一つの箱が開けば、つながった先まで影響が及ぶ（イメージ）
自社のサーバーは無事でも、預け先が破られれば顧客の情報は外に出る。2026年10月末に表面化したメール配信サービスへの不正アクセスは、一社への侵入が数百社の顧客へ広がる構図をはっきり見せた。
自社のサーバーは無事だった。それでも、顧客のメールアドレスは外に出た——2026年10月末に表面化したメール配信サービスへの不正アクセスは、そういう被害の形をはっきり見せた。メールの一斉配信、会員管理、予約、決済。中小企業ほど、顧客の情報を外のサービスに預けて仕事をしている。預け先が破られたとき、顧客に説明するのは自社である。本号は、何が起きているのかを公式発表と公的機関の資料だけで整理し、経営者が今日決めることを示す。
JPCERT/CC（JPCERTコーディネーションセンター）は2026年10月8日、注意喚起を公開した。直近2026年9月前後で、国内組織への不正アクセスによる個人情報などの漏えい被害が相次いでいるという内容だ（10月23日更新）。同時に、技術的な情報の共有が不足しており、把握している情報は限定的かつ断片的だとも書いている。
翌9日にはIPA（情報処理推進機構）も、速やかに実施すべき対策をまとめて公表した。IPAは、金融機関や通信事業者など幅広い事業者から漏えい事案の公表が相次いでいるとし、現段階では特定の製品やサービスの脆弱性を狙った攻撃とは断定されていないと述べている。そのうえで、公表事例の傾向から、外部に公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点になっていることがうかがえる、としている。
個人情報保護委員会は10月7日に事業者向けの注意喚起を出し、IPAは10月16日に「不正アクセス特別相談窓口」を開設した。IPAの注意喚起には、国家サイバー統括室、経済産業省、金融庁、警察庁による注意喚起も並んで紹介されている。公的機関がこれだけ短い期間に揃って動いたこと自体が、事態の広がりを示している。
見落としやすい点がある。JPCERT/CCは、一般利用者向けのアプリだけでなく、BIツールや従業員向けの管理システムのように、不特定多数のアクセスを想定していないシステムが被害に遭い、内部の情報が漏えいするケースもあると指摘している。「うちは客向けのアプリを持っていないから関係ない」とは言えない。
委託先からの連鎖をもっとも大きな規模で示したのが、メール配信サービス「アララメッセージ」への不正アクセスである。提供元のアララ株式会社は10月29日に第1報を出し、11月2日の第2報で被害の範囲を大きく更新した。第2報の内容は次のとおりだ（いずれも同社発表、精査中の数字を含む）。
第2報によれば、被害は二つの経路で起きている。一つは、第1報で公表した共用環境だ。第三者が10月27日から28日にかけて管理画面に不正にログインし、データの出力機能などを悪用してデータを持ち出した。重複を除いたメールアドレス3,386,187件と、契約企業5社が登録した氏名・会社名などを含む顧客データ最大411,827件で、関係する契約企業は61社とされる。
もう一つは、原因を調べる過程で10月31日に把握した、サービス本体を経由した侵入である。同社は、第三者がサービスのサーバーに不正にアクセスし、そこを経由して多数のサーバーに侵入したとしている。侵入の開始時期と経路は調査中だ。同社は10月31日にサービスの提供をすべて停止し、再開時期は未定としている。
さらに、預かっていたアドレスへ、配信基盤そのものから偽のメールが送られた。送信元は同社のアドレスで、件名は「利用内容確認のご依頼」などである。漏えいした連絡先は、本物の送信元から詐欺メールを送る道具にもなる。委託先の侵害が顧客への二次被害に直結した例と言える。
配信を委託していた企業は、自社の名前で公表を始めている。カカクコムは11月5日、食べログ、価格.com、スマイティ、求人ボックス、icottoの利用者のメールアドレス約570万件が漏えいしたと発表した。メール本文は含まれていないこと、対象者へ個別に案内すること、アララのサービスの利用は再開せず別の委託先に切り替えることを明らかにしている。TKCは11月4日の第3報で、漏えいしたのはメールアドレスのみで最大223万812件、メール本文やマイナンバー、市町村への申請情報は漏えいしていないと確認した、と公表した。
侵入されたのは委託先でも、顧客から見れば「あの会社に登録したアドレス」である。個人情報保護法は、個人データの取扱いを委託する場合について、委託元に次の義務を課している。
IPAも、経営者が認識すべき3原則の二つ目として、自社だけでなく国内外の拠点、ビジネスパートナーや委託先など、サプライチェーン全体への目配りが必要だと示している。委託は、責任まで外に出せる仕組みではない。
JPCERT/CCは10月15日、攻撃に使われた可能性のあるインフラを調べた結果を公開した。攻撃者がAIを利用して既知の脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認したとし、こうした攻撃元のサーバーはインターネット上で複数見つかっていて、日本以外の地域向けのWebサービスにも攻撃を行っていたと書いている。AIが攻撃側の道具になっている点は、本号のコラムで改めて扱う。
なお本号は、攻撃者が誰か、なぜ自社が狙われたのかといった推測を書かない。公表されている原因の記述も、各社と公的機関が発表した範囲にとどめている。経営者に必要なのは犯人像ではなく、自社の入り口がどこにあるかを知ることだからだ。
一つ目は、顧客の情報をどこに預けているかの一覧を、今日中に作らせることだ。メール配信、予約、EC、会計、名刺管理、クラウドストレージ。IPAの注意喚起も、組織全体や部署単位で使っている外部サービスをできる限り網羅的に洗い出すよう求めている。
二つ目は、万一のときに誰が何を判断するかを決めておくことだ。個人情報保護委員会への報告、本人への通知、公表の判断は、現場の担当者には決められない。具体的な手順は、本号の「実務① 今日から72時間でやること」と「実務② 自社が当事者になったら」にまとめた。