JR九州（九州旅客鉄道）は2026年11月4日、メールマガジンの配信業務を委託している事業者が利用するアララのメール配信サービスが不正アクセスを受け、同社の分譲マンションのモデルルームに来場した人や資料請求をした人の氏名とメールアドレスが、最大約13,000件漏えいした可能性があると発表した。住所や電話番号などは、今回の件で漏えいした可能性はないとしている。
JR九州の発表内容
JR九州によると、対象は、分譲マンションのモデルルームへの来場者や資料請求者などの情報のうち、メールマガジンの配信先として登録されている最大約13,000件。漏えいした可能性がある情報は氏名とメールアドレスである。
同社は、現時点では一部の顧客のメールアドレスを含む電子メールの処理などを記録したログデータが、閲覧または取得された可能性を否定できない状況だと説明している。二次被害は確認されていない。
対象の顧客には、調査が終わり準備が整い次第、各物件の販売会社から個別におわびの連絡をする。あわせて、今回の件に便乗した不審なメールが届くおそれがあるとして、心当たりのないメールのURLや添付ファイルを開かず、IDやパスワードなどを入力しないよう呼びかけている。
アララ側で明らかになっていること
アララが11月2日に公表した第2報によると、同社のメール配信サービスでは、10月28日から31日にかけて、第三者が同社のサーバーを経由して契約企業の環境にあるサーバー97台に侵入し、データベースの内容を持ち出した。持ち出されたメールアドレスの件数は精査中ながら約7,700万件とされ、アララは10月31日にサービスの提供をすべて停止している。
メール配信の委託先で、事故が続いている
JR九州は10月にも、別の委託先であるユミルリンクへの不正アクセスに伴うメールアドレスなどの漏えいを公表している。メール配信は多くの企業が外部のサービスに任せている業務であり、そこが狙われると、利用企業が自社のシステムを直接攻撃されていなくても、顧客情報に漏えいのリスクが及ぶ。
対策として、まず、自社の顧客情報がどの委託先や、その先のどのサービスに渡っているのかを一覧にしておく。そのうえで、預ける項目を必要最小限に絞る、委託先のセキュリティ対策を定期的に確かめる、事故が起きたときの連絡と判断の流れを決めておく、といった備えを重ねていきたい。
同じ手口に、自社は備えられていますか？