三井住友銀行は2026年11月5日、メール配信に利用しているアララのサービス「アララメッセージ」が第三者による不正アクセスを受け、同行がメール配信に使ったメールアドレス22万7,216件が外部に漏えいしたと発表した。同行は主に法人顧客向けのメール配信にこのサービスを使っており、一部の個人事業主向けの配信にも利用していた。銀行口座番号や預金残高、暗証番号、インターネットバンキングのログインID・パスワードなどは含まれていないとしている。
漏えいしたのは7月以降の配信先アドレス
同行によると、アララから報告を受けた漏えい情報は、2026年7月1日から10月31日までに同行が配信したメールの宛先（メールアドレス）に限られる。
経緯は次のとおりである。同行は10月28日、アララから不正アクセスが発生したことと、ログ調査の結果では情報漏えいは確認されていないとの報告を受けた。その後、11月2日にアララから、調査で同行の配信先メールアドレスが外部に漏えいしたことを確認したとの報告を受けたという。
同行は今後、アララと連携して不正アクセスの発生時期や経緯、影響範囲などの確認を進め、関係当局にも報告するとしている。11月5日から11月30日まで、専用の問い合わせ窓口を設けた。
なお、アララが11月2日に公表した第2報では、原因をWebサーバーの脆弱性（セキュリティ上の弱点）およびシステム環境における問題としており、10月31日にアララメッセージの提供をすべて停止したと説明している。
法人向けの連絡を装う詐欺メールに注意
漏えいしたのはメールアドレスだけだが、「三井住友銀行から届いたメールの宛先」という情報は、同行をかたる詐欺メールに悪用されるおそれがある。取引のある銀行の名をかたって、振込先の変更やインターネットバンキングの再認証を求めるフィッシングメール（偽のサイトなどに誘導して情報を盗むメール）は、受け取る側が本物と見誤るおそれがある。
同行も、同行をかたる不審なメールが送られる可能性があるとして、本文中のURLへのアクセスや添付ファイルの開封、ID・パスワードや口座情報、暗証番号、クレジットカード情報などの入力をしないよう呼びかけている。あわせて、同行がメールでパスワードやクレジットカード情報の入力を求めることは一切ないとしている。
「配信を任せた先」までが自社の守る範囲
アララメッセージへの不正アクセスをめぐっては、10月末以降、小売や外食、自治体などで配信先アドレスが流出したとの発表が相次いでおり、メガバンクにも影響が及んだ形である。メール配信のように定型化された業務ほど外部サービスに任せやすいが、預けたデータの保管期間や範囲、事故が起きたときの報告の流れまでを契約時に確かめておくことが、事故の際に自社の顧客情報への影響を把握し、説明するうえで重要になる。
特に法人顧客の担当者のアドレスは、取引先などを装って不正な送金などを求めるビジネスメール詐欺（BEC）の足がかりにもなる。受け取る企業の側でも、取引銀行や取引先を名乗るメールで振込先の変更や認証のやり直しを求められたら、メールに書かれた連絡先ではなく、普段使っている窓口に確認する運用を徹底したい。
同じ手口に、自社は備えられていますか？