三井不動産は2026年11月5日、オフィスのテナント企業で働く人向けに運営する会員サービス「&BIZ（アンドビズ）」で、メールマガジンの送信先として登録されたメールアドレス13万3,323件が外部に漏えいしたと発表した。メールマガジンの配信業務を任せていた委託先が利用する、アララのメール配信システムが第三者による不正アクセスを受けたためである。このメール配信システムでは&BIZに登録された氏名などの個人情報を扱っておらず、それらの漏えいは確認されていないとしている。
委託先が利用するメール配信システムで発生
今回の漏えいは、三井不動産が直接契約する委託先ではなく、その委託先が利用していたアララのシステムで起きた。三井不動産の発表によると、経緯は次のとおりである。
- 10月27日〜31日：アララのメール配信サーバーで不正アクセスが発生
- 11月2日：委託先から三井不動産へ、不正アクセスと&BIZに関する情報漏えいの可能性について第一報
- 11月4日：委託先から、&BIZのメールマガジン送信先として登録されたメールアドレス約13万件の漏えいが判明したとの追加報告
同社は現在、&BIZのメールマガジン配信を休止しており、安全性が確認されるまで再開しないとしている。対象となった会員には個別に案内する予定で、現時点で二次被害は確認されていないという。
アララは11月2日の第2報で、原因をWebサーバーの脆弱性（セキュリティ上の弱点）およびシステム環境における問題とし、10月31日にメール配信サービス「アララメッセージ」の提供をすべて停止したと公表している。
勤務先が推測できるアドレスは、なりすましメールに悪用されるおそれ
&BIZはオフィスビルに入居する企業の従業員を対象にしたサービスであり、サービスの性格から、仕事用のメールアドレスが多く含まれている可能性がある。会社のドメイン（メールアドレスの「@」より後ろの部分）を使ったアドレスは、勤務先や入居先のビルを推測する手がかりになる可能性があり、ビル管理会社や会員サービスを装ったメールの送り先として悪用されるおそれがある。
三井不動産も、同社やグループ各社、アララを装った不審なメールを受け取った場合は、本文中のURLへのアクセスや添付ファイルの開封、個人情報の入力・回答をしないよう呼びかけている。
テナント企業の側から見れば、従業員が業務用アドレスを登録していた場合、そのアドレスが自社の管理の外にあるメール配信システムから漏れたことになる。社員が業務用アドレスで外部の会員サービスに登録している実態を把握し、ビル管理やイベント案内を名乗るメールにも注意を促しておくことが、二次被害を防ぐうえで現実的な対策になる。
同じ手口に、自社は備えられていますか？