自社が攻撃されなくても、個人情報は漏れる？――メール配信サービスへの不正アクセスが示す課題

お店から届くメールマガジン。その宛先は、お店自身のサーバーだけに保存されているとは限りません。配信を担当する別の会社に預けられていることもあります。

2026年10月、メール配信サービスへの不正アクセスが相次いで公表されました。考えたいのは、「外部委託すれば、個人情報を守る責任まで委託できるのか？」 という問題です。

※2026年10月30日に確認できた公式発表に基づきます。調査中の情報は、今後変わる可能性があります。

状況（2026年10月、何が起きたの？）

ユミルリンク「Cuenote FC」

ユミルリンクは10月19日の第一報で、10月16日に不正アクセスを確認し、5システムからメールアドレスを含む情報が延べ約900万件出力されたと試算しました。

10月26日付の第二報では、10月25日に追加で42システムへの不正アクセスとデータ出力記録を確認し、翌26日に対象企業へ連絡したと説明しています。同ページの確認時点の集計では、Cuenote FCで出力が確認されたのは計49システムです。件数の調査が残るシステムもあり、最終的な影響範囲は確定していません。

「追加42システム」は被害全体の数ではありません。また、データの延べ件数を、そのまま重複のない被害人数と読み替えることもできません。

アララ「アララメッセージ」

アララは10月29日の発表で、前日に不正アクセスを確認し、1システムから利用企業が保有するメールアドレス約301万件が持ち出されたと説明しています。サーバーをネットワークから切り離し、詳細調査を進めています。

こちらは「漏えいしたかもしれない」という段階だけでなく、メールアドレスの持ち出しを確認したという発表です。ただし、サービスの全利用企業・全データが被害を受けたという意味ではありません。

原因（なぜ情報が持ち出されたの？）

両社とも、脆弱性、つまりプログラムなどの安全上の弱点を悪用されたと説明しています。ただし、確認された経緯は分けて読む必要があります。

ユミルリンク：プログラムの弱点に加え、サポート・品質管理担当者の認証情報（ログインに使う情報）の取得、不正プログラムによるデータ出力などを報告しています。出典：第二報
アララ：一部環境のWebサーバーの弱点を悪用されたと説明しています。出典：10月29日発表

公表時期が近いことだけで、同じ攻撃者や同じ攻撃手法による事件とは判断できません。今回確認した発表から、両事案のつながりは確認できていません。

問題定義（なぜ、別の会社の顧客にも影響するの？）

メールを届けるために、宛先の情報を預けている

メール配信サービスは、多数の相手へ案内を送る仕事を支えます。配信先の一覧にはメールアドレスが必要です。宛名を入れたり、地域別に送ったりするため、別の情報が登録される場合もあります。

ユミルリンクの第二報でも、アドレス帳には氏名・都道府県・生年月日などを登録でき、実際の登録項目は利用企業ごとに異なると説明されています。すべての企業がこれらを登録し、すべて漏れたという意味ではありません。出典：第二報の登録情報の説明

複数の企業が同じ配信会社を使えば、その会社への攻撃が、複数企業の顧客に及び得ます。影響は、企業ごとの情報の分け方や、担当者がアクセスできる範囲にも左右されます。「自社のシステムには侵入されていない」だけでは、委託した情報まで無事とは判断できないのです。

サイボウズの説明から分かること

サイボウズは10月26日の第一報で、当初は対象外と回答されていたものの、その後、漏えいの可能性が高いと連絡を受けた経緯を公表しました。

さらに10月28日の第二報（29日追記あり）では、パートナー向け案内などに関するメールアドレス・会社名・氏名、23,392件の漏えい報告を受けたと説明しています。一方、kintoneなど同社サービスで預かるデータへの影響はないとしています。

この例は、配信先情報とサービス内のデータを区別する大切さを示しています。また、調査の進展で対象が変わることがあるため、最初の回答だけで確認を終えず、続報を追う必要があります。

責任（外部委託すれば、守る責任も移るの？）

仕事を頼む会社を「委託元」、引き受ける会社を「委託先」と呼びます。委託元にも、預けた個人データの安全管理を確認する責任が残ります。

個人情報保護法第25条は、委託元に、委託先への「必要かつ適切な監督」を義務付けています。個人情報保護委員会のガイドライン「3-4-4」では、委託先の選定、契約、取扱状況の把握を挙げています。契約への確認方法の盛り込みや、定期的な監査等による評価は、望ましい取組として示されています。

委託先も、個人情報取扱事業者として、法第23条に基づく安全管理措置を講じる義務を負います。報告対象の漏えい等では、原則として双方に委員会への報告義務があり、委託先が規則に従って委託元へ通知した場合の例外もあります。出典：同ガイドライン「3-4-2」「3-5-3」

ただし、被害が起きた事実だけで、個々の企業の監督義務違反や賠償責任が確定するわけではありません。契約や実際の管理状況を確認する必要があり、今回の記事で各社の法違反を認定するものではありません。

対策（会社として、何を確認すればいい？）

以下は、上の制度と事案を踏まえた筆者からの改善提案です。一律の法定チェックリストではありません。

中小企業など、委託する側

表が見切れる場合は、表内を横にスクロールできます。

確認すること	具体的に聞く・調べること
何を預けているか	配信に不要な住所や生年月日まで渡していないか。古い名簿を残し続けていないか
誰が情報を扱うか	自社と配信会社の担当者の権限、さらに別の会社への再委託の有無を確認できるか
安全対策をどう確かめるか	弱点の点検・修正、アクセス制限、操作記録の確認方法を説明してもらえるか
事故のときにどう連絡するか	連絡先、連絡の期限、対象データの調査と顧客への説明の分担を決めているか
契約後も確認できるか	定期的な報告を受け、対策の変更や再委託先を確認できるか。解約時の削除方法は明確か

まずは「サービス名・預ける情報・社内担当者・緊急連絡先」を一枚にまとめるところから始められます。認証マークや契約書の有無に加え、自社が使う環境で何が行われているかを確認することが大切です。

事故の連絡を受けたら、確認済みの範囲と調査中の範囲を分け、次にいつ情報を更新するかも利用者に伝えるべきです。配信停止に備え、公式サイトなど別の案内経路も用意しておきましょう。

配信サービスを提供する側

弱点の修正とともに、担当者が複数企業の環境へ入る権限を必要な範囲に絞り、不審なログインや大量のデータ出力を検知できるかを見直すことを提案します。

事故後は、利用企業が自社の対象者を判断できるよう、調査の根拠・対象項目・変更点を共有することも重要です。利用者への説明を委託元が担う場合、その説明を支える情報を提供する役割があります。

対策（私たち利用者は、何に注意すればいい？）

メールアドレスなどが、企業を装って偽サイトへ誘導する「フィッシング」に使われるおそれがあります。ただし、不審なメールが届いたことだけで、今回の流出が原因と決めることはできません。

登録先の公式サイトで、対象範囲と続報を確認する。 配信会社に心当たりがなくても、登録したお店や企業が利用している場合があります。
不審なメールのリンク・添付ファイル・返信先を使わない。 「漏えいへのお詫び」「確認手続き」などの案内も、普段使うアプリやブックマークから確かめます。
メール経由でパスワードや認証コードを渡さない。 もし偽サイトへ入力した場合は、本物のサービスで変更し、公式窓口へ相談します。

アララとサイボウズも、不審なメールのURLや添付ファイルに注意するよう呼び掛けています。アララの注意事項／サイボウズの案内

利用者の注意は二次被害を減らすためのものです。預けた先の情報を守り、影響を調べて説明する仕事は、企業側が担う必要があります。

今後の見通し（企業の情報管理に何を問いかける？）

今後確認したいのは、調査による対象範囲の更新と、再発防止策が実際に機能するかです。今回確認した資料だけから、調査完了や信頼回復までの期間は見積もれません。

外部サービスの利用には、専門の設備や運用を使える利点があります。大切なのは、委託した後も「どの情報が、どこにあり、事故のとき誰が動くか」を説明できることです。自社のサーバーを守ることと、顧客から預かった情報を守ることは、同じ範囲とは限りません。

まとめ

自社が直接攻撃されなくても、委託先にある情報が漏れることはある。 ただし、各社・各データの影響範囲は分けて確認する。
外部委託しても、委託元の監督責任は残る。 選定時だけでなく、契約後の取扱状況と緊急時の連絡を確認する。
利用者は公式の続報を確認し、不審なメールから手続きしない。 企業は、その判断に必要な情報を届ける。

まず企業は預けた情報と連絡先の棚卸しを、利用者は登録先の公式発表の確認を。そこから、それぞれの立場でできる対策が始まります。