ODKソリューションズの大学生向けメルマガ79万件の情報漏えい、漏れたメールアドレスで何をされるのかまとめました

2026年11月3日、株式会社ODKソリューションズは、メール配信を委託していたアララ株式会社の「アララメッセージ」への不正アクセスにより、同社の利用環境からメールアドレス791,551件の流出が確認されたと公表しました[1]。対象は「大学生向け情報発信メルマガ」と「大学生の保護者のための情報メルマガ」の登録者です。同社がアララメッセージに登録していた項目はメールアドレスのみとしています[1]。

氏名もパスワードも漏れていないなら大丈夫――とは言い切れません。メールアドレスは、多くのサービスで「ログインID」と「本人への連絡先」を兼ねているからです。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたメールアドレスの使われ方と、受験・入学にまつわる手続きの中で認証が関わる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 「大学生向け」「保護者向け」と分かる宛先リストとして漏れたため、受験や入学、学費の話題を装ったメールが届きやすくなります。
• そのメールアドレスでログインしているサービスは、パスワードを他と使い回していないか確かめておくと安心です。
• 会社側がまず見直したいのは、メールだけで完了するパスワード再設定と、メールアドレスの一致だけで本人と見なす運用です。

なお、本記事は公表文や公式サイトなど、公開情報だけをもとにしています。サービスの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

第2報[1]と第3報[2]によると、概要は次のとおりです。

アララ社の発表では、持ち出されたメールアドレスは重複を除いて81,329,467件、対象企業は最大約380社と推計されています[3]。ODKソリューションズの79万件は、その一部ということになります。

漏れたメールアドレスで、何ができてしまうか

漏れたのはメールアドレスだけです。ただ、今回のリストには「大学生」「大学生の保護者」という属性がついていました。誰に、どんな話題で近づけばよいかが分かる宛先リストだという点が、ただのアドレスの羅列とは違います。

実際にアララ社は、10月28日から30日にかけて、クレジットカード会社を装った不審なメールが同社の送信元から最大約713万通送られたとしています[3]。ODKソリューションズも、同社を装った不審なメールのURLや添付ファイルを開かず、パスワードやカード情報を入力しないよう呼びかけています[1]。

受験・入学の手続きで認証が使われる場所

ODKソリューションズは、受験生向けのWebサービス「UCARO」も運営しています。公式サイトでは、受験前の情報収集から受験番号の確認、合否照会、入学手続までをスマホだけで行える無料のサービスとされ、多くの大学のWeb出願サイトと連携し、アカウント情報をそのまま出願登録にも使えると説明されています（提供機能は大学によって異なるとしています）[4]。

ただし、今回のメルマガ登録者とUCAROの利用者が重なるかどうかは、公表文には書かれていません[1][2]。以下は「漏れたメールアドレスが、もし同じ人のログインIDでもあったら」という前提で、受験・入学にまつわる手続きの中で認証が関わる場所を並べたものです。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、アララ社に原因と再発防止策の報告を求めることと、委託先管理や配信先データの保管・削除の運用を点検することが挙げられています[1][2]。一方で、ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. メールアドレスの一致だけで本人と見なす場面をなくす。問い合わせ窓口や登録情報の変更で「メールアドレスが合っていれば本人」という扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。
2. パスワード再設定に、メール以外の確認をもう一つ足す。メールだけで再設定が完了する形だと、偽メールに引っかかった人や、メールを乗っ取られた人を守れません。
3. お金や合否が動く場面に、追加の確認を入れる。入学手続の支払い、登録情報の変更などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「アドレスを知っている」と「本人の電話を持っている」は違う

今回漏れたのは、メールアドレスという「知っている」情報です。メールアドレスは、ログインIDにも連絡先にも使われ、いったん漏れると取り消せません。だからこそ、本人確認の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてきます。

「持っているか」を確かめる方式としては、SMSで届くワンタイムパスワードもその一つです。その上で、次の点も押さえておきたいところです。

米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[5]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら