2026年10月から11月にかけて、日本で個人情報の流出の公表が相次ぎました。目立つのは、自社のシステムではなく、メール配信などの委託先や、サイトで使うシステムの弱点が入口になった事案です。公式の発表をもとに、何が起きたかと、企業が確かめておきたいことをまとめます。
1.委託先の1社から、多くの会社へ
アララ株式会社のメール配信サービス「アララメッセージ」への不正アクセスで、約7,700万件のメールアドレスが持ち出されました（重複の可能性があり、精査中）。対象の契約企業は、最大約380社と推計されています。
このサービスを使っていたビックカメラグループ（約1,490万件が流出した可能性）とアソビュー（1,582万1,184件が流出）が、公表しました。アソビューは、自社のシステムではなく、委託先への不正アクセスが原因だとしています。
出典：ペイクラウドホールディングス（アララの親会社。第2報、2026年11月2日）・ビックカメラ（2026年11月2日）・アソビュー（2026年11月3日）
2.乗っ取られたサービスが、詐欺メールの送信に使われた
同じサービスが不正に使われ、10月28〜30日に、カード会社を装った「ご利用明細確認のご依頼」などのメールが最大約713万通送られました。
ビックカメラとアソビューは、流出した情報の悪用（二次被害）は確認されていないとしています。そのうえで、会社を装うメールやSMSに注意するよう呼びかけています。
出典：1.と同じ（ペイクラウドホールディングス・ビックカメラ・アソビューの発表）
3.ECサイトの決済ページに不正なプログラム
グッドスマイルカンパニー公式ショップでは、使っていたシステムの脆弱性から管理者権限が取られました。10月21〜23日には、カード決済ページに不正なプログラムが置かれていました。
カード情報（全16桁・セキュリティコードを含む）が漏えいした可能性があるのは、最大2,800名です。気づいたきっかけは、システムの開発・保守の委託先からの連絡でした。
4.国の見方
国家サイバー統括室は10月9日、「サプライチェーンを通じた侵害」などで個人情報が盗まれる事案を複数確認したとして、対策を求めました。
11月6日の関係閣僚会議では、首相が「サプライチェーンリスクも見過ごすことはできません」と述べました。会議では緊急対策パッケージ（案）を議論し、同じ日の閣議で約100億円の予備費を措置しています。
出典：内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）・首相官邸「サイバーセキュリティに関する関係閣僚会議」（2026年11月6日）
5.いま確かめておきたいこと
国家サイバー統括室が10月9日に求めた対策から、委託先とサイトに関わるものを挙げます。
- 委託先に渡している情報を洗い出し、必要最小限にする。使い終わった情報は消す。
- 委託契約に、セキュリティの要件と、事故があったときの報告を入れる。
- サイトや決済ページで使うシステムを更新し、定期的に脆弱性を診断する。
- 管理画面に多要素認証を入れ、権限を絞る。
6.ネクストラボのセキュリティ診断
外から弱点を点検する無料の外形点検と、ヒアリングで体制を確かめて直す順番をまとめる体制診断があります。委託先の管理（カード情報の指針）や、SCS評価制度★3への準備は、セキュリティ診断のページにまとめています。脆弱性が無いことを保証するものではありません。
このページについて
各社と国の公式の発表を、2026年11月7日に確かめて書いています。その後の続報で、件数や内容が変わることがあります。会社名は公表された内容を紹介するためのもので、各社の対応を評価するものではありません。