印刷・コピーサービスを展開するキンコーズ・ジャパン株式会社は2026年11月9日、メールマガジンの配信に利用していたアララ株式会社のメール配信サービス「アララメッセージ」への不正アクセスについて第二報を公表し、会員のメールアドレス26万6,395件の流出を確認したと発表した。11月2日の第一報の時点で流出が確認されていたのはメールアドレスだけだったが、その後、氏名や生年月日、会員証番号なども流出していたことが分かった。
第一報からの変化
キンコーズ・ジャパンは、店舗やオンラインサービスの利用者向けに、登録料・年会費無料の個人向け会員制度「スマートメンバーシップ」を設けている。この会員向けメールマガジンの配信に、アララメッセージを利用していた。
同社は2026年11月2日に第一報を公表したが、その時点で流出が確認された情報はメールアドレスのみだった。その後、アララ社からの追加報告により、メールアドレスに加えて氏名、生年月日、会員証番号などの情報も流出していたことが判明したという。
流出が確認された情報
第二報によると、流出が確認された会員のメールアドレスは26万6,395件。このうち26万2,875件はメールアドレス以外の情報の流出も確認され、3,520件はメールアドレスのみの流出が確認された。
メールアドレス以外に流出が確認された情報は、氏名、生年月日、スマートメンバーシップの会員証番号、会員ステージ、よく利用する店舗、会員登録日時。同社はクレジットカード情報を保持しておらず、本件によるクレジットカード情報の流出はないとしている。
同社は安全性が確認されるまでアララメッセージを使ったメール配信を停止し、個人情報保護委員会への報告など必要な対応を進めている。あわせて、同社を含むアララメッセージの契約企業をかたるメールやSMS（ショートメッセージ）、電話、郵便物などに注意するよう呼びかけている。
委託先の被害は後から詳細が判明することがある
今回の事案では、委託先の調査が進むにつれて、流出が確認された情報の範囲が第一報より広がった。メール配信のような外部サービスでは、委託元の企業による被害の把握が、委託先の調査や報告に左右されることがある。
氏名と生年月日、利用店舗などがメールアドレスとひも付いて流出すると、本物らしく装ったフィッシングメール（偽サイトへ誘導して個人情報などを盗み取るメール）に悪用されるおそれがある。委託元の企業にとっては、配信サービスに渡す情報を配信に必要な項目だけに絞ること、委託先で事故が起きたときの報告の流れや利用者への連絡方法を契約の段階で取り決めておくことが、影響を抑えるための現実的な備えになる。
同じ手口に、自社は備えられていますか？