ビックカメラのメルマガや、アソビューの会員向けメール。その配信を請け負うアララへの不正アクセスを受け、利用企業から情報流出やその可能性の発表が相次いでいます。[2][3]
「アララには登録した覚えがない」。そう思った人も、いつもの店や予約サービスのお知らせを確かめてください。メールを届けるための情報が、利用先からアララへ預けられていたためです。[2][3]
2026年11月4日20時15分（日本時間）までに確認した公表内容に基づきます。アララの規模に関する数字は、11月2日の第2報によるものです。
同じ委託先でも、流出した情報は違う
ビックカメラグループが発表したのは、メールアドレス等が流出した可能性。アソビューが確認した流出には、氏名や電話番号、チケットの購入・利用情報まで含まれていました。[2][3]
| サービスと発表日 | 公表された件数 | 対象情報と調査の状況 |
|---|---|---|
| ビックカメラ・コジマ・ソフマップ 11月2日 |
グループ合計 約1,490万件 |
メールアドレス等が流出した可能性。カード情報と各社通販サイトのログイン情報は対象外。[2] |
| アソビュー！ 11月3日 |
15,821,184件 | メールアドレス、会員情報、電話番号などの連絡先、チケット購入・利用情報等の流出を確認。パスワードとカード情報は対象外。[3] |
| TKCのシステム 11月4日第3報 |
最大2,230,812件 | メールアドレスが漏洩したとの報告。メール本文、マイナンバー、市町村への申請情報等は漏洩していないことを確認。対象者は調査中。[4] |
| 琉球銀行 11月4日第2報 |
96,477件 | 10月8〜29日に配信したメールの一部で、宛先アドレスの流出を確認。氏名、住所、口座情報、暗証番号等の流出は確認されていません。[5] |
| クラシエ「Kampoful Life」 11月4日 |
59,428件 | 10月8〜29日の配信先メールアドレスの流出を確認。氏名、住所、ログインパスワード、カード情報等は流出していないと説明。[6] |
掲載したのは公表例の一部で、件数は各社の発表値です。同じ利用者が複数のサービスに含まれることもあり、足し合わせても被害者数にはなりません。琉球銀行とクラシエは、配信サービス名をアララの「repica」と表記しています。[5][6]
利用した施設を知る相手から連絡が来たら
アソビューの流出項目には、利用施設名や利用日時も含まれます。相手が自分の名前や利用した施設を知っていても、それだけで本物だとは判断できません。
同社が注意を呼びかけているのは、「返金」「キャンセル」「本人確認」などを理由に、情報や支払いを求める連絡です。施設名や日時を言い当てられても、相手の指示に沿って手続きを進めず、公式の窓口から確かめてください。[3][9]
約7,700万件はメールアドレスの数
アララが11月2日の第2報で示した約7,700万件は、持ち出された恐れも含むメールアドレスの件数で、精査が続いています。複数のアドレスを使っている人もいるため、そのまま被害者の人数には置き換えられません。[1]
| 公表された区分 | 件数や通数 | 数えているもの |
|---|---|---|
| 契約企業の環境で新たに判明した範囲 | 約7,700万件 | 持ち出された恐れも含むメールアドレスの件数。精査中。 |
| 先に公表されていた共用環境 | 3,386,187件 | この区分内で重複を除いたメールアドレスの件数。 |
| サービスを悪用した不審メールの送信 | 最大約713万通 | 送信されたメールの通数。宛先は第三者が外部から持ち込んだアドレス。 |
区分どうしには同じアドレスが重複する可能性があり、アララは合計を出していません。約338万件と約7,700万件を足したり、約338万件を約7,700万件の内数として扱ったりしないよう、分けて読む必要があります。[1]
不審メールの宛先は、第三者が外部から持ち込んだアドレスでした。メールを受け取ったという事実だけでは、今回の流出対象に当たるかどうかは分かりません。[1]
大阪府では利用者登録やパスワード再設定が停止
大阪府は11月4日14時、行政オンラインシステムの利用者のメールアドレスが漏洩した可能性を公表しました。漏洩の有無と件数は確認中。利用者登録、メールアドレスの変更、パスワードの再設定は使えない状態ですが、それ以外の機能は利用できます。[7]
TKCは同日の第3報で、漏洩したのはメールアドレスのみと確認。メール本文、マイナンバー、市町村への申請情報等は漏洩していないと発表しました。対象者の特定を続ける一方、止まったメール配信を再開するため、別のメール基盤から送信できるよう対応しています。[4]
大阪市が11月3日の第1報で調査中としていたのは、メールアドレスや氏名等の漏洩可能性です。翌4日、提供事業者のTKCは対象情報をメールアドレスのみと発表しています。市のシステムや提供事業者のデータセンターへの不正アクセスは、市の第1報では確認されていません。[4][8]
TKCが示した最大2,230,812件は、同社のシステム全体の発表値です。大阪府や大阪市だけの件数ではありません。手続きの期限が近いなら、使いたい機能が動くかを自治体のお知らせで確かめ、窓口に代わりの手続き方法を問い合わせてください。[4][7][8]
返金や本人確認のメールは、公式アプリで確かめる
琉球銀行は、流出したメールアドレス宛てのフィッシングメール等に注意を呼びかけています。同行がメール等で暗証番号を尋ねることはありません。[5]
「返金に必要」「本人確認をしてほしい」と案内されたら、確認に使うのは普段の公式アプリや、保存してあるブックマーク。メールやSMSに書かれたURLや電話番号を使わず、公式サイトやアプリから確かめるよう、IPAも勧めています。[9]
アソビューと琉球銀行では、どの利用者が対象なのかを調べています。個別通知がまだ届いていない段階では、対象外かどうかも分かりません。利用先の公式発表で、対象となる情報や期間、個別連絡の予定を確認しておきましょう。[3][5]
偽サイトに入力した場合は、正規の窓口から対処する
偽サイトでパスワードを入力した場合は、正規のサイトやアプリから速やかにパスワードを変更してください。他のサービスでも同じものを使っていたなら、そちらも変更が必要です。カード情報を入力した人は、すぐにカード発行会社へ連絡を。[9]
メールアドレスの流出に伴う手続きは、利用先の公式案内で確認してください。[2][3][9]
参照した公式発表
- アララの不正アクセスに関する第2報（PDF）（2026年11月2日）
- ビックカメラ・コジマ・ソフマップの連名発表（2026年11月2日、ソフマップ公式掲載）
- アソビューの委託先メール配信サービスへの不正アクセスに関する発表（2026年11月3日）
- TKCのメール配信委託先からの情報漏洩に関する第3報（2026年11月4日）
- 琉球銀行のメールアドレス流出に関する第2報（2026年11月4日）
- クラシエ「Kampoful Life」の会員情報流出に関する発表（2026年11月4日）
- 大阪府の行政オンラインシステムに関する発表（2026年11月4日14時）
- 大阪市の行政オンラインシステムに関する第1報（2026年11月3日13時）
- IPAの不正ログイン被害とフィッシング対策の案内（フィッシングサイトに情報を入力した後の対処を含む）
コメント