セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出
             

セガとセガ フェイブが委託先アララへの不正アクセスでメールアドレス219万件流出



セガは11月9日、メール配信の委託先であるアララへの不正アクセスにより、セガとセガ フェイブのメールアドレス2,196,044件が外部に流出したと発表した。セガは10月29日にアララから流出は確認されていないとの報告を受けていたが、その後の再確認で流出が判明した。

概要

対象は、セガとセガ フェイブが一部メールマガジンの配信に使うシステム「アララメッセージ」である。本件はアララが提供するこのサービスへの、第三者による不正アクセスに起因するとされる。流出対象は、2026年7月から10月に配信された計11件のメールマガジンの配信先である。

セガの発表によると、時系列は次のとおり。

10月29日、セガがアララに配信の安全性を確認した。アララからは、情報流出は確認されていないとの報告を受けた。

11月1日、アララが第三者による不正アクセスの発生を公表した。これを受け、セガは改めて確認を実施した。

11月3日、アララから、セガが配信に利用したメールアドレスの流出が確認されたとの通知を受けた。セガはアララに追加の説明を要請した。

11月5日から8日にかけて、両社が追加の確認を実施し、セガはアララから正式な報告を受けた。

アララ側の発表も確認した。アララは10月28日に一部システムで不正アクセスの発生を確認し、当該サーバーをネットワークから切り離した。同社は10月31日にサービスを停止した。不正アクセスの原因は、Webサーバーの脆弱性に加え、システム環境の問題も関係していたとされる。

被害・影響の範囲

11月9日現在、流出したメールアドレスは2,196,044件で、うち92,273件は配信に付随する情報も流出した。この配信に付随する情報が具体的に何を指すかは明らかにされていない。セガはアララと連携して調査中としている。

氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードは流出情報に含まれないとされる。SEGA Accountに登録されたメールアドレスは別の配信システムを使っており、対象外である。現時点で流出情報の悪用は確認されていない。

アララの被害は、セガ以外の企業にも広がっている。セガの件数は、アララ全体の約8,133万件に加算されるものではないとされる。別の委託元では、小学館が、メールアドレスや生年月日などを含む個人情報の流出を確認している。

企業・団体の対応

セガはおわびを掲載し、アララ社と連携して調査を進めるとしている。新たな情報が判明した場合は速やかに報告するという。

セガは、個人情報保護委員会へアララと連名で報告するとしている。対象者には、流出情報の詳細が確認でき次第、個別に連絡する。安全性が確認できるまで、アララのメール配信システムを使ったメールマガジンの配信を見合わせる。

利用者には、セガやセガ フェイブを装う不審なメールが届く可能性があるとして注意を呼びかけている。心当たりのないメールのURLや添付ファイルは開かず、返信もしないよう求めている。

編集部コメント（読者企業が取るべき対策）

今回は、委託先から当初「流出なし」と報告されたが、後に流出が判明した。委託先の初報だけで安全と判断せず、継続的に確認する体制が要る。メールアドレスだけの流出でも、件数が大きいとフィッシングの標的になりうる。

委託先への確認事項
委託先には、自社データが保管された環境を特定できるか、書面で確認する。調査範囲が拡大した場合の再報告の時期と手順も、あらかじめ取り決める。初報の後にも範囲が変わりうる前提で、定期的に問い合わせる。

利用状況の棚卸し
メール配信やクラウドの委託先ごとに、預けているデータの項目と件数を一覧にする。メールアドレスのほか、配信に付随する情報として何が渡っているかも確認する。不要なデータは預けない、または削除する運用に改める。

フィッシング対策
流出した宛先に、自社を装った偽メールが届く事態を想定する。送信ドメイン認証の設定を点検し、自社が送らない連絡内容を顧客向けに明示する。公式サイトの案内に使うURLも一定にしておく。

認証情報と配信基盤の見直し
委託先サービスのAPIキーや管理画面のパスワードは、事案の発覚時に直ちに再設定できるようにする。メールマガジンと取引通知で配信基盤を分けておくと、片方の停止が業務全体に及ばない。代替の送信手段も準備しておく。

顧客への情報提供
流出した項目と含まれない項目、悪用の有無、注意してほしい点を、分かりやすく早めに伝える。個別連絡の時期が未定の間も、公式サイトに最新状況を掲載する。問い合わせ窓口も明記する。

なお、配信に付随する情報の内容や原因の詳細は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。