アララメッセージで不正アクセス・情報漏えい｜被害状況と委託元企業が確認すべきこと

2026年10月、アララ株式会社が提供するメール配信サービス「アララメッセージ」への第三者による不正アクセスが確認されました。

11月6日の公式発表では、外部に持ち出された、または持ち出されたおそれのあるメールアドレスは、重複を除いて81,329,467件（約8,133万件）とされています。

これはメールアドレスの件数であり、被害人数を示す数字ではありません。

対象となる契約企業は最大約380社と推計されており、氏名、性別、生年月日、電話番号、会員番号、住所などが含まれる企業もあります。

さらに、アララメッセージを利用していたセガや、東京都の政策連携団体に関係する事業でも情報漏えいが公表されました。

今回の事案から中小企業が確認したいのは、「利用しているメール配信サービスが安全か」だけではありません。

メール配信を外部サービスや制作会社へ委託していても、自社が預けた顧客情報に事故が起きれば、影響範囲の確認や顧客への説明、必要に応じた報告・通知などの対応を求められる場合があります。

この記事では、アララメッセージへの不正アクセスで何が起きたのかを整理したうえで、メール配信を外部委託している企業が確認したい責任の考え方や、今日から確認できる3つのポイントを解説します。

※本記事の情報は2026年11月11日時点で確認できる公式発表をもとにしています。調査中の事項や対象件数は、今後の続報によって更新される可能性があります。

アララメッセージへの不正アクセスで何が起きた？

不正アクセスの概要と情報漏えいの規模

「アララメッセージ」は、アララ株式会社が提供するメール配信サービスです。

企業がメールマガジンや会員向けのお知らせなどを一斉配信するために利用するサービスで、今回、第三者による不正アクセスと情報流出が確認されました。

アララは2026年10月29日に第1報を公表し、その後の調査結果を11月2日の第2報、11月6日の第3報で更新しています。

11月6日時点で、持ち出された、または持ち出されたおそれのあるメールアドレスは、重複を除いて81,329,467件（約8,133万件）です。

約8,133万件という数字は「メールアドレスの件数」であり、同じ人が複数のメールアドレスを利用している場合などもあるため、人数として扱うことはできません。

対象となる契約企業は最大約380社と推計されており、アララは現在も精査を続けています。

また、メールアドレスだけではなく、契約企業によっては氏名、性別、生年月日、電話番号、会員番号、住所などの会員情報が含まれています。

一方、すべての契約企業について、これらすべての情報が流出したという意味ではありません。

アララメッセージではクレジットカード番号を保有していないため、同サービスからカード番号そのものが流出したという事案でもありません。

10月31日にはアララメッセージのすべてのサービスが停止されました。

11月6日の発表時点では、侵入経路への対策や外部専門機関による安全性確認などを経て再開を判断するとしており、再開時期は未定です。

侵入経路や影響範囲についても、外部専門機関と調査が続いています。

出典：アララ株式会社「『アララメッセージ』への不正アクセスに関するお詫びと今後の対応について」（2026年11月6日）

セガ・東京都など、利用企業や関係先への影響

アララメッセージを利用していた企業や、同サービスを利用する委託先と関係する組織からも、個別に影響が公表されています。

株式会社セガは11月9日、セガおよびセガ フェイブの製品・サービスに関する一部メールマガジンでアララの配信システムを利用しており、メールアドレスなどが外部へ流出したと公表しました。

対象となるメールアドレスは2,196,044件で、そのうち92,273件には配信に付随する情報が含まれています。

一方、セガは今回の流出情報には、顧客の氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードは含まれていないと説明しています。

また、「SEGA Account」に登録しているメールアドレスは別の配信システムを利用しているため、今回の対象外としています。

2026年11月9日時点で、セガはアララや関係各社と連携して流出情報の詳細や影響範囲を確認しており、個人情報保護委員会への報告についてはアララとの連名報告を予定しています。

対象となる顧客についても、流出情報の詳細を確認したうえで個別に連絡する予定と公表しています。

出典：株式会社セガ「業務委託企業への不正アクセスによる個人情報流出に関するお詫びとお知らせ」（2026年11月9日）

東京都は11月10日、政策連携団体である公益財団法人東京観光財団が委託する事業者が利用していた「アララメッセージ」で、個人情報の漏えいが判明したとする11月9日付の報道発表資料を公式サイトに掲載しました。

対象は、メールアドレスのみ132件と、氏名およびメールアドレス2件です。

東京観光財団が委託している事業者から、対象者へ個別に連絡し、漏えい内容と今後の注意事項を案内するとしています。

この事例は、東京都や東京観光財団がアララメッセージと直接契約していたと断定できるものではありません。

「委託元」「委託先」「その委託先が利用する外部サービス」というように、複数の事業者を経由して情報が取り扱われる場合があることが分かります。

出典：東京都「メール配信サービスへの不正アクセスによる個人情報の漏えいについて」（報道発表日：2026年11月10日）

なお、セガや東京都の公表件数は、アララが公表している81,329,467件とは別に加算するものではありません。

アララ全体の対象データの中に、各利用企業などに関係する情報が含まれている可能性があるためです。

不審メールの送信とサービス停止による影響

今回の事案では、情報漏えいだけでなく、アララメッセージを不正利用したメール送信も確認されています。

アララによると、10月28日から30日にかけて、「news@arara.com」を送信元として、クレジットカード会社を装った不審メールが最大約713万通送信されました。

不審メールに記載されたURLから偽サイトなどへ誘導され、カード情報やID・パスワードなどを入力してしまうと、フィッシング被害につながる可能性があります。

自社の顧客に関係するメールアドレスが漏えいした場合は、単に「メールアドレスが漏れた」と案内するだけでなく、自社やサービス提供会社を装う不審メールへの注意も伝える必要があります。

また、アララメッセージは10月31日からすべてのサービスを停止しています。

メール配信サービスが停止すれば、メールマガジンだけでなく、会員への重要なお知らせ、キャンペーン案内、イベント連絡などが予定どおり送れなくなる場合があります。

そのため、メール配信サービスの事故は、情報漏えいだけでなく「顧客への連絡手段が使えなくなる」という事業継続上の問題としても考えておく必要があります。

メール配信を外部委託していても、自社に影響が及ぶ理由

委託先で情報漏えいが起きた場合、顧客への説明は誰がする？

メール配信を外部サービスや運用会社へ委託している場合でも、自社が管理する顧客の個人データを委託先に取り扱わせているのであれば、「外部に任せているから自社には関係ない」とは考えられません。

個人情報保護法では、個人データの取扱いを委託する場合、委託元には委託先に対する必要かつ適切な監督が求められています。

事故が起きた場合は、まず委託先から情報提供を受け、自社に関係する情報の種類、対象件数、対象期間、現在の調査状況などを確認します。

そのうえで、自社の顧客への連絡や注意喚起が必要かを判断することになります。

個人情報保護委員会への報告や本人への通知についても、すべての情報漏えいで一律に義務が発生するわけではありません。

漏えいした情報の内容、漏えいの原因、本人への被害のおそれ、対象人数などを踏まえ、個人情報保護法上の報告対象事態に該当するかを確認する必要があります。

個人情報保護法上の報告対象事態に該当する場合、個人情報保護委員会への速報は、発覚から概ね3～5日以内が目安とされています。

確報は原則として発覚から30日以内で、不正な目的で行われたおそれがある場合は60日以内です。

個人データの取扱いを委託している場合、報告対象事態では原則として委託元と委託先の双方が個人情報保護委員会への報告義務を負います。

ただし、委託先が、報告義務を負う委託元に対して、その時点で把握している必要事項を通知した場合には、委託先の個人情報保護委員会への報告義務が免除されることがあります。

この場合も、委託元側の報告義務まで自動的になくなるわけではありません。

また、本人への通知は、個人情報保護委員会への報告とは別の手続きです。

報告対象事態に該当する場合は、本人への通知についても、事案の状況に応じて速やかに行う必要があります。

具体的な通知方法や時期は、漏えいした情報や本人への影響などを踏まえて判断します。

重要なのは、事故が起きてから「誰が顧客へ連絡するのか」を考え始めるのではなく、委託契約や社内ルールの中で、連絡・報告の流れを事前に決めておくことです。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」

参考：個人情報保護委員会「FAQ索引｜漏えい等の報告等」

顧客への連絡・なりすましメール・信用への影響

委託先で情報漏えいが起きた場合、委託元企業には大きく3つの影響が考えられます。

顧客対応

自社の顧客情報が対象となっている場合は、対象者の特定、問い合わせ対応、必要な注意喚起などが必要になることがあります。

今回の東京都の事例でも、東京観光財団が委託している事業者から対象者へ個別に連絡する対応が公表されています。

二次被害

メールアドレスが外部へ流出すると、そのアドレスに対してフィッシングメールやなりすましメールが送られる可能性があります。

今回のアララメッセージの事案では、実際に同サービスを不正利用した大量の不審メール送信が確認されています。

ただし、漏えいしたすべてのメールアドレスに対してフィッシング被害が発生しているという意味ではありません。

信用・事業運営

事故が外部サービスで発生した場合でも、顧客から見れば「自分の情報を預けた企業」は委託元企業である場合があります。

そのため、何が起きたのか、どの情報が対象なのか、今後何に注意すればよいのかについて説明を求められる可能性があります。

さらに、メール配信サービスが停止すると、顧客への重要な案内やキャンペーンなどの業務そのものが止まる可能性もあります。

委託元と委託先の責任はどう分かれる？

情報漏えいが起きた場合の責任分担は、「委託元だからすべて責任を負う」「委託先で起きたから委託元には責任がない」と単純に決められるものではありません。

委託元には、委託先の選定や監督、自社が取り扱う顧客情報の把握、必要な顧客対応や法令上の手続きを確認する役割があります。

個人情報保護委員会のガイドラインでも、個人データの取扱いを委託する場合には、委託先で適切な安全管理措置が講じられるよう、必要かつ適切な監督を行うことが求められています。

一方、委託先にも、契約内容に応じた安全管理、事故発生時の報告、事実確認や原因調査への協力などが求められます。

実際に誰が個人情報保護委員会へ報告するのか、誰が本人通知を行うのか、損害が発生した場合にどのような責任を負うのかは、個人情報保護法の適用関係や契約内容、事故の状況によって異なります。

事故が起きた段階で責任の所在だけを議論するのではなく、まず対象者と影響範囲を把握し、必要な対応を進めることが重要です。

中小企業が今日確認しておきたい3つのこと

①利用しているメール配信サービスと委託先を把握する

まず、自社の顧客向けメールが「どの会社の、どのシステムを通って配信されているか」を確認してください。

• 自社のメルマガや会員向けメールをどのサービスで送信しているか
• 契約している会社と実際の配信システムの提供会社は同じか
• 再委託先や外部連携サービスが存在するか
• どの顧客情報を外部サービスへ渡しているか
• 誰がサービスの管理者になっているか

制作会社やマーケティング支援会社にメール配信を任せている場合、自社が直接契約している会社と、実際にメールアドレスを保管・処理しているサービス提供会社が異なることがあります。

事故発生時に確認先が分からない状態を避けるため、契約先だけでなく、実際のデータの流れまで把握しておきましょう。

②契約書で情報管理と事故時の連絡条件を確認する

次に、メール配信サービスや委託会社との契約書、個人情報の取扱いに関する条項を確認します。

• 個人情報の取り扱い範囲
• 再委託の条件
• アクセス権限の管理方法
• 情報の保管・削除方法
• 事故が発生した場合の連絡先
• 連絡すべき内容と期限
• 原因調査や影響範囲の特定への協力
• 顧客通知や問い合わせ対応の役割分担

事故から何時間以内に連絡するかといった条件は、すべての企業に共通する数字を設定するのではなく、自社の業務や情報の重要性を踏まえて契約・運用で決める必要があります。

特に「委託先で事故が発生した際、自社へどのような経路で連絡されるのか」は確認しておきたいポイントです。

③事故発生時の連絡・対応フローを決める

委託先から「不正アクセスがありました」と連絡が来た際に、担当者一人で対応方法を考える状態は避けましょう。

最低限、以下の流れを決めておくと初動が進めやすくなります。

• 委託先からの第一報を誰が受け取るか
• 経営者・情報システム担当・法務担当などへの連絡方法
• 情報漏えいの対象や範囲を誰が確認するか
• 顧客への連絡が必要か、誰が判断するか
• 個人情報保護委員会への報告要否を誰が判断するか
• メール配信が停止した場合の代替連絡手段
• 顧客から問い合わせが来た場合の窓口

すぐに確認できる簡易チェックリスト

• 利用しているメール配信サービス名が分かる
• メールアドレス以外に預けている情報が分かる
• 再委託の有無を確認できる
• 事故時の委託先の連絡先が分かる
• 社内の報告先が決まっている
• 顧客への代替連絡手段がある
• 個人情報漏えい時に相談する担当者や専門家が決まっている

自社全体のセキュリティ対策も確認したい場合は、以下のチェックリストも参考にしてください。

中小企業の情報セキュリティ対策チェックリスト

まとめ｜メール配信を委託していても、情報管理を任せきりにしない

アララメッセージへの不正アクセスでは、2026年11月6日時点で、重複を除く81,329,467件（約8,133万件）のメールアドレスが外部に持ち出された、または持ち出されたおそれがあると公表されています。

対象となる契約企業は最大約380社と推計され、セガや東京都に関係する事業などからも個別の情報漏えいが公表されています。

今回の事案が示しているのは、メール配信を外部へ委託していても、委託元企業の顧客や事業運営に影響が及ぶ可能性があるということです。

委託先で事故が発生した場合、自社も対象となる情報や影響範囲を確認し、必要に応じて顧客への説明、注意喚起、法令上の報告や通知などを検討する必要があります。

そのため、中小企業でも「どのサービスを使っているか」「どの情報を預けているか」「事故時に誰から誰へ連絡するか」を平時から整理しておきましょう。

まず自社の状況を確認したい方は、以下の記事からチェックしてみてください。

中小企業の情報セキュリティ対策チェックリストで、自社の対策状況を確認する

具体的なセキュリティ対策を検討したい方は、以下の記事も参考にしてください。

クラウド型・オンプレ型どっちが正解？おすすめUTMを用途別に比較紹介

見積もり費用を確認したい方はこちら。

かんたん5分でシミュレーションする