首都圏と近畿圏でスーパーマーケットを展開するライフコーポレーションは2026年11月6日、ネットスーパー「ライフネットスーパー」の会員のメールアドレスなど13万3,330件が外部に流出した可能性があると発表した。メールマガジンの配信業務を委託している富士通が、さらに業務を委ねていた再委託先のアララのメール配信サービスが第三者による不正アクセスを受けたことが原因である。10月末に発覚したアララへの不正アクセスは、委託や再委託を通じて影響を受けた企業の公表が続いており、ライフもその1社となった。
委託先からの連絡で発覚、配信を許諾した会員が対象
ライフの発表によると、11月3日に富士通から、同社が利用するアララのメール配信サービスに第三者による不正アクセスがあったとの連絡を受けた。その後の調査で、ライフの顧客の情報が流出した可能性があることが11月4日に判明した。
流出した可能性があるのは、ネットスーパーでメール配信を許諾している会員と、過去に一度でも許諾したことがある会員の情報で、件数は13万3,330件。項目はメールアドレス、郵便番号、ネットスーパーの会員登録日である。過去に一度もメール配信を許諾したことがない会員の情報は、対象に含まれていない。
氏名、住所、電話番号、クレジットカード番号、ポイントカード番号、ログイン用のIDとパスワードは流出していないとしている。
注文システムへの影響はなし、配信サービスの利用を停止
ライフは、不正アクセスを受けたメール配信サービスの利用を停止し、富士通およびアララとともに必要な手続きを進めている。今回の事象はメールマガジン配信に使う外部サービスで起きたもので、ネットスーパーの注文システム自体には影響がないと説明している。
利用者に対しては、同社がメールでクレジットカード番号などの重要な個人情報を尋ねることはないとして、同社を装った不審なメールのURLや添付ファイルを開かないよう呼びかけている。
再委託先まで含めた「見えにくい委託の連鎖」をどう管理するか
今回、情報が流出した可能性があるのは、ライフが直接契約していない再委託先のサービスである。発注元の企業にとって、委託先がさらにどのサービスを使っているかは把握しにくく、被害が起きて初めて連絡が届くことになりやすい。
アララのメール配信サービスをめぐっては、小売や飲食、金融、不動産など業種を問わず、利用企業による公表が相次いでいる。メールアドレスと郵便番号の組み合わせでも、実在する店名を名乗り、偽サイトへ誘導して個人情報などを盗もうとするフィッシングメールに悪用されるおそれがある。
会員の情報を外部サービスに預ける企業は、委託先だけでなく再委託先まで含めて、どの情報がどこに置かれているかを洗い出しておく必要がある。あわせて、配信に必要な項目だけを渡す、配信を停止した会員のデータを残さないといった、預ける情報そのものを減らす取り組みも、被害の規模を左右する。
同じ手口に、自社は備えられていますか？