📡 Signal｜アララ侵害、三井住友銀行22.7万件と Zaif 38万件のメールアドレス流出

メール配信会社アララへの不正アクセスの影響が、銀行と暗号資産交換業に及んだ。三井住友銀行は 11 月 5 日、配信に使ったメールアドレス 227,216 件が漏えいしたと発表した。暗号資産交換業の Zaif も 4 日の第 2 報で、登録メールアドレス 380,536 件の流出を明らかにしている。

漏れたのはどちらもメールアドレスだけで、口座番号やパスワードは含まれていない。それでも、銀行や交換所の「顧客であること」が分かるアドレスの一覧は、本物そっくりの偽メールを送る側にとって最も欲しい名簿だ。小売や自治体に続いて、お金を動かす窓口の顧客名簿が流出の列に加わった。

三井住友銀行: 4 か月分の配信先

三井住友銀行によると、同行はアララのメール配信サービス「アララメッセージ」を、主に法人向けの配信に使い、一部の個人事業主向けにも使っていた。漏えいしたのは、2026 年 7 月 1 日から 10 月 31 日までに同行が配信したメールの宛先に限られるとアララから報告を受けたという。

銀行口座番号、預金残高、暗証番号、インターネットバンキングのログイン ID・パスワードは含まれていない。

経緯には一度の訂正がある。10 月 28 日の時点でアララから受けた報告は、不正アクセスは発生したが情報漏えいは確認されていない、というものだった。漏えいの確認が伝えられたのは 11 月 2 日だ。同行は専用の問い合わせ窓口を 11 月 30 日まで設けている。

Zaif: 認証アプリへの切り替えを勧める

Zaif の第 2 報によると、流出したのは同社がアララに登録していたメールアドレス 380,536 件 (重複を除く) で、氏名などの属性情報やメール本文は含まれていない。同社はもともとアララに氏名・住所・電話番号・取引情報・パスワードを登録していなかったとしている。同社のシステムへの不正アクセスは確認されていない。

11 月 2 日にアララから連絡を受けて同日に告知し、同じ日の夜に自社分の流出の確認を受け、4 日に流出アドレスの一覧を受け取った。各種お知らせメールの配信は一時停止中で、関係当局には報告済みだという。

対応で目を引くのは利用者への具体的な勧めだ。Zaif がメール等でパスワードや二段階認証コードを尋ねることは一切ないと明記したうえで、メールで受け取る認証コードを使っている利用者には、認証アプリによる二段階認証への切り替えを検討するよう求めた。アドレスが知られた以上、そのアドレスに届く認証コードを狙う偽メールが来うる、という前提に立った助言だ。

委託先 1 社から広がる名簿

アララの侵害は、1 社の配信基盤に多数の企業の宛先が集まっていたことで規模が膨らんだ。アララは第 2 報で、流出のおそれのあるメールアドレスを約 7,700 万件、契約企業を最大約 380 社と推計している。

各社の公表も続く。ITmedia の集計では、モスフードサービスの「モスWEB会員」7,517,087 件、ワークマンのメールマガジン会員最大約 145 万件、IIJ の格安 SIM「IIJmio」契約者 983,458 件などが並ぶ。アソビューの 15,821,184 件のように、件数で今回の 2 社を大きく上回る例もある。

それでも金融の 2 社が重いのは、アドレスに付いてくる文脈が違うからだ。飲食や小売の会員アドレスなら「その店の客」だが、銀行や交換所のアドレスなら「そこに口座がある人」になる。偽のログイン画面へ誘うメールは、送り先が本当の顧客であるほど開かれやすい。

次に見るもの

確認先は、Zaif のお知らせページと三井住友銀行のニュースリリースだ。Zaif が止めている通知メールの再開方法と、アララから受ける原因と再発防止の説明がどう公表されるか。もう一つは、アララの次の報告で、7,700 万件の推計がどこまで確定するかだ。

これまでの経緯: アララのメール配信に侵入、最大約380社・7,700万件に拡大

ことば

• アララメッセージ — アララが提供する企業向けのメール配信サービス。企業は顧客のアドレスを預けて、お知らせやメールマガジンを一斉に送る。1 社の基盤に多くの企業の宛先が集まるため、侵入されると被害が横に広がる。
• 二段階認証 — パスワードに加えて、もう一つの確認 (一時的なコード等) を求める仕組み。コードをメールで受け取る方式は、メールが乗っ取られたり偽メールに誘導されたりすると破られやすく、認証アプリの方が安全とされる。
• フィッシング — 実在の会社を装ったメールや SMS で偽のサイトへ誘い、ID・パスワードや認証コードを入力させる詐欺。送り先が本当の顧客だと見分けにくくなる。

🔗 一次ソース

• 三井住友銀行「メール配信委託先への不正アクセスによる情報漏えいについて」(2026 年 11 月 5 日・メールアドレス 227,216 件・7 月 1 日〜10 月 31 日の配信先)smbc.co.jp
• Zaif「業務委託先（アララ株式会社）への不正アクセスに伴う情報流出について（第2報）」(2026 年 11 月 4 日・380,536 件)corp.zaif.jp
• ITmedia NEWS「モスやワークマン、IIJmioも　アララへの不正アクセスで顧客情報の流出発表相次ぐ」(各社の件数とアララ第 2 報の推計)ITmedia NEWS
• 日本経済新聞「三井住友銀行、メールアドレス22万件が漏洩　アララ不正アクセスで」日本経済新聞