千葉興業銀行は11月6日、メール配信を委託していたアララ株式会社のサービスへの不正アクセスにより、顧客のメールアドレス17万1,260件が外部に流出したと発表した。アララの不正アクセスでは、重複を除いて8,132万9,467件のメールアドレスが持ち出されたとされ、金融機関を含む多数の組織に影響が広がっている。

概要

千葉興業銀行がメール配信に利用していたアララのサービスに第三者が不正アクセスし、顧客のメールアドレスが流出した。対象は10月8日から29日に同行が配信した一部のメールの宛先である。同行は、銀行自身のシステムが不正アクセスを受けた事案ではないとしている。

千葉興業銀行の発表によると、時系列は次のとおり。

10月8日から29日に、同行が配信したメールの一部の宛先が対象となった。

11月2日に、同行は委託先から連絡を受けて情報流出を認識した。

11月6日に、同行は「当行委託先提供のメール配信サービスへの不正アクセスによるお客さまメールアドレスの流出について」を公表した。

委託先のアララは、原因について次のように発表している。同社の11月2日付の発表では、原因はWebサーバーの脆弱性およびシステム環境における問題とされる。

アララの時系列も整理する。同社は10月29日に、Webサーバーの脆弱性を悪用され、利用企業が保有するメールアドレス約301万件が流出したと公表した。その後、第1報、第2報の環境Aとは別のクラウド環境でも持ち出しが確認された。11月6日の第3報で件数が更新された。

被害・影響の範囲

千葉興業銀行によると、流出したのはメールアドレス17万1,260件のみである。氏名、住所、口座番号、暗証番号、パスワード、クレジットカード情報などは含まれないと説明している。

二次被害の有無は、確認できた範囲では公表されていない。メールアドレスだけでも、銀行を装ったフィッシングメールの標的になるおそれがある。

アララ側の影響は広い。第3報によると、持ち出されたメールアドレスは重複を除いて81,329,467件で、人数ではなくアドレスの数である。契約企業は最大約380社と推計されている。

他の金融機関にも影響が出ている。三井住友銀行は委託先アララへの不正アクセスにより、約22万7,000件のメールアドレスが漏えいしたと発表した。琉球銀行も、メールアドレス96,477件の流出を公表している。

さらに、攻撃者は同サービスを悪用し、10月28日から30日にクレジットカード会社を装った不審なメールを最大約713万通送信した。

企業・団体の対応

千葉興業銀行は、対象アドレスの特定を進めている。特定でき次第、対象の顧客に個別に通知する方針としている。

同行は当該メール配信サービスの利用を停止した。安全性が確認されるまで再開しないとしている。

利用者には、銀行を装った不審なメールへの注意を呼びかけている。警察や個人情報保護委員会への届出については、確認できた範囲では記載を確認できていない。

アララは、サービスの停止を続けている。再開は、侵入経路への対策の完了、外部専門機関による安全性の確認、契約企業の認証情報の再設定を経て判断するとしている。再開時期は未定である。

再発防止策として、システムの安全性の抜本的な見直し、異常の早期発見と迅速な対応に向けた体制整備、グループ全体の管理体制強化を挙げている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、委託先の侵害で顧客情報が流出し得ることを示している。委託先がどのデータをいつまで保持しているかを、発注側が把握しておく必要がある。流出時に迅速に顧客へ通知できる体制も、平時から備えておきたい。

利用状況の棚卸し
メール配信を含む外部サービスの利用状況を一覧にする。部門ごとに契約しているサービスも洗い出し、誰がどのデータを預けているかを確認する。

委託先への確認事項
委託先が保持する宛先や配信履歴の保存期間を確認する。不要になった配信ログの削除ルールも確かめる。侵害を把握した際の連絡経路と、連絡までの目安時間も契約で定めておく。

預けるデータの最小化
外部の配信サービスに渡す項目は、宛先など必要最小限にとどめる。氏名や会員番号などの属性情報は、差し込みに必要な場合に限って預ける。

フィッシング対策
銀行や自社を装ったメールが届く可能性を、顧客に早めに知らせる。メールやSMSで認証情報の入力を求めないことを、公式サイトで明示する。送信ドメイン認証の設定も見直す。

顧客への情報提供
流出の対象者を特定する手順と、個別通知の文面を事前に準備する。公式サイトの告知場所と、問い合わせ窓口もあらかじめ決めておく。

なお、流出件数の確定や原因の特定は、アララで現在調査中とされている。今後の続報に注意されたい。

出典

• 千葉興業銀行 重要なお知らせ
• アララ株式会社 第3報（2026年11月6日）
• アララ株式会社 「アララメッセージ」への不正アクセスに関するお詫びと今後の対応について
• セキュリティ対策Lab
• ＠IT

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから