月30日の案内で約301万件以外の環境での流出はないと伝えていました^[21]。11月6日には、一部の取引先に個別に伝えた持ち出しの期間を「10月28日から、10月31日に本サービスを停止するまでの間」に訂正し、影響範囲にも誤りがあったと認めました。訂正前の期間を個人情報保護委員会への報告や社内の説明に使っている場合は、改めるよう求めています^[21]。

自社に関係があるかはどう判断すればよいか？

契約書にサービス名がなくても関係している場合があります。部署ごとの契約や、業務システムの裏側でメール配信に使われている場合があるためです。何を預けたかによって、影響と必要な対応も変わります^[7][13]。

影響の重さを分けるのは登録内容です。アララの件では、メールアドレスのみが34,285,087件、メールアドレスと属性情報等が47,044,380件でした（内訳は精査中）^[5]。属性情報は契約企業により異なり、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれます^[4]。一方でワークマンと総務省の公表では、流出した項目はメールアドレスなどに限られています^[6][11]。

配信サービスを使う企業が今週やることは？

対象かどうかの確認を文書で残し、なりすましへの備えを先に進めてください。公的機関も、外部サービスの洗い出しと保有データの再点検を速やかに行うよう求めています^[13]。

APIキーの扱いは個別に確認が必要です。アララは、再開時に契約企業へ管理画面のパスワードやAPIキーなどの再設定を依頼する予定で、担当者の情報は確認中としています^[4]。JPCERT/CCは、一連の国内事案の攻撃手口の一つとして、他のシステムの侵害で窃取したAPIキーの使用を挙げています^[18]。

配信の代替手段も確認事項です。アララメッセージは11月6日の公表時点でも停止中で、再開時期は未定です^[5][20]。TKCは、別のメール基盤から送信できるよう対処中としています^[8]。パスワード再設定や請求の通知など、止まると業務に響くメールは先に洗い出しておくと切り替えやすくなります（編集部の見方）。

判断に迷うときは、IPAの「不正アクセス特別相談窓口」が使えます。被害を受けている、またはその可能性がある企業や組織を対象に、電話（平日）とメールで初動対応を助言しています（電話 03-6759-5760、2026年11月7日時点）^[17]。

委託先の管理で何を見直すべきか？

預ける情報を減らすことと、契約で連絡の条件を決めておくことの2点です。国家サイバー統括室の注意喚起は、委託先と共に管理するという認識を求め、委託先に提供する情報を必要最小限にすることや、不正アクセス発生時の報告義務の規定を挙げています^[12]。

1. 配信に使わない項目を預けない。 差し込みや抽出に使っていない生年月日や住所などを、アドレス帳から外します（編集部の提案）。国家サイバー統括室は提供する情報の最小化を挙げています^[12]。
2. 配信の停止者や退会者を残さない。 使わなくなった宛先を定期的に消します（編集部の提案）。国家サイバー統括室は業務終了後の委託先でのデータ削除を挙げています^[12]。
3. 報告の条件を契約に書く。 不正アクセスや漏えいが発生した場合の報告義務を規定します^[12]。調査の途中経過も含めて連絡する期限と、書面で回答する項目まで決めておくと、今回のような場面で確認しやすくなります（編集部の提案）。
4. 再委託先まで把握する。 契約時だけでなく継続的に、再委託先を含む管理状況を確認します^[12]。
5. 管理画面を保護する。 多要素認証を有効にし、アカウントを棚卸しします^[12][13]。ユミルリンクは対処として、IP制限のない環境の操作画面とAPIにIP制限を実施しました^[2]。使っているサービスに同じ設定があるかを確認してください（編集部の提案）。

政府も同じ方向の対策を打ち出しています。緊急対策パッケージ案は、昨今の漏えい事案で自組織または委託先の基本的な対策が十分でなかった事例が多いとし、発注者・委託先・経営層がそれぞれ責任を持つことを掲げました^[15]。潜在的な被害のおそれがある組織に国家サイバー統括室から接触する「アウトリーチ・チーム（仮称）」を今月中に新設するとしています^[15]。報道によれば、対策の経費として今年度の予備費から約100億円を支出します^[16]。

AIの利用では何を見直せばよいか？

顧客リストを渡す先として、AIサービスやその連携ツールも同じ棚卸しに入れてください。今回の問題は、預け先が侵害されれば預けたデータが影響を受けるという構造で、AIサービスも外部サービスの一つです（編集部の見方）。

攻撃側のAI利用も指摘されています。報道によれば、政府は相次ぐ不正アクセスの背景について「AI=人工知能の悪用が疑われる」と分析しています^[16]。JPCERT/CCは、AIを用いたペネトレーションテスト基盤を悪用した攻撃の試行を確認しています。一方で、一連の攻撃は1つの共通する脆弱性を悪用しているのではなく、標的ごとに既知の脆弱性や管理不備を探している可能性があるとしています^[18]。ただし、この注意喚起はCuenoteやアララを名指ししたものではなく、確認した資料の範囲では、2社の事案でAIが使われたとの公表はありません。AIの活用と攻撃の関係についてはAIサイバー攻撃の解説も参考にしてください。

AIの業務利用でマーケティング部門が顧客リストを扱う場面が増えているなら、配信サービスと同じ観点で、入れてよい情報の範囲と連携先を決めておく必要があります。考え方はAIセキュリティとはで紹介しています。公開サーバーの脆弱性が狙われた別の事例として、PHP2Shellの解説もご覧ください。

まとめ

メール配信サービスの侵害で問われているのは、自社の外に置いた顧客データの管理です。アララでは約301万件の説明が約8,100万件に変わり、流出に含まれないと連絡を受けた企業も後から対象になりました^[4][5][6]。

まず配信サービスを洗い出し、対象の有無を日付つきで記録し、調査完了まで案件を閉じないでください。そのうえで、配信に使わない項目を預けない、報告の条件を契約に書く、という2点を見直すと、次に同じことが起きたときの影響と混乱を抑えられます。