住友不動産は2026年11月4日、メール配信業務を委託しているデータXが利用する、アララのメール配信サービスで第三者による不正アクセスが起き、同社が保有するメールアドレス205,208件が外部に流出したと発表した。対象は、分譲住宅事業について問い合わせをした顧客である。氏名や住所など、メールアドレス以外の情報は含まれていないという。
住友不動産の発表内容
住友不動産によると、流出が判明したのは11月2日。発覚後すぐに個人情報保護委員会に報告した。
流出の対象は、分譲住宅事業について問い合わせをした顧客のメールアドレスのうち、10月8日から10月29日までにメールが配信されたものである。件数は205,208件。現時点で、このメールアドレスの不正利用や二次被害は確認されていないとしている。
同社は安全が確認できるまで、このメール配信サービスの利用を止めている。流出したメールアドレスを悪用したフィッシングメール（偽のサイトに誘導して個人情報などを盗み取ろうとするメール）や不審な連絡が届くおそれがあるとして、送信元や内容をよく確かめ、不審なURLや添付ファイルを開かないよう呼びかけている。
「委託先の、さらに先」で起きた事案
今回の流出は、住友不動産が直接契約している相手ではなく、委託先のデータXが利用していたアララのサービスで起きた。
アララが11月2日に公表した第2報によると、10月28日から31日にかけて、第三者が同社のサーバーを経由して契約企業の環境にあるサーバー97台に侵入し、データベースの内容を持ち出した。持ち出されたメールアドレスは精査中ながら約7,700万件にのぼり、アララは10月31日にサービスの提供をすべて停止している。
再委託先まで見えているか
業務を外部に委託するとき、委託先がさらに別のクラウドサービスや事業者を使っていることは珍しくない。発注元が委託先と契約を交わしていても、その先でどのサービスに自社の顧客情報が預けられているかまで把握できていないこともある。
今回のように再委託先で事故が起きると、発注元は事実の確認や顧客への説明で後手に回りかねない。委託先に、顧客情報を預ける先のサービスを開示してもらうこと、再委託先も含めてセキュリティ対策を確かめること、事故のときの連絡の流れを契約で決めておくことが、委託先などを含めた取引のつながり（サプライチェーン）全体で情報を守るための基本になる。
国内では、取引先を含むサプライチェーンのセキュリティを評価する制度づくりも進んでいる。自社の対策だけでなく、委託先・再委託先の管理を点検する機会としたい。
同じ手口に、自社は備えられていますか？