委託先で7,700万件流出。顧客に知らせる役は委託できない

メールマガジンの登録者が1,001人いるなら、委託先が破られたときに国へ報告する義務は、あなたの会社にもあります。委託先は、あなたの会社に通知すればその義務を免れます。残るのはこちら側です。

11月2日、メール配信サービスを提供するアララ株式会社が、同社のサービス内にある契約企業ごとの環境のサーバー97台から、約7,700万件のメールアドレスが持ち出されたと公表しました。

破られたのは、預けた先のシステムです。預けた側の会社は、何も破られていません。

最初に結論：顧客に出すメールを5種類書き出し、「止まった週に誰が知らせるか」を書く

今週やることは1つです。自社が顧客や会員に出しているメールを、種類で5つ書き出します。そのメールを自社の仕組みから出しているのか、外部のサービスから出しているのかを横に書きます。そして、そのサービスが止まった週に、誰が顧客に知らせるのかを書きます。

出典：記入欄と行の例は編集部が作成した想定例です。

右の2列が空欄のままなら、委託先から連絡が来た週に、誰が何をするかが決まっていないということです。それ自体は珍しくありません。預けるときに決めるのは、たいてい料金と機能だからです。

ここから先は、何が起きたのか、そしてなぜ「預けた側」に役が残るのかを順に見ていきます。

何が起きたか：委託先1社で約7,700万件、サーバー97台・最大約380社

アララ株式会社は2026年11月2日、同社のメール配信サービス「アララメッセージ」への不正アクセスについて、第2報を公表しました。発表したのはサービスを提供している側、つまり委託先です。

公表されたのは3つの区分です。1つ目は、同社のサービス内にある契約企業ごとの環境に侵入され、メールアドレスと会員情報が持ち出されたもの。持ち出されたのは約7,700万件で、同社は精査中としています。2つ目は、10月29日に公表していた共用環境の分です。3つ目は、同社のサービスが不正に利用され、カード会社を装った不審なメールが送信されたものです。

区分ごとの件数と対象は図2にまとめました。1つ目の対象となる契約企業は、現時点の推計で最大約380社です。

出典：アララ株式会社「当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」（2026年11月2日）をもとに編集部が整理。

持ち出された可能性のある項目は、メールアドレスのほか、契約企業がサービスに登録していた氏名・性別・生年月日・電話番号・会員番号・住所などです。どの項目が入っているかは契約企業によって違います。クレジットカード番号は、同社が「一切保有しておりません」としています。

原因について、第1報は「Webサーバーの脆弱性」としていました。第2報では、それに加えて「システム環境における問題」も関係していたとしています。侵入の開始時期と経路は、調査中です。

そして、サービスそのものが止まりました。10月31日19時53分に全面停止し、再開の時期は未定です。再開にあたっては、契約企業に管理画面のパスワードや認証情報の再設定を求める予定だとしています。

影響は1社では終わっていません。報道によると、ビックカメラ・コジマ・ソフマップの3社は11月2日、3社合計で約1,490万件のメールアドレスなどに流出の可能性があると公表しました。クレジットカード情報と各社の通販サイトのログイン情報は対象外としています。同じ委託先を使っていた企業の公表は、この3社のほかにも報じられています。

ここで注意したい数え方が2つあります。1つは、約7,700万件は「件数」であって人数ではないことです。第2報は、個人が複数のアドレスを持っている可能性があるため最終ユーザー数を示すものではないと明記しています。もう1つは、3つの区分の件数を足せないことです。区分の間で同じアドレスが重複している可能性があるため、同社も合算していません。

そもそも「委託」とは：法律は委託先を「第三者」と呼ばない

名簿を外部のサービスに預けるとき、ふつうは本人に同意を取り直しません。預け先が増えるたびに全会員へ連絡していたら、業務が回らないからです。

これは慣行ではなく、法律がそう決めています。個人情報保護法は、第三者に個人データを渡すには本人の同意が要るとしたうえで、委託に伴って渡す場合は、渡された側を「第三者に該当しないものとする」と定めています（法第27条第5項第1号）。

出典：個人情報の保護に関する法律（平成15年法律第57号）第25条、第26条第1項・第2項、第27条第5項第1号（e-Gov法令検索、2026年11月5日確認）をもとに編集部が作図。

つまり委託先は、第三者提供のルールを当てはめるかぎり「外の人」ではありません。自社の延長として扱われます。だから同意を取り直さずに名簿を渡せます。

その代わりに、自社の側に義務が残ります。1つは、委託先に対して「必要かつ適切な監督」を行うこと（法第25条）。もう1つは、事故が起きたときに国に報告すること（法第26条第1項）。そしてもう1つは、本人に知らせること（法第26条第2項）です。

本人への通知には逃げ道が1つあります。通知が難しい場合は、本人の権利利益を守るために必要な代わりの措置をとればよいとされています（同項ただし書）。公表と問い合わせ窓口の設置がこれにあたります。ただし、代わりの措置を用意するのも自社の仕事です。

身近なものに見立てると、委託は「名簿のコピーを、自社の金庫の鍵を渡した相手に置く」ことに近いです。鍵を渡した相手は外部の人ではなく、鍵を預かった人です。だから持ち出されたとき、鍵を渡した判断の責任は渡した側に残ります。

なお、仕事が終わったあとも預けたデータが相手に残り続ける問題は、別の構造です。こちらは委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめるで扱いました。本記事が扱うのは、いま動いている委託先が破られたあとの役割分担です。

第一報の約301万件は、4日後に約7,700万件になった

今回の経緯には、預けた側にとって重要な事実が1つあります。最初の発表の数字は、4日で約26倍になりました。

10月29日の第1報は、不正アクセスを受けたのは「1システム」で、流出したのはメールアドレス約301万件としていました。11月2日の第2報では、範囲は契約企業の環境のサーバー97台に広がり、件数は約7,700万件になりました。流出した情報も、メールアドレスだけから、氏名などの会員情報を含むものに変わりました。

出典：経緯はアララ株式会社の第1報（2026年10月29日）および第2報（2026年11月2日・別表1）による。報告の期限は個人情報保護委員会「漏えい等の対応とお役立ち資料」の記載による。

これは委託先の落ち度を数えるための話ではありません。調べていくうちに範囲が広がるのは、不正アクセスの調査では起こります。第2報も、件数は精査中であり今後変わる可能性があると書いています。

預けた側にとって大事なのは、ここから出てくる1つの判断です。委託先の第一報の数字を、自社の説明に固定してはいけません。

顧客に出す案内で「約300万件のうち、自社に関係するのは◯件です」と書いてしまうと、数字が増えたときに二度目の訂正が必要になります。書き方は「現時点で確認できていること」と「まだ確認中のこと」を分ける形にします。項目についても同じです。最初は「メールアドレスのみ」と聞いていたものが、氏名を含むものに変わりました。

国への報告の期限も、この前提で見ます。個人情報保護委員会は、速報を発覚日から3〜5日以内、確報を発覚日から30日以内としています。不正な目的で行われたおそれがある場合の確報は60日以内です。速報は「報告をしようとする時点において把握しているもの」で足りると規則に書かれています。つまり制度の側も、最初の報告が未確定であることを前提にしています。

本質はどこにあるか：作業は渡せても、顧客に知らせる役は渡せない

報道はこのニュースを「大規模な情報流出」「サプライチェーンの問題」として扱っています。解説記事は、契約企業が今週やる手順を並べています。どちらもそのとおりです。ただ、そこで止まると経営の話になりません。

本質は、委託先のセキュリティが足りなかったことではありません。外に出せるのは作業であって、顧客に向き合う役ではない、ということです。

これは心構えの話ではなく、条文の作りがそうなっています。法第26条第1項のただし書は、委託を受けた者が委託元に通知したときは、委員会への報告をしなくてよいとしています。そして同条第2項は、本人への通知義務を負う者から「同項ただし書の規定による通知をした者を除く」と書いています。

出典：個人情報の保護に関する法律第25条・第26条第1項・第2項、同法施行規則第9条（e-Gov法令検索、2026年11月5日確認）および個人情報保護委員会のFAQ「委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。」の記載をもとに編集部が整理。

個人情報保護委員会も、委託先で漏えいが起きた場合は「原則として委託元と委託先の双方が報告する義務を負います」としたうえで、連名での報告ができると説明しています。そして、委託先が委託元に通知した場合には、委託先の報告義務は免除されるとしています。

整理すると、委託先の義務は「委託元に知らせる」ところで終わらせられます。委託元の義務は、そこから始まります。

判断軸で見ると、仕組みになるかには効きます。これまで「どこに何を預けているか」は、担当者の頭の中と請求書の中にありました。事故の連絡が来る前提で一覧にすれば、それは会社に残ります。

成長に効くかも、条件付きで効きます。外部のサービスに業務を出す判断は、ふつうコストと速さで決まります。ここに「事故のとき誰が顧客に向き合うか」を1列足すと、同じ料金でも選ぶ相手が変わることがあります。事故の連絡が何日で来るか、誰に来るかを契約の前に聞ける相手かどうかは、料金表には載りません。

人が育つかについては、この件は直接は関係しません。ただ、顧客への連絡文を誰が書くかを決めておくことは、その人に判断を渡すことでもあります。

言い換えると、このニュースは委託の是非を問うものではありません。預けること自体は合理的で、法律も同意を取り直さずに渡せる形を用意しています。問われているのは、預けたあとに自分の側へ残ったものを知っているかどうかです。

報告する側になる線は、名簿1,000人だけではない

では、どんなときに国へ報告する側になるのでしょうか。「大きな会社の話だろう」と読み飛ばされやすいところなので、数字で確かめます。

個人情報保護法施行規則第7条は、報告が必要な事態を4つ並べています。要配慮個人情報が含まれる場合、不正に利用されると財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある行為による場合、そして本人の数が千人を超える場合です。いずれも「発生したおそれがある事態」を含みます。

出典：個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）第7条・第8条第2項（e-Gov法令検索、2026年11月5日確認）。期限は個人情報保護委員会「漏えい等の対応とお役立ち資料」の記載による。

4つは並んでいます。順番に当てはめていくものではなく、どれか1つに当たれば報告の対象になります。

ここが読み違えられやすいところです。会員が1,001人いれば第4号に当たります。これはわかりやすい線です。しかし会員が200人しかいなくても、第三者の不正アクセスによる漏えいなら第3号に当たり、人数は関係ありません。

今回のように、外部の第三者がサーバーに侵入してデータを持ち出した事態は、第3号に当たりうるものです。個人情報保護委員会も、第3号の例の筆頭に「不正アクセスにより個人データが漏えいした場合」を挙げています。そして第3号に当たる場合の確報の期限は、30日ではなく60日になります。期限が長いのは、調査に時間がかかる事態だと制度の側も見ているからだとみられます。

条文は第3号を「当該個人情報取扱事業者に対する行為」と限っています。破られたのは委託先のシステムなので、自社に対する行為とは読みにくいところです。それでも委員会は、委託先で漏えいが起きた場合は原則として委託元と委託先の双方が報告する義務を負うとしています。だから、判断を自社だけで閉じないことが要ります。

まぎらわしいのが第2号です。個人情報保護委員会が例に挙げているのは、カード番号を含む個人データが漏れた場合と、送金や決済ができるサービスのIDとパスワードの組み合わせが漏れた場合です。今回はカード番号が保有されておらず、持ち出されたのはメールアドレスと氏名などなので、第2号には当たりません。

ただし、氏名とアドレスは、カード会社や取引先を装う連絡の材料にはなります。今回も同社のサービスが不正に利用され、カード会社を装う不審メールが最大約713万通送られました。この713万通の送信先は、第三者が外部から持ち込んだアドレスです。持ち出されたアドレスに送られたものではありません。

なお、これらは「報告の対象になるか」の線であって、「報告すれば終わる」という話ではありません。報告と並んで、本人への通知が要ります。

本人に知らせるとき、何を書くと決まっているか

本人への通知について、「何を書くか」は会社の裁量だと思われがちです。実際には、規則が項目を指定しています。

施行規則第10条は、本人への通知で伝える事項として、規則第8条第1項の第1号・第2号・第4号・第5号・第9号を引いています。つまり、概要、漏れた（またはそのおそれがある）個人データの項目、原因、二次被害またはそのおそれの有無とその内容、その他参考となる事項の5つです。時期は「当該事態の状況に応じて速やかに」です。

