事案の概要データ
| 公表日 | 2026年11月3日 |
|---|---|
| 不正アクセスを受けた事業者 | アララ株式会社（メール配信サービス「アララ メッセージ」） |
| 件数 | 15,821,184件 |
| 流出した情報 | 会員のメールアドレス、氏名、電話番号、生年月日、チケット購入情報など |
| 含まれない情報 | パスワード、クレジットカード情報 |
| 波及（山梨県） | 2026年11月4日公表。2025年度・2026年度の「富士山吉田ルート通行予約システム」利用者情報 最大19万7,556人相当に流出の可能性 |
| 位置づけ | アソビューのシステムが直接破られたものではなく、委託先の配信基盤からの流出 |
| 件数の意味 | 「件」の数であり、実人数とは異なる |
| 別事案との区別 | アソビューでは予約管理システムに関する事案も報じられており、本件（アララ経由）とは分けて扱う必要がある |
| 波及（沖縄県） | 2026年11月5日公表。国営沖縄記念公園内施設（海洋博覧会地区・首里城地区）の会員の氏名・メールアドレス・生年月日・チケット購入情報など。沖縄美ら海水族館・首里城公園の利用者も一部含まれる可能性 |
| 波及（埼玉県） | 2026年11月6日公表。県営プール3施設（しらこばと水上公園・加須はなさき公園・川越水上公園）と埼玉県こども動物自然公園のチケット購入者の氏名・生年月日・電話番号・メールアドレスなど |
| 波及（京都市） | 2026年11月6日公表。元離宮二条城の「アソビュー!」利用者情報 |
| 波及の共通点 | いずれも自治体が指定管理施設・県営施設の電子チケット販売を委託しており、委託先であるアソビューの預託データが対象になった |
図解：この事故の構造
何が起きたのか
アソビュー株式会社は2026年11月3日、メール配信に利用していたアララ株式会社のサービス「アララ メッセージ」が不正アクセスを受け、預託していた会員情報15,821,184件が外部に流出したことが判明したと公表しました。
流出した項目は、メールアドレス、氏名、電話番号、生年月日、チケット購入情報などです。パスワードとクレジットカード情報は含まれないとされています。
さらに翌11月4日、山梨県が「富士山吉田ルート通行予約システム」の利用者情報について、最大19万7,556人相当に流出の可能性があると公表しました。予約システムの運営をアソビューが受託していたためです。
アララの事案で公表された波及先は数十社に及びますが、その多くは「メールアドレスのみ」でした。本件は項目の多さという点で、波及先の中でも重い部類にあたります。
「配信に必要な範囲」を超えて預けていた
ここが本件の核心です。メールを送るために必要な情報は、原則としてメールアドレスだけです。宛名を入れたいなら氏名も要ります。
では、電話番号・生年月日・チケット購入情報は、メール配信に必要でしょうか。
必要な場合もあります。「来週のチケットの案内」を送るには購入情報が要る。「誕生月のクーポン」を送るには生年月日が要る。配信の内容を細かくすると、渡す項目は増えます。
つまりこれは、便利さと危険のトレードオフです。一人ひとりに合った案内を送ろうとするほど、外部に預けるデータは増え、事故のときに失うものも増えます。
本サイトが2026年10月のユミルリンク（Cuenote FC）の事案で見たのは逆のパターンでした。「氏名・住所・電話番号は配信サービスに預けていなかったので流出していない」と説明した企業が複数ありました。同じ事故でも、預け方で結果が変わっています。
中小企業が判断するための問いは1つです。「この項目を渡さないと、配信が成立しないか」。 成立するなら渡さない。成立しないなら、渡す代わりに、その項目を使った配信は年に何回なのかを数えてみてください。年2回のために365日預けているなら、設計を変える余地があります。
受託すると、委託元の名前で事故が公表される
山梨県の公表は、構造として見ておく価値があります。
富士山の通行予約システムを運営していたのはアソビュー。けれども、県民・登山者に向けて公表したのは山梨県です。 対象は最大19万7,556人相当。
つまり、①アララが侵害され、②アソビューの預託データが流出し、③アソビューが受託していた山梨県の予約情報も含まれ、④山梨県が公表した。4段階です。
本サイトで繰り返し出てくる形ですが、段数が増えるほど、いちばん端の利用者から見て「誰の事故か」が分からなくなります。 登山者にとって手続きをした相手は山梨県です。アララという会社名は知りません。
受託する側（アソビューの立場）の宿題はこれです。委託元のデータを、自社の都合で別のサービスに預けるとき、委託元の許可を得ていますか。 これを「再委託」と呼び、契約で事前承諾が必要とされているのが普通です。
委託する側（山梨県の立場）の宿題はこうです。受託者が、さらに誰に何を預けているかを把握していますか。 契約書に「再委託の事前承諾」が書いてあっても、実際の一覧を持っていないことがよくあります。
中小企業でも同じです。顧客名簿を、自社が契約した外部ツール（配信、CRM、アンケート、名刺管理）に入れていませんか。その顧客が「別の会社から預かったデータ」だった場合、勝手に入れてよいかは別の問題です。
時系列で見る経過
- 2026年10月28日〜31日アララのメール配信基盤を経由して契約企業向けサーバーに侵入され、データが持ち出される
- 2026年10月31日アララが「アララ メッセージ」を全面停止
- 2026年11月3日アソビューが15,821,184件の流出を公表。氏名・電話番号・生年月日・チケット購入情報を含む
- 2026年11月4日山梨県が「富士山吉田ルート通行予約システム」利用者 最大19万7,556人相当に流出の可能性と公表
- 2026年11月5日沖縄県が、美ら海水族館・首里城公園など指定管理施設の利用者について公表
- 2026年11月6日埼玉県（県営プール3施設・こども動物自然公園）、京都市（元離宮二条城）が公表
中小企業が学ぶべきポイント
- メール配信に必要なのは原則メールアドレスだけ。項目を増やすほど、事故のときに失うものが増える。
- 同じアララの事故でも「メールアドレスのみ」の企業と、生年月日・購入情報まで流出した企業に分かれた。差は預け方。
- 「この項目を渡さないと配信が成立しないか」で判断する。年2回のために365日預けるなら設計を見直す。
- 受託した業務のデータを自社契約の外部ツールに預けるのは再委託。契約上、事前承諾が必要なのが普通。
- 委託する側は、受託者がさらに誰に何を預けているかの一覧を持つ。契約書の条文だけでは足りない。
- 段数が増えるほど、利用者から見て「誰の事故か」が分からなくなる。公表は委託元の名前で行うことになる。
出典・参考
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
- ペイクラウドHD、「アララ メッセージ」への不正アクセスで約7700万件のメールアドレスが流出（INTERNET Watch・2026年11月2日）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。