2026年11月5日、通販サイト「アイリスプラザ」は保存していた約770万人分の個人情報が閲覧・取得された可能性を、NTTドコモは最大約30万件の顧客情報の流出を公表した。同じ日には三井住友銀行も、メール配信の委託先アララへの不正アクセスで、メールアドレス22万7,216件が漏えいしたと発表した。3件の関連は公表されていない。アララは11月2日の第2報で、影響を受けた契約企業を最大約380社と推計している。
アイリスプラザは10月29日の第1報で「調査中」としていましたが、第2報で保存データの総数を示しました。ドコモは、自社のオンラインショップとMy docomoを止めたまま、原因と侵入経路を調べています。アララは11月2日の第2報で、持ち出されたか、持ち出されたおそれのあるメールアドレスを約7,700万件としました。精査中の数字で、利用者の人数ではありません。
ここ数週間、innovaTopiaでも速報一覧や個別の記事で、公表を1件ずつ伝えてきました。11月4日から5日にかけて出た大型の公表を並べ、それぞれ何が確認されていて何がまだわからないのか、利用者が何をすればよいのかを整理します。
11月4日〜5日の主な公表
| 公表日 | 組織 | 規模 | 主な項目 | 経路 |
|---|---|---|---|---|
| 11/5 | アイリスプラザ（第2報） | 保存データ約770万人分（会員約580万人・非会員約190万人）。閲覧・取得の可能性 | 氏名、住所、電話番号、メールアドレス。会員は性別、暗号化したパスワード、生年月日など | 外部クラウドサービスへの不正アクセス |
| 11/5 | NTTドコモ（第二報） | 最大約30万件 | 氏名、住所、生年月日、携帯電話番号、連絡先電話番号など | 自社サーバー（オンラインショップ、My docomo）への不正アクセス |
| 11/5 | 三井住友銀行 | 22万7,216件 | メールアドレス（主に法人・個人事業主） | 委託先アララ |
| 11/4 | モスフードサービス | 751万7,087件 | メールアドレス、年齢、性別、都道府県など | 委託先アララ |
| 11/4 | IIJ（IIJmio） | 98万3,458件 | メールアドレス | 委託先アララ |
| 11/2〜4 | TKC（第1〜4報） | 最大223万812件 | メールアドレス | 委託先アララ |
アララ経由のその他の公表件数は、後の節で触れます。
アイリスプラザ：「調査中」から約770万人分へ
アイリスオーヤマの公式通販サイト「アイリスプラザ」を運営するアイリスプラザ（仙台市）は、10月28日、利用している外部のクラウドサービスで不審なファイルを見つけ、サイトと関連システムを止めました。翌29日に第1報を出し、警察と個人情報保護委員会に報告しています。第1報の段階は、10月28〜31日の公表を整理した記事でも一覧に入れていました。
11月5日の第2報で示されたのは、クラウドに保存されていた個人情報の総数が約770万人分で、それが閲覧または取得された可能性があるということです。実際に漏えいした件数と影響を受けた人数は、まだ調査中です。「最大770万人分が漏えいか」と伝える報道もありますが、770万は確定した漏えい件数ではなく、対象になりうる母数です。
退会した会員も対象に
内訳は会員データ約580万人分と非会員データ約190万人分です。会員データには退会済みの会員の情報も含まれ、氏名、住所、電話番号、メールアドレスに加えて、性別、パスワード、生年月日などが対象です。パスワードは暗号化されており、退会者の分にはパスワードは含まれません。非会員データは、会員登録をせずに購入した人やキャンペーンに応募した人の、氏名、住所、電話番号、メールアドレスです。
クレジットカード情報はこのクラウドには保存されておらず、影響はないとしています。不正利用や金銭被害の報告もまだありません。
退会した人の情報も残っていたことは、利用者には見えにくい点です。「昔一度だけ買った」「キャンペーンに応募しただけ」という人も、対象になりうることになります。
同社は、ホームファッション専門店「SIMPLE STYLE」と、グループのアイリステックサービスが運営する家電のサブスクリプションや配送設置サービスについても、万一に備えて10月28日からサイトを止めています。これらで不正アクセスは確認されていません。
11月2日には、ノジマが通販サイトなど2サイトの会員情報約700万件の漏えいを公表しています（innovaTopiaの記事）。ノジマは漏えいを確認した件数、アイリスプラザは閲覧・取得の可能性がある保存データの総数で、数字の意味は異なります。それでも、家電を扱う通販サイトの大規模な会員情報が、数日のうちに続けて不正アクセスの対象になりました。
NTTドコモ：自社のサーバーから、生年月日まで
ドコモは11月4日、ドコモオンラインショップとMy docomoへの外部からの不正なアクセスを確認し、5日の午前1時5分ごろから両サービスの手続きを止めました。同日18時30分時点の第二報で、一部の顧客情報が流出したことを確認したとしています。
対象は最大約30万件で、氏名、住所、生年月日、携帯電話番号、連絡先電話番号などです。原因と侵入経路、流出した範囲は調査中で、サービスの再開時期も未定です。
ドコモをめぐっては、10月上旬に「1億件を超える顧客情報がダークウェブで売られている」とする投稿が出回り、同社は10月9日に、流出は確認していないと発表していました。10月22日には、予防的なセキュリティ対応として、My docomoやオンラインショップを含むサイトで緊急メンテナンスを行い、その時点で不正アクセスは確認されていないとしていました。今回の流出と、これらの出来事とのつながりは示されていません。
ドコモは今回の流出を、自社のオンラインショップとMy docomoのサーバーへの不正アクセスによるものと説明しています。携帯電話番号と生年月日、住所がそろうと、本人になりすました問い合わせや、ドコモを名乗るSMS・電話の信ぴょう性を高めることに使われかねません。ドコモも、同社や関係者を装った不審なメール、SMS、電話に注意するよう呼びかけています。
アララ：1社のメール配信から最大約380社へ
メール配信サービス「アララメッセージ」を運営するアララ（ペイクラウドホールディングスのグループ会社）は、10月29日付の第1報で、共用のサーバー環境からメールアドレス約301万件が流出したと公表しました。11月2日の第2報で、被害の範囲は大きく広がりました。
第2報によると、攻撃者は10月28日から31日にかけて、アララメッセージのサーバーを経由して、契約企業ごとの環境にあるサーバー97台に入り込み、データベースの中身を持ち出しました。対象の契約企業は最大約380社と推計され、持ち出された（持ち出されたおそれのあるものを含む）メールアドレスは約7,700万件です。件数は精査中です。アララは、1人が複数のアドレスを持つこともあり、この数は利用者の人数を示すものではないと断っています。新たに持ち出された情報には、契約企業によって、氏名、性別、生年月日、電話番号、住所なども含まれます。
最初に公表した共用環境の分も、精査の結果、メールアドレス338万6,187件と、5社の顧客データ最大41万1,827件に増えました。原因は当初「Webサーバーの脆弱性」とされていましたが、第2報では「システム環境における問題」も関係していたと説明が改められています。
攻撃者はさらに、アララメッセージを悪用して、クレジットカード会社を装う不審なメールを最大約713万通送りました。送り先は、攻撃者が外から持ち込んだメールアドレスだったとされています。送信元は「news@arara.com」で、件名は「利用内容確認のご依頼」「ご利用明細確認のご依頼」などです。アララは10月31日からサービスをすべて止めており、再開の時期は決まっていません。
委託元の公表が続く
アララの報告を受けた企業の公表が、11月2日以降続いています。件数の大きいものには、次のような例があります（各社の公表による。漏えいの可能性や上限として示されたものを含みます。アララの集計や各社の件数には重複がありうるため、足し合わせることはできません）。
- モスフードサービス（モスWEB会員）751万7,087件
- 松竹マルチプレックスシアターズ（SMT Membersの会員情報）332万305件
- TKC 最大223万812件
- ワークマン（オンラインストアのメールマガジン会員）最大約145万件
- ちょびリッチ 134万8,525件
- IIJ（IIJmio）98万3,458件
- キャメル珈琲（カルディコーヒーファームのオンラインストア）82万420件
- ダスキン（会員サイト「DDuet」）65万7,886件
- 三井住友銀行 22万7,216件
- 住友不動産 20万5,208件
モスでは10月以降、外部のサービスを経由した漏えいの公表が続いています。10月25日に伝えたモスカードの番号・PIN・残高の流出は、委託先のバリューデザインへの不正アクセスによるものでした。10月27日には、SNSキャンペーンで使っていた外部ツール「OWNLY」への不正アクセスで、参加者の情報の一部が漏えいしたと公表しています。バリューデザインとアララは、どちらもペイクラウドホールディングスのグループ会社です。同じグループの別々のサービスから、モスカードの情報とモスWEB会員の情報が続けて外に出たことになります。2つの不正アクセスの関連は示されていません。
「影響なし」から一転した企業
当初は影響がないと案内していたのに、後から案内を改めた企業もあります。
三井住友銀行は10月28日、アララから「ログ調査の結果、情報漏えいは確認されていない」との報告を受けていました。11月2日に流出を確認したとの報告が届き、5日に公表しています。漏えいしたのは、7月1日から10月31日までに同行がアララ経由で送ったメールの宛先です。口座番号や暗証番号、インターネットバンキングのIDとパスワードは、現時点では含まれていないと同行は説明しています。
松竹マルチプレックスシアターズと横浜ゴムも、当初の「対象外」から流出の公表に転じました。サブウェイは、顧客情報が含まれる可能性を排除できないとして、アララに再調査を求めています。アララの調査が「共用環境」から「契約企業ごとの環境」へ広がるなかで、最初の案内が改められていったという流れです。
自治体の通知メールも止まる
会計事務所や自治体向けのシステムを提供するTKCは、アララの報告をもとに、最大223万812件のメールアドレスが漏えいしたと公表しました。メール本文やマイナンバー、市町村への申請情報は漏えいしていないことが確認されています。
影響はメールの送信にも及んでいます。アララメッセージが止まったため、TKCの「マイナンバーカード交付予約・管理システム」「スマート申請システム」など、自治体向けのシステムからメールを送れない状態になりました（TKCの11月4日時点の発表）。大津市は、交付予約の完了メールを市から直接送る運用に切り替えました。姫路市も、オンライン手続サイトのメール配信を止めています。
自分が対象か、どう備えるか
アイリスプラザとドコモは、対象となる人に順次連絡するとしています。アララ経由の場合は、アララではなく、利用していたサービスの企業が案内を出しています。ただし、メールが送れずサイト上のお知らせで伝える企業もあり、連絡の方法は各社で異なります。利用しているサービスの公式サイトやアプリのお知らせを確かめてください。
3件に共通する備えは次のとおりです。
同じパスワードを使い回していないか見直す。アイリスプラザのパスワードは暗号化されていますが、同社も、ほかのサービスで同じパスワードを使っている人に変更を求めています。
届いたメールやSMSのリンクから手続きをしない。今回は、メールアドレスに加えて、氏名や電話番号、生年月日まで対象になった事案があります。名前を呼びかけ、正しい生年月日を示すメッセージでも、本物とは限りません。フィッシング対策協議会が9月に調査用のメールアドレスで観測したところ、独自ドメインから送られたフィッシングメールの多くが送信元の認証（DMARC）に合格していました（10月27日の記事）。届いたリンクは使わず、正規の公式アプリや、あらかじめ確認した公式サイトから入るようにします。
電話にも注意する。ドコモの事案では携帯電話番号と生年月日、住所がそろっています。ドコモを名乗る電話でSMSの認証コードやパスワードを聞かれても、答えてはいけません。
「持たない」という選択
一連の不正アクセスを受けて、個人情報を集めない方向に動く企業も出てきました。
そばチェーンのゆで太郎システムは10月28日、誕生月にクーポンを送る「バースデークラブ」を終えると告知しました。企業の個人情報の漏えいが相次いでいることを理由に挙げ、12月分の最後の発送のあと、会員の個人情報を消すとしています。同社では漏えいの被害は起きていません。
10月に公式アプリの会員情報1,078万8,963件が漏えいした「焼肉きんぐ」の物語コーポレーションは、10月20日、グループの11の公式アプリで、2027年上半期をめどに氏名と電話番号を保持しない仕組みへ変えると発表しました。予約に使うメールアドレスの取得は当面続けますが、将来はメールアドレスも含めて個人情報を保持しない構造をめざすとしています。
今回の事案でも、アイリスプラザでは退会した会員の情報を含む保存データが、アララでは多くの企業が配信のために預けたメールアドレスや会員情報が、不正アクセスの対象になりました。法令上の保存義務などを確かめたうえで、使う必要のなくなった情報を消すこと。そもそも集めないこと。守る技術と同じくらい、持たない設計がこれからの信頼を左右していきます。
【関連記事】
【解説】外務省・日本交通・無印良品などの不正アクセス、10月28〜31日の公表を整理
ノジマオンラインに不正アクセス、会員情報約700万件が漏えい カード情報は非保持で対象外
モスカード113万件の番号・PIN・残高が流出、委託先バリューデザインに不正アクセス
【編集部後記】
アララの第2報には、攻撃者がサービスを悪用して送った不審メールの件名が載っています。「利用内容確認のご依頼」「ご利用明細確認のご依頼」。送信元は、アララ自身のアドレスでした。
宛先は、攻撃者が外から持ち込んだものだといいます。盗んだ名簿を使ったのではなく、正規の配信基盤そのものが、詐欺メールの送り手にされました。本物の送信元から届く偽のメールを、受け取る側はどう見分ければよいのでしょうか。
【用語解説】
外部クラウドサービス
企業が自社の設備ではなく、外部の事業者が提供するサーバーやストレージを使ってデータを保管・処理するサービス。
メール配信サービス
企業がメールマガジンや通知メールを大量に送るために使う外部サービス。宛先のメールアドレスや会員情報を預けて使う。
委託先
企業が業務の一部を任せている外部の事業者。個人データを預ける場合、委託元は委託先を監督する義務を負う。
共用環境
複数の契約企業が同じサーバーを共有して使う環境。企業ごとに分けた専用の環境と対比される。
DMARC
メールの送信元が正しいドメインかどうかを受信側で確かめる仕組み。合格しても、送信者が信頼できるとは限らない。
【参考リンク】
（第2報）株式会社アイリスプラザECサイト一時停止のお知らせ（アイリスオーヤマ）（外部）
保存データ約770万人分が閲覧・取得された可能性と、会員と非会員の内訳、対象となる項目、利用者へのお願いを伝える同社の第2報。
当社サーバーへの不正アクセスによるお客さま情報流出に関するお知らせ（第二報）（NTTドコモ）（外部）
最大約30万件の顧客情報の流出と、ドコモオンラインショップとMy docomoの緊急メンテナンスの継続を伝えるドコモの第二報。
当社が提供する「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）（アララ）（外部）
契約企業の環境にあるサーバー97台への侵入、約7,700万件のメールアドレスの持ち出し、不審メール最大約713万通を伝える第2報。
メール配信委託先への不正アクセスによる情報漏えいについて（三井住友銀行）（外部）
アララ経由で、主に法人や個人事業主に送ったメールの宛先22万7,216件が漏えいしたと伝える三井住友銀行の11月5日の発表。
メール配信委託先への不正アクセスによる情報漏えいに関する件（第3報）（TKC）（外部）
アララ経由で最大223万812件のメールアドレスが漏えいし、マイナンバーや申請情報は漏えいしていないことを伝えるTKCの第3報。
「姫路市オンライン手続きポータルサイト」の委託先における不正アクセスに伴う個人情報漏えいの可能性と一部サービスの停止について（姫路市）（外部）
TKCの再委託先アララへの不正アクセスで、オンライン手続きポータルのメール通知が止まり、申請完了の通知などが届かないと伝える。
バースデークラブ終了のお知らせ（ゆで太郎）（外部）
企業の個人情報の漏えいが相次ぐことを受けて誕生月の会員制度を終え、12月分の最後の発送のあと会員の個人情報を消すと告知した。
『焼肉きんぐ』公式アプリにおける今後のセキュリティおよび個人情報保護強化策について（焼肉きんぐ）（外部）
焼肉きんぐを含むグループの11の公式アプリで、2027年上半期をめどに氏名と電話番号を保持しない仕組みへ変えると発表した。
【参考記事】
モスやワークマン、IIJmioも アララへの不正アクセスで顧客情報の流出発表相次ぐ（ITmedia NEWS）（外部）
アララ経由で流出を公表したモスやワークマン、IIJなどの企業と件数、当初の「影響なし」の案内を改めた企業の経緯をまとめた記事。
「My docomo」「ドコモオンラインショップ」が緊急メンテ 外部からの不正アクセスの可能性で（ITmedia NEWS）（外部）
My docomoとオンラインショップの5日未明からの停止と、10月22日に行われた予防的な緊急メンテナンスの経緯を伝える記事。