なお、5つを常に全部書けという定めではありません。条文は「当該本人の権利利益を保護するために必要な範囲において」と限っています。それでも、何を書くことになるかを先に知っておくほうが早く動けます。

出典：個人情報の保護に関する法律施行規則第8条第1項・第10条（e-Gov法令検索、2026年11月5日確認）をもとに編集部が整理。各項目をどちらの側で書くかの振り分けは編集部の整理です。

この5項目を見ると、委託先からの連絡を待たないと埋まらないのは2つだけだとわかります。「項目」と「原因」です。残りの3つ、つまり概要の枠組み、二次被害への注意の書き方、問い合わせ窓口と確認中の範囲は、事故が起きる前に下書きできます。

ここが、今週できることにつながります。委託先から連絡が来てから文面を考え始めると、社内の承認だけで数日かかります。先に3項目を用意しておけば、残りの2項目を埋める作業になります。

逆に、先に決めておかないと困るのが問い合わせ窓口です。顧客への通知を出せば、問い合わせが来ます。メールで受けるなら、その受信箱を誰が見るのかを決めておきます。配信が止まっている状況では、メール以外の経路も要るかもしれません。

自社をかたる不審なメールへの注意喚起も、この通知に含めることになります。ただ、注意を呼びかけるだけでは足りません。自社の連絡が本物だと確かめてもらう方法を用意する話は、無印良品2,726万件流出の恐れ。自社の連絡は本物と示せるかにまとめています。

あなたの事業に転用すると：小売・ECと、士業・サービス業で何を見るか

あなたの会社で同じ構造があるとすれば、それは「セキュリティ対策が足りているか」ではありません。同意を取り直さずに名簿を渡せる相手が何社あり、そのうち何社から事故の連絡が来る道が通っているかです。

出典：置き換え例は編集部の作例です。

小売・EC業なら、外に預けているのはメール配信、会員管理、予約、カート決済あたりです。最初に見るのは、会員名簿が置かれている外部サービスの数と、それぞれの事故の連絡がどのアドレスに届くかです。止まった週に困るのは注文確認と発送のお知らせなので、この2通だけは代わりの送信経路を先に決めておきます。

士業・サービス業なら、外に預けているのは顧客管理、請求、電子契約、DM発送の代行です。最初に見るのは再委託先の有無です。自社が預けた先が、さらに別の会社に出していることがあります。止まった週に困るのは請求と期限の通知なので、顧客への通知文の3項目を先に下書きしておきます。

どちらの場合も、全部を洗う必要はありません。預けた名簿がいちばん重い1社から始めれば足ります。優先順位を決めるのは取引額ではなく、預けた名簿の件数と項目です。月3万円のサービスに10万人分の名簿が入っていることは、よくあります。

この表の右の列は、料金表には載っていません。預ける前に聞いておけば1往復で済みます。すでに預けている相手については、次の更新のときに聞けば足ります。

備えそのものを取引の説明材料にしていく流れはサイバー攻撃と災害に備える最低限の実務に、取引先からセキュリティの等級を求められる動きはセキュリティ等級の申請受付は27年3月予定。★は取引先が指定するに書いています。

5問で確認する　委託先が止まった週に動けるか

SELF CHECK / 無料・登録不要

5問で確認｜委託先が止まった週に動けるか

いま自社が使っている外部のサービスと、顧客に出しているメールを思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1顧客や会員の名簿を置いている外部のサービスを、社名まで言える

   全部言える主要なものだけ数えたことがない
2. Q2その外部サービスからの事故の連絡が、誰のアドレスに届くか決まっている

   共有の宛先に届く担当者個人に届くわからない
3. Q3顧客に出しているメールのうち、止まると業務が止まるものを特定できる

   特定できるだいたい分かる考えたことがない
4. Q4顧客への通知文を、誰が書き、誰が承認するかが決まっている

   決まっているそのとき相談する決まっていない
5. Q5名簿を預けた先が、さらに別の会社に出していないかを確かめている

   確かめている主要な1社だけ確かめていない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

出典・調査の対象範囲