アクセルエンターメディア 108万件の情報漏えい、漏れたメールアドレスで何をされるのかまとめました

株式会社アクセルエンターメディアは2026年11月4日、メール配信を委託していたアララ社のメール配信サービスが第三者による不正アクセスを受け、同社が預けていたお客様の情報の一部が外部に流出したと公表しました[1]。11月9日の第2報では、流出した情報と対象のお客様を特定したとしています[1]。

流出したのはメールアドレス1,086,098件（重複を除いた件数）です。一部のサイトでは、メールアドレスに加えて、メール配信のために登録していた氏名や会員番号なども流出したとしています[1]。一方で、メールの本文、パスワード、クレジットカード情報は流出した情報に含まれておらず、各サイトのログインパスワードも含まれていないとしています[1]。ただ、それで安心とは言い切れません。

「自分の情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、同社のサービスとその周りで認証が関わる場所を公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• ファンクラブやアーティストを名乗る、本物らしい偽メール・偽SMSが届くおそれがあります。同社も、チケット当選・返金・本人確認などを装う連絡に注意するよう呼びかけています[1]。
• メールアドレスを各サイトのログインに使っている人は、そのパスワードを他のサービスと使い回していないかを見直しておくと安心です。
• 会社側がまず見直したいのは、委託先に預けたデータが置かれる管理画面やサーバーの入り方と、各サイトのログインの確かめ方です。

なお、本記事は公表文など公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

流出した情報の悪用による被害は、現時点で確認されていないとしています[1]。どのサイトが対象かは公表文に書かれておらず、対象者には各サイトから個別に連絡するとしています[1]。

委託先側の事故は、多くの企業のメール配信に影響した大きな事案です。アララ社は、共用環境の管理画面に不正ログインされてデータが持ち出されたほか、不正に使われた認証情報（アカウントと鍵）によって契約企業の環境のサーバーに侵入され、データベースの内容が持ち出されたと公表しています。同じ時期には同社のサービスが悪用され、クレジットカード会社を装った不審メールも最大約713万通送られたとしています[2]。持ち出されたメールアドレスは、重複を除いて81,329,467件としています[3]。アクセルエンターメディアのデータがどの経路で持ち出されたかは、同社の公表文には書かれていません。

漏れた情報で、何ができてしまうか

今回の特徴は、漏れた項目の多くが「メールアドレス」であり、しかも「このサイトからのメールを受け取っていた人」という属性と一緒だった点です。

同社は、個別連絡ではパスワードやクレジットカード情報の入力を求めないとし、送信元のメールアドレスにも変更はないとしています[1]。逆に言えば、それを求めてくる連絡は疑ってよい、ということです。

同社のサービスとその周りで認証が使われる場所

公表文とよくある質問で確認できた範囲から、認証が関わる場所を並べました。同社が運営するサイトの名前は公表文にもトップページにも書かれておらず、各サイトのログインの方式は確認できませんでした。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の再発防止には、委託先の選び方の見直しと、預ける情報を必要最小限にすることが挙げられています[1]。一方で、ログインの確かめ方や多要素認証についての記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 委託先を含め、データがまとまって置かれる管理画面やサーバーに、パスワードや鍵だけで入れる形が残っていないかを点検する。委託先は、サービスの再開にあたって契約企業に管理画面のパスワードやAPIキーなどの再設定を求める予定としています[2]。預けた側としても、自社の担当者のアカウントの入り方を確かめておきたい所です。
2. 各サイトの会員ログインに、IDとパスワード以外の確認を足す。偽メールが増える時期は、パスワードを入力させられる人も増えます。入力した情報だけで通らない確認があれば、被害を一段止められます。
3. 窓口と個別連絡の本人確認から、漏れた項目を外す。「メールアドレスと会員番号が合えば本人」という扱いになっていないか。お詫びの連絡が増える時期こそ、運用の見直しから始められます。

認証の観点から：「アドレスを知っている」と「その人の電話を持っている」は違う

今回漏れたのは、主にメールアドレスでした。メールアドレスは、ログインの入口でありながら、配信のために多くの会社に預けられる情報でもあります。知られてしまう前提で考える必要があります。

一方で、「その人のスマートフォンの回線を実際に持っていること」は、情報が漏れても変わりません。その確かめ方として、SMSで届くワンタイムパスワードがよく使われています。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[4]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

ログインの流れを大きく変えずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら