久世福商店・サンクゼール878,343件の情報漏えい、漏れたメールアドレスで何をされるのかまとめました

2026年11月3日、株式会社サンクゼールは、メールマガジンの配信に使っていたアララ株式会社の「アララメッセージ」が第三者の不正アクセスを受け、会員のメールアドレス878,343件が外部に漏えいしたと公表しました[1]。11月9日の第2報では、漏えいした情報はメールアドレスのみで、氏名・住所・電話番号・生年月日・購入履歴・会員ID・パスワード・クレジットカード情報は含まれていないことが確認されたとしています[2]。

漏れたのがメールアドレスだけなら大丈夫そうに見えます。ただ、久世福商店・サンクゼールの公式オンラインショップでは、ログインの欄に入れるのがそのメールアドレスです[3]。メールアドレスだけで安心とは言い切れません。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、久世福IDで認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 久世福IDのログインは「Eメールアドレス」と「パスワード」の2つです[3]。漏れたメールアドレスは、ログインの「片方の鍵」にあたります。
• 久世福IDと同じパスワードをほかで使っている人は、変更しておくのが安全です。届いたメールのリンクからは、ログインもパスワード再設定もしないようにしましょう。
• 会社側がまず見直したいのは、メールアドレスとパスワードだけで通るログインと、メールが届けば進められるパスワード再設定です。

なお、本記事は公表文や公式サイトの案内など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2]によると、概要は次のとおりです。

サンクゼールは、心当たりのないメールのURLや添付ファイルを開かないこと、返信や個人情報の入力をしないことを呼びかけています。メールでパスワードやクレジットカード番号を尋ねることはないとし、アララをかたる「ご利用明細確認のご依頼」という件名の不審なメールも例に挙げています[1][2]。

漏れた情報で、何ができてしまうか

今回漏れたのは、ただのメールアドレスの一覧ではありません。「久世福商店・サンクゼールに会員登録している人のアドレス」という意味を持つ一覧です。

会社は「メールアドレスのみで当社オンラインショップにログインすることはできません」としています[2]。その通りで、メールアドレスだけでは入れません。問題は、残る鍵がパスワード1つになっている点です。同じパスワードをほかのサービスでも使っている人は、そちらで漏れたパスワードと組み合わされるおそれがあります。

送り主を偽ったSMSが本物と同じ画面（スレッド）に並ぶ手口も知られています[9]。今回、電話番号は漏えいした情報に含まれていませんが、「メールが怪しいからSMSは安心」とは考えず、どちらも同じように疑うのが安全です。

久世福IDで認証が使われる場所

久世福IDは、久世福商店とサンクゼールの店舗・サービスで共通のIDとして案内されています[3]。公式オンラインショップでは購入金額に応じてポイント（1ポイント＝1円）が貯まり、店舗と公式オンラインショップの購入は会員IDが同じなら合算してランクが決まります[5][6]。公開情報で確認できた認証の場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、メールマガジン配信の停止と、原因の究明・再発防止への取り組みが挙げられています[1][2]。一方で、ログインや再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. メールアドレスとパスワードだけで通るログインに、もう一つの確認を足す。いつもと違う端末や場所からのログインだけに確認を求めれば、毎回のログインを重くせずにパスワードリスト攻撃に備えられます。
2. メールが届けば進められる場面を洗い出す。パスワード再設定、メールアドレスの変更、問い合わせ窓口での本人確認などで「メールが届けば本人」「メールアドレスが合えば本人」になっていないか。運用の見直しから始められます。
3. 偽メールに誘われても守れる確認方法を選択肢に入れておく。偽のログイン画面にパスワードやコードを入力させる手口では、入力する確認ほど真似されやすくなります。利用者が公式サイトかどうかを見分けなくても守れる方式だと安心です。

認証の観点から：「メールアドレスを知っている」と「その人が持っている」は違う

今回漏れたのは、ログインの欄に入れる情報そのものです。メールアドレスもパスワードも、「知っていれば通る」情報です。知っている情報は、漏れれば他人も知っている情報になります。

「その人が持っているか」を確かめる方法の一つに、SMSで届くワンタイムパスワードがあります。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています[10]。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら