セガ・セガ フェイブのメールマガジン219万件の情報漏えい、漏れたメールアドレスで何をされるのかまとめました

2026年11月9日、株式会社セガと株式会社セガ フェイブは、メールマガジンの配信に使っていた委託先アララ株式会社の配信システムが第三者の不正アクセスを受け、配信先のメールアドレスなどが外部に流出したと公表しました[1][2]。対象はメールアドレス2,196,044件で、そのうち92,273件には「配信に付随する情報」が含まれるとしています[1]。氏名・生年月日・性別・住所・電話番号・クレジットカード情報・ログインパスワードは含まれていないとされていますが、それで安心とは言い切れません。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、セガのサービスで認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 対象のメールマガジンはアーケードゲームとくじの案内です。「セガのアーケードやくじに関心がある人」の一覧として、本物らしい偽メールの宛先に使われるおそれがあります。
• 届いたメールのリンクから、ログインや認証コードの入力をしないことが一番の守りです。サービスには公式サイトやアプリから自分で入りましょう。
• 会社側がまず見直したいのは、メールだけで本人と見なしている場面――ログインの認証コードやパスワード再設定です。

なお、本記事は公表文や公式のサポートページなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

公表時点で悪用は確認されていないとしています。一方で、セガやセガ フェイブを装ったり、両社の製品・サービス名を使ったりした不審なメールが届く可能性があるとして、注意を呼びかけています[1]。

これとは別に、セガ フェイブは11月2日、アーケードゲームのネットワークサービス「ALL.Net」と「Aime」に関係するサーバーへの不正アクセスも公表しています[3]。初期調査ではデータ流出は確認されていないとしており、セガ ラッキーくじオンラインもこの件の安全確認のためメンテナンス中です[1][3]。

漏れた情報で、何ができてしまうか

パスワードや氏名が漏れていないとされている点は、不幸中の幸いです。ただ、今回のメールアドレスには「どのメールマガジンの宛先か」という文脈がついています。

送り主を偽ったSMSが本物と同じ画面（スレッド）に並ぶ手口も知られています[12]。今回は電話番号は漏れていないとされていますが、「メールが来たからSMSは安全」とは考えず、どちらも同じように疑うのが安全です。

セガのサービスで認証が使われる場所

対象のメールマガジンに関わるサービスを中心に、公開情報で確認できた認証の場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、外部委託業務に関する情報管理体制の強化と、確認が取れるまでのメールマガジン配信の見合わせが挙げられています[1]。一方で、ログインや再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. メールアドレスだけで本人と見なす場面を洗い出す。パスワード再設定、問い合わせ窓口、登録情報の変更などで「メールが届けば本人」「メールアドレスが合えば本人」になっていないか。運用の見直しから始められます。
2. 価値が動く場面に、メール以外の確認をもう一つ足す。くじの購入、賞品の発送先の変更、有料コースの契約などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。
3. 「メールで届くコード」を入力させる画面ほど、偽サイトに真似されやすいと考えておく。利用者が公式サイトかどうかを見分けなくても守れる確認方法を、選択肢に入れておくと安心です。

認証の観点から：「メールが届く」と「その人が持っている」は違う

今回漏れたのはメールアドレスです。メールで届く認証コードは手軽な一方、メールボックスそのものが鍵になります。偽のログイン画面に誘われてコードを入力してしまえば、コードは攻撃者に渡ります。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています[13]。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら