「串家物語」などを運営する株式会社フジオフードシステムは2026年11月6日、会員向けメール配信業務の委託先であるGMOコマース株式会社が利用するメール配信システム（提供元：アララ株式会社）が第三者による不正アクセスを受け、「串家物語」と「デリスデュパレ」の会員のメールアドレス計316,668件が外部に流出したと発表した。氏名、住所、電話番号、会員サイトのパスワード、クレジットカード情報は流出していないとしている。
委託先が利用するシステムで発生
発表によると、今回の不正アクセスは、フジオフードシステムがメール配信業務を委託しているGMOコマースが利用する、アララ社のメール配信サービスで起きた。
アララ社の公表によると、2026年10月28日から31日にかけて、同社のメール配信サービスに対する不正アクセスにより情報が持ち出された。フジオフードシステムは11月4日にGMOコマースから第一報を受け、11月5日に自社グループの会員のメールアドレスが流出対象に含まれていることを確認した。
流出した情報と件数
流出したのはメールアドレスで、件数は計316,668件である。内訳は「串家物語」が316,651件、「デリスデュパレ」が17件。件数はGMOコマースからの11月5日付の報告に基づくとしている。
メール配信と会員登録・退会手続きを停止
フジオフードシステムは、2026年10月31日から次のサービスを停止しており、再開時期は未定である。
– お知らせ・キャンペーン情報のメール配信
– クーポンのメール配信（お誕生日クーポンを含む）
– モバイル会員サイトの新規会員登録・退会手続き（確認メールを送信できないため）
メール配信の停止で誕生日クーポンを届けられなかった利用者への対応は、検討中としている。
同社は、委託先を通じてメール配信サービスとの接続を止め、接続に使っていた認証情報（接続先が正当かを確かめるためのIDやパスワードなど）を無効化した。個人情報保護委員会へ速やかに報告するとしており、対象となる利用者にはメールで知らせる。あわせて、委託先の管理体制を見直し、再発防止に努めるとしている。
委託先が利用するサービスまで把握できているか
今回の事案では、フジオフードシステムが業務を委託したGMOコマースの利用する外部サービスに、会員のメールアドレスが保存されていた。委託元の企業が直接の契約相手だけを管理していても、その先でどのサービスが使われ、どこにデータが保存されているかまでは見えにくい。
アララ社のメール配信サービスへの不正アクセスをめぐっては、利用企業による漏えいの公表が続いている。メールアドレスだけの流出であっても、どの店舗やサービスの会員かが分かれば、その企業を装ったフィッシングメール（偽のメールで偽サイトに誘導し、IDやカード番号などをだまし取る手口）の材料になる。また、フジオフードシステムは、アララ社の公表内容として、同社のサービスが不正に使われた際に、クレジットカード会社を装った不審なメールが送信されたことも伝えている。
委託先を選ぶときには、再委託の有無や使っているサービス、データの保存場所と保存期間を確認し、事故が起きた際の報告ルールを取り決めておくことが重要になる。
同じ手口に、自社は備えられていますか？